encryption शुरू होने से पहले ransomware पकड़ने के लिए आप क्या देखेंगे?

encryption आखिरी कदम है, इसलिए उससे पहले के चरणों को निशाना बनाएं: खुली remote service या phishing से initial access, credential dumping, किसी domain controller की तरफ lateral movement, discovery वाली command, और सिक्योरिटी टूल बंद करने जैसी defense evasion। ऊंची कीमत वाले सुराग हैं volume shadow copy का मिटाया जाना, backup agent से छेड़छाड़, एक ही host से बड़े पैमाने पर file access, और कोई scheduled task या policy बदलाव जो कई मशीनों पर executable धकेल रहा हो।

जब तक file encrypt होने लगें, आप हार चुके होते हैं, इसलिए मैं उससे पहले के दिन पकड़ता हूं। कड़ी आमतौर पर किसी खुली remote service या phishing payload से access, फिर credential चोरी, फिर किसी domain controller की तरफ हरकत, फिर staging होती है। मैंने जिन सबसे भरोसेमंद संकेतों पर alert किया है वे हैं vssadmin या wmic से shadow copy मिटाना, endpoint protection और backup agent से छेड़छाड़ या उन्हें रोकना, और discovery के झोंके: domain administrator की गिनती, nltest, और ऐसे workstation से share की गिनती जिसने यह कभी नहीं किया। एक ही host से SMB पर बड़े पैमाने पर file पढ़ना और नाम बदलना देर का पर अब भी काम का संकेत है। तैनाती अक्सर कोई scheduled task या group policy का बदलाव होती है जो हर जगह executable धकेलता है, इसलिए मैं policy में बदलाव पर बारीकी से नजर रखता हूं, क्योंकि वही वह बिंदु है जहां एक host आठ सौ बन जाता है। अगर मुझे shadow copy मिटती दिखे तो मैं पुष्टि का इंतजार नहीं करता। मैं तुरंत अलग करके escalate करता हूं, क्योंकि गलत होने की कीमत एक चिढ़ा हुआ यूजर है बनाम पूरी कंपनी का ठप होना।