在研究人员发现可疑的AdFind使用数天之内，攻击者还试图在被攻破的组织的系统中部署他们的Yanlowang Ransomware有效载荷。在部署到受威胁的设备上之前，Ransomware操作员会启动一个恶意工具，用于执行以下操作：
? 创建一个.txt文件，其中包含要签入命令行的远程计算机数量
? 使用Windows管理工具(WMI)获取在.txt文件中列出的远程计算机上运行? ? 的进程列表
? 将所有进程和远程机器名称记录到processes.txt
赛门铁克说，它还记录所有进程和远程机器名称。然后在部署之后，Yanlowang将停止虚拟机管理程序，结束前体工具(包括SQL和Veeam)获取的所有进程，加密文件并追加.yanlowang扩展名。在加密系统中，Yanlowang还抛出了一张名为README.txt的赎金通知，警告受害者不要向执法部门伸出援手，也不要向任何勒索软件谈判公司求助。