Первое правило — не уничтожать следы. Не перезагружайте скомпрометированную систему до фиксации текущего состояния, если это не требуется для сдерживания непосредственного ущерба.
Ограничьте сетевое взаимодействие, сохраните журналы событий и зафиксируйте время обнаружения. Проверьте соседние узлы на аналогичные индикаторы.
После локализации определите исходную точку входа и закройте ее до возврата системы в рабочий контур.