Erradicación y recuperación: reinstalación de imágenes, eliminación de la persistencia, restauración desde respaldos limpios, parcheo del punto de entrada

La contención detiene la hemorragia; la erradicación elimina la causa, y la recuperación devuelve los sistemas a su operación normal. Hacer esto a fondo determina si el atacante realmente se fue o simplemente está esperando para volver. Muchas organizaciones han sufrido un segundo incidente en cuestión de semanas porque limpiaron el malware visible pero dejaron una puerta trasera, reutilizaron contraseñas comprometidas o restauraron respaldos infectados.