Полностью согласен, что просто гоняться за IOC сейчас смысла мало — они быстро меняются. Вот эти поведенческие паттерны и этапы атаки реально помогают отследить активность на ранних стадиях. Главное — автоматизировать и не пропускать мелкие подозрительные движения в логах, иначе шифровальщик уже на подходе.