Que chercheriez-vous pour attraper un rançongiciel avant que le chiffrement ne commence ?

Le chiffrement est la dernière étape, donc visez les étapes d'avant : accès initial par un service distant exposé ou du phishing, extraction d'identifiants, déplacement latéral vers un contrôleur de domaine, commandes de découverte, et contournement des défenses comme la désactivation des outils de sécurité. Les signes à forte valeur sont la suppression des clichés instantanés, l'altération des agents de sauvegarde, l'accès massif à des fichiers depuis un seul hôte, et une tâche planifiée ou un changement de politique qui pousse un exécutable sur de nombreuses machines.

Au moment où les fichiers chiffrent, vous avez déjà perdu, donc je détecte les jours d'avant. La chaîne, c'est en général un accès par un service distant exposé ou une charge utile de phishing, puis du vol d'identifiants, puis un déplacement vers un contrôleur de domaine, puis la mise en place. Les signaux à plus forte fidélité sur lesquels j'ai alerté sont la suppression des clichés instantanés via vssadmin ou wmic, l'altération ou l'arrêt des protections de poste et des agents de sauvegarde, et les rafales de découverte : énumération des administrateurs du domaine, nltest, et énumération de partages depuis un poste qui ne l'a jamais fait. Des lectures et renommages massifs de fichiers en SMB depuis un seul hôte, c'est un signal tardif mais encore exploitable. Le déploiement passe souvent par une tâche planifiée ou un changement de stratégie de groupe qui pousse un exécutable partout, donc je surveille de près les modifications de stratégie, parce que c'est le moment où un hôte devient huit cents. Si je vois une suppression de clichés instantanés, je n'attends pas la confirmation. J'isole immédiatement et j'escalade, parce que le coût d'avoir tort, c'est un utilisateur agacé face à une panne à l'échelle de l'entreprise.