Il crypto-ransomware è un malware che cripta file o interi sistemi e poi richiede un pagamento in cambio di una chiave di decrittazione o di assistenza per il ripristino. L'obiettivo è l'estorsione: rendendo i dati illeggibili, gli aggressori fanno pressione sulle vittime affinché paghino perché le normali operazioni vengono interrotte e i backup possono essere incompleti, offline o anch'essi presi di mira.
In pratica, il crypto-ransomware è spesso la fase visibile di una compromissione più ampia. Gli aggressori possono prima rubare credenziali, muoversi all'interno della rete, disabilitare le difese e individuare i sistemi più preziosi prima di avviare la crittografia. Per questo i difensori si concentrano su segnali di allarme precedenti, come l'uso insolito dei privilegi, il movimento laterale, la manomissione dei backup e attività di crittografia sospette. Una forte segmentazione, backup testati, rilevamento sugli endpoint e una risposta rapida agli incidenti possono ridurre l'impatto di questo tipo di attacco e possono bloccare l'ultimo blocco prima che si diffonda.