| 可写 | 工具链重合、基础设施相似、样本家族一致 |
|---|---|
| 不写 | 无情报支撑的组织与地域归因 |
措辞示例
措辞示例
可写：本次使用的加载器与已知样本家族 X 的混淆特征一致（引用样本哈希与规则）。
不写：该组织此前在公开报告中与 Y 组织关联，故本次判断为 Y 组织实施。把第三方报道当作证据引用会削弱报告可信度，引用要落在可验证的样本与规则上。
技术取证能支撑“与该样本家族同源”这类技术判断，组织级归因需要专门情报支撑，超出证据范围的归因不写进结论。
| 可写 | 工具链重合、基础设施相似、样本家族一致 |
|---|---|
| 不写 | 无情报支撑的组织与地域归因 |
可写：本次使用的加载器与已知样本家族 X 的混淆特征一致（引用样本哈希与规则）。
不写：该组织此前在公开报告中与 Y 组织关联，故本次判断为 Y 组织实施。