Раньше просто ловили шифровальщик по хешам и адресам, а теперь эти IOC быстро устаревают и никак. Зато фокус на поведенческих паттернах и этапах атаки – куда практичнее, хоть вначале тяжело понять всю цепочку. Главное – заметить малейшие подозрительные движения в логах до шифровальщика, тогда шанс отбить атаку реально появляется.