O que você procuraria para pegar ransomware antes de a criptografia começar?

Criptografia é o último passo, então mire nos estágios anteriores: acesso inicial por serviços remotos expostos ou phishing, extração de credenciais, movimento lateral em direção a um controlador de domínio, comandos de descoberta, e evasão de defesa como desabilitar ferramentas de segurança. Sinais de alto valor incluem exclusão de cópias de sombra de volume, adulteração de agentes de backup, acesso em massa a arquivos a partir de um host, e uma tarefa agendada ou mudança de política empurrando um executável para muitas máquinas.

Quando os arquivos já estão criptografando você já perdeu, então eu detecto os dias anteriores. A cadeia normalmente é acesso por um serviço remoto exposto ou um payload de phishing, depois roubo de credenciais, depois movimento em direção a um controlador de domínio, depois preparação. Os sinais de maior fidelidade em que eu já alertei são exclusão de cópias de sombra por vssadmin ou wmic, adulteração ou parada de proteção de endpoint e agentes de backup, e rajadas de descoberta: enumerar administradores de domínio, nltest, e enumeração de compartilhamentos a partir de uma estação que nunca fez isso. Leitura e renomeação em massa de arquivos por SMB a partir de um host é um sinal tardio mas ainda acionável. A distribuição costuma ser uma tarefa agendada ou uma mudança de política de grupo empurrando um executável para todo lado, então eu vigio modificação de política de perto, porque é o ponto em que um host vira oitocentos. Se eu vejo exclusão de cópia de sombra eu não espero confirmação. Eu isolo na hora e escalo, porque o custo de estar errado é um usuário irritado contra uma parada em toda a empresa.