Una catena del ransomware è l'intera sequenza di loader, script, strumenti malware e passaggi di accesso che portano a un payload ransomware finale. Invece di rilasciare direttamente il software di crittografia, gli aggressori spesso usano più fasi: un documento o un archivio apre un loader, il loader esegue script o una backdoor e questi strumenti recuperano o avviano il payload finale.
Questo è importante perché ogni fase può nascondere la successiva e rendere più difficile il rilevamento. I team di sicurezza possono vedere documenti apparentemente innocui, attività insolite di PowerShell o Python, strumenti di accesso remoto o download in più fasi molto prima che inizi la crittografia. I difensori usano questa visione della catena per correlare gli avvisi, bloccare l'abuso degli script, cercare persistenza e movimento laterale e fermare l'attacco in anticipo. In pratica, il nome finale del ransomware è meno importante del percorso usato per arrivarci.