המחקר הראשון "A Coni Ransomware Attack Day-by-Day", מציג את רצף הזמן של מתקפת Conti פעילה, מהפריצה הראשונית ועד החזרה לעבודה של ארגון המטרה, לצד פעילות צוות התגובה Sophos Rapid Respons שניטרל, הכיל וחקר את ההתקפה. הדוח כולל גם סממני תקיפה (IoC), טקטיקות, טכניקות ותהליכים (TTP) אשר מסייעים למגינים לאתר התקפות Conti עתידיות ולהתגונן מפניהן.

בצד הטכני, מציגים חוקרי SophosLabs  בדוח "Conti Ransomware: Evasive by Nature" כיצד התוקפים מסוגלים לחסום ניתוח של תוכנת הכופר באמצעות פריסת אותות של Cobalt Strike, תוכנת המשמשת לבחינת הגנות בארגון, על גבי המכונות המותקפות. לאחר מכן הם טוענים את הקוד ישירות אל תוך הזיכרון, כך שהם אינם משאירים ממצאים שהחוקרים יכולים לבחון. 

"זו הייתה התקפה מהירה ובעלת פוטנציאל הרסני מאוד", אמר פיטר מקינזי, מנהל  צוות Rapid Response בסופוס. "גילינו כי התוקפים הצליחו לפרוץ לרשת המטרה ולקבל גישה להרשאות מנהל דומיין תוך 16 דקות מרגע ניצול פירצה בפיירוול. תוך שעות, התוקפים הצליחו להפעיל את אותות Cobalt Strike על השרתים שהפכו לשדרה המרכזית למתקפת הכופר".

"בהתקפות הנשלטות על ידי אנשים, התוקפים יכולים לבצע התאמות ולהגיב למצבים משתנים בזמן אמת. במקרה הזה, התוקפים השיגו במקביל גישה לשני שרתים, כך שכאשר המותקפים זיהו ונטרלו את אחד מהם – הם האמינו שהם הצליחו לעצור את ההתקפה בזמן – אף התוקפים פשוט החליפו שרת והמשיכו את ההתקפה באמצעות השרת החלופי. יצירת תוכנית ב' היא גישה נפוצה בהתקפות בהפעלה אנושית. זו תזכורת לכך שרק בגלל שפעילות חשודה מסויימת ברשת נעצרה, אין להסיק מכך שההתקפה באמת הסתיימה".

"לאחר חילוץ הנתונים, התוקפים הפעילו Cobalt Strike בכמעט 300 מכשירים והפעילו את תוכנת הכופר. הצד המותקף  נותר ללא אפשרויות, אלא לכבות תשתית חיונית ולעצור את הפעילות השוטפת. לאחר מכן הצד המותקף  יצר קשר עם סופוס, שהצליחו לנטרל ולהכיל את ההתקפה תוך 45 דקות. בתוך יום אחד הארגון המותקף  הצליח לאחזר מחשבים שנפגעו ולחזור לפעילות מלאה", אמר מקינזי.