Un kit di strumenti ransomware è un software usato per supportare attività di intrusione a fini estorsivi. Può includere launcher, strumenti di cifratura, utilità per l'escalation dei privilegi, meccanismi di persistenza, strumenti di scoperta dei file o script che preparano un bersaglio per una successiva cifratura o per il furto di dati. Individuare questo tipo di strumentazione su un sistema è importante, ma non è una prova che i file siano stati cifrati o che sia stata presentata una richiesta di riscatto.
Negli incidenti reali, i difensori trattano un kit di strumenti ransomware come un forte indicatore di accesso ostile perché può rivelare intenzione, preparazione e possibile movimento laterale. La sua presenza spesso attiva il contenimento, la revisione dei log e i controlli di segmentazione per determinare se l'attaccante possa ancora raggiungere altri sistemi. Negli ambienti critici, il rilevamento conta ancora di più perché un singolo punto d'appoggio può minacciare la disponibilità prima che si verifichino danni visibili.