Wonach würdest du suchen, um Ransomware zu erwischen, bevor die Verschlüsselung startet?

Verschlüsselung ist der letzte Schritt, ziel also auf die Phasen davor: Initial Access über exponierte Remote-Dienste oder Phishing, Credential Dumping, laterale Bewegung Richtung Domain Controller, Discovery-Kommandos und Defense Evasion wie das Abschalten von Security-Tooling. Hochwertige Verräter sind das Löschen von Volume Shadow Copies, Manipulation an Backup-Agents, Massenzugriff auf Dateien von einem Host, und ein Scheduled Task oder eine Policy-Änderung, die eine ausführbare Datei auf viele Maschinen schiebt.

Wenn Dateien verschlüsselt werden, hast du bereits verloren, ich erkenne also die Tage davor. Die Kette ist meistens Zugang über einen exponierten Remote-Dienst oder eine Phishing-Payload, dann Credential-Diebstahl, dann Bewegung Richtung Domain Controller, dann Staging. Die Signale mit der höchsten Trefferqualität, auf die ich alarmiert habe, sind das Löschen von Shadow Copies über vssadmin oder wmic, Manipulation an oder Stoppen von Endpoint Protection und Backup-Agents, und Discovery-Schübe: Domain-Administratoren aufzählen, nltest und Share-Enumeration von einer Workstation, die das nie getan hat. Massenhaftes Lesen und Umbenennen von Dateien über SMB von einem Host ist ein spätes, aber immer noch handlungsfähiges Signal. Die Ausbringung ist oft ein Scheduled Task oder eine Group-Policy-Änderung, die eine ausführbare Datei überallhin schiebt, ich beobachte Policy-Änderungen also genau, denn das ist der Punkt, an dem aus einem Host achthundert werden. Wenn ich das Löschen von Shadow Copies sehe, warte ich nicht auf Bestätigung. Ich isoliere sofort und eskaliere, denn die Kosten des Irrtums sind ein genervter Nutzer gegen einen unternehmensweiten Ausfall.