Ransomware ist selten „eine einzelne Signatur“ — meist geht es um einen auffälligen Prozess, um massenhaft veränderte Dateien und um den Versuch, Wiederherstellungspunkte zu zerstören. Am Endpoint zählt deshalb zweierlei: den Angriff früh unterbrechen und nach Möglichkeit einen Weg offenhalten, über den sich die Dateien zurückholen lassen.
Im Paket Kalkhan Anti-Virüs wird die Ransomware-Kette nicht als eigene Lizenz verkauft: Honeypot-Fallen, native Eingriffe in Prozesse, VSS-Rollback und Shelter (der verschlüsselte Rückzugsort) gehören zum selben Windows-Endpoint-Produkt. Dieser Beitrag nennt keine Laborwerte, sondern beschreibt das Vorgehen, das sich im Alltag bewährt.
Lösegeld zu zahlen ist keine Lösung. Zuerst muss das Verhalten gestoppt werden, danach kommen Backup und Wiederherstellung.
Worauf es am Endpoint ankommt
- Auffällig schnelle Verschlüsselung und Zugriffe auf Köderdateien (Honeypot)
- Schutz der Schattenkopien beziehungsweise der VSS-Punkte
- Shelter für kritische Dateien und ein zentrales Wiederherstellungs-Center
- Im Ereigniscenter nachvollziehen, was tatsächlich blockiert wurde
- Aufmerksame Nutzer: verdächtige Anhänge und Zugriffe per Remote Desktop
Produktbezug
Technische Details finden Sie auf der Seite zum Ransomware-Schutz und beim Produkt Kalkhan Anti-Virüs. Ist der Vorfall bereits eingetreten, nutzen Sie das Formular zur Ransomware-Hilfe oder den Kontakt.
Verwandte Beiträge: Schutz vor Ransomware, Vorsicht bei Phishing.