MLE_RANSOM_BEHAVIOR
Fidye Yazılımı Tespit Kuralının Tam Anatomisi

OpenEDR × Hydra Dragon çekirdeği • PTM / PatternsMatching v2 politika motoru
Kural Kimliği: RANSOM_BEHAVIOR  |  Yayın Olay Tipi: MLE_RANSOM_BEHAVIOR  |  baseType: 1000008
Politika Kaynağı: OpenEDR/edrav2/iprj/edrdata/ptm.local.src  •  Satır 4636 – 5129

01 Künye

Aşağıdaki tablo, kuralın kimlik bilgilerini ve teknik parametrelerini tek yerde toplar. Bu değerlerin tamamı depodaki kaynak koddan birebir alınmıştır; hiçbiri tahmin değildir. Kaynak satırları ve dosya yolları her hücrede verilmiştir.

02 Bir Cümlede

Yeni veya imzası bilinmeyen bir fidye yazılımı, sisteme indirilip çalıştırıldığı andan itibaren derlenmiş kod imzasına bakılmadan tespit edilir. Çünkü kural, kodun ne yaptığına bakar:

1. Kernel dosya sistemi süzgeci (minifilter), 60 saniye içinde 3 veya daha fazla ayrı kullanıcı dosyasına yazma / yeniden adlandırma / silme işlemi yapan bir süreci kayda geçirir.
2. Politika motoru o dosyaların metin olmadığını (ilk 8 KiB'lık ASCII taramasıyla) ve şifreli veri gibi yüksek entropili olduğunu doğrular.
3. Hedeflerin kullanıcı profilinde (C:\Users\...) ve AppData / Temp / Windows / Program Files dışında olduğunu doğrular.
4. Tüm koşullar tutarsa MLE_RANSOM_BEHAVIOR olayı üretilir; motor sürecin imaj dosyasını karantinaya alır ve süreci Global ID ile öldürür.
5. Kernel'in RansomShield modülü daha önce kaydettiği özgün dosya kopyalarını geri yükler.

03 Neden Bu Kural Bir İmza Değil, Bir Davranış Kuralı?

Klasik antivirüs düşüncesi şöyledir: “Bu dosyayı daha önce gördüm, SHA-256'sı listede var, zararlı.” Bu yöntem iki yerde kırılır.

04 Uçtan Uca Mimari: Olayın Yolculuğu

Kuralın arkasında sekiz ayrı katman var. Olayın yolculuğunu baştan sona izleyelim.

Kritik ayrım şudur: destination: "IN" olayı motorun icine tutar (bu bir tespit değil, bir durum makinesi adımıdır); destination: "OUT" ise olayı motor dışına, zenginleştirme ve yanıt zincirine çıkarır. MLE_RANSOM_BEHAVIOR OUT ile yayılır — yani gerçek bir tespittir.

05 Altyapı: PTM (PatternsMatching) Motoru

Kural, JSON tabanlı bir politika dilinde tanımlıdır. Derlendiğinde ürüne gömülür ve denetlenebilir kalır — yani bu sayfadaki her satır, üründe çalışan gerçek kodun satırıdır. Motor C++ ile yazılmıştır (libedr/src/policy_v2.cpp, policycompiler.cpp, policyoperation.cpp, signcontext.cpp).

5.1 — Yönergeler (Directives)

Her kural maddesi, bir "rule" sözlüğü içinde yönergelerden oluşur:

5.2 — Operasyonlar ve Değerlendirme Semantiği

5.3 — Joker (Wildcard) Eşleme Semantiği

imatch operatörü joker kalıpları iki ayrı motora dağıtır ve bu seçim performansı doğrudan etkiler:

06 Kuralın Anatomisi: 16 Madde, 5 Aşama

RANSOM_BEHAVIOR deseni 16 kural maddesinden oluşur. Bu maddeler beş mantıksal aşama hâlinde gruplanır. Aşağıda her aşama, ilgili kaynak kodla birlikte açıklanmıştır.

Madde 1a — LLE_FILE_DATA_READ_FULL

Dosya, eksiksiz ve sıralı biçimde baştan sona okunduğunda üretilen kernel olayını yakalar. Minifilter bunu ancak readInfo.nNextPos == nSizeAtCreation koşulu sağlandığında yapar — yani kısmi okumalar sayılmaz.

{
  "eventType": "LLE_FILE_DATA_READ_FULL",
  "rule": {
    "condition": {
      "$operation": "!imatch",
      "pattern":   "@const.ransomSystemExclusions",
      "args": [ "@event.file.path" ]
    },
    "saveContext": {
      "basket":    "@const.ransomBasket.readWrite",   // "RANSOM_FILE_READ_WRITE"
      "key":       "@event.file.path",
      "lifetime":  120000,                              // 120 saniye (ms)
      "data": { "file": "@event.file" }
    }
  }
}

Madde 1b — LLE_FILE_MAP_READ (bellek eşleme ile okuma)

Aynı iş, haritalama (mmap) yoluyla yapılıyorsa. Birçok modern fidye yazılımı dosyayı CreateFile + ReadFile ile değil, NtCreateSection + NtMapViewOfSection ile belleğe eşler. Bu yol hiç IRP_MJ_READ göndermez; dolayısıyla yukarıdaki madde 1a onu yakalayamaz. Minifilter bu yüzden IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION IRP'sinin PAGE_READONLY sayfa korumasını ayrı bir olaya çevirir.

Sekiz gerçek madde (2a–2g) aynı kalıbı paylaşır. Tamamı aşağıdaki yapıdadır — madde 2b örneği:

{
  "eventType": "LLE_FILE_DATA_WRITE_FULL",
  "rule": {
    "condition": {
      "$operation": "!imatch",
      "pattern":   "@const.ransomSystemExclusions",
      "args": [ "@event.file.path" ]
    },
    "createEvent": {
      "eventType":   "MLE_RANSOM_CANDIDATE",
      "destination": "IN",            // motorun içinde kalır
      "clone":       false,
      "data": [
        { "name": "baseType",         "value": "@const.ransomBehaviorEventBaseType.MLE_RANSOM_BEHAVIOR" },
        { "name": "process",          "value": "@event.process" },
        { "name": "processes",        "value": "@event.processes" },
        { "name": "destination",      "value": "@event.file" },
        { "name": "time",             "value": "@event.time" },
        { "name": "tickTime",         "value": "@event.tickTime" },
        { "name": "quarantineTarget", "value": "@event.file.path" }
      ]
    }
  }
}

{
  "eventType": "MLE_RANSOM_CANDIDATE",
  "rule": {
    "createEvent": {
      "eventType":   "MLE_RANSOM_EVALUATE",
      "destination": "IN",
      "clone":       false,
      "data": [
        { "name": "baseType",    "value": "@const.ransomBehaviorEventBaseType.MLE_RANSOM_BEHAVIOR" },
        { "name": "process",     "value": "@event.process" },
        { "name": "processes",   "value": "@event.processes" },
        { "name": "destination", "value": "@event.destination" },
        { "name": "source",      "value": "@event.source" },
        { "name": "time",        "value": "@event.time" },
        { "name": "tickTime",    "value": "@event.tickTime" }
      ]
    }
  }
}

"createEvent": {
  "eventType":   "MLE_RANSOM_BEHAVIOR",
  "destination": "OUT",              // TESPİT ÇIKIŞI: motoru terk eder
  "clone":       false,
  "data": [
    { "name": "baseType",                       "value": "@const.ransomBehaviorEventBaseType.MLE_RANSOM_BEHAVIOR" },
    { "name": "process",                        "value": "@event.process" },
    { "name": "processes",                      "value": "@event.processes" },
    { "name": "destination",                    "value": "@event.destination" },
    { "name": "time",                           "value": "@event.time" },
    { "name": "tickTime",                       "value": "@event.tickTime" },
    { "name": "quarantineTarget",               "value": "@event.process.imageFile.rawPath" },
    { "name": "should_trust_company_whitelist", "value": true },
    { "name": "should_trust_comodo_fls_cloud",  "value": true }
  ]
}

{
  "eventType": "LLE_PROCESS_DELETE",
  "rule": {
    "deleteContext": {
      "basket": "@const.ransomBasket.readWrite",
      "group":  "@event.process.id"
    }
  }
}

07 Dokuz Süzgeç, Tek Tek

Aşama 4'ün condition alanı, tek bir "and" zincirinde birleştirilmiş dokuz bağımsız filtredir. Kural tetiklenmesi için hepsinin aynı anda tutması gerekir. Bu, varsayılan olarak kapalı (fail-safe) bir tasarımdır: yanlış pozitif değil, kaçırılan tespit üzerine kuruludur.

"rule": {
  "distinctCounter": {
    "basket":    "ransomFileDistinct",
    "key":       "@event.process.pid",          // HER SÜREÇ AYRI SAYILIR
    "values":    [ "@event.destination.path" ],  // sayılan değer
    "threshold": 3,
    "window":    60000,
    "flag":      "@event.RansomThresholdMet"
  },
  "condition": {
    "$operation": "and",
    "args": [
      // [1] AKTÖR beyaz listede mi?
      { "$operation": "!imatch", "pattern": "@const.ransomSystemExclusions",
        "args": [ "@event.process.imageFile.rawPath" ] },

      // [2] HEDEF beyaz listede mi?
      { "$operation": "!imatch", "pattern": "@const.ransomSystemExclusions",
        "args": [ "@event.destination.path" ] },

      // [3] HEDEF kullanıcının kendi verisi mi?  (zorunlu +)
      { "$operation": "imatch", "pattern": "*\\users\\*",
        "args": [ "@event.destination.path" ] },

      // [4] AppData hariç mi?  (tarayıcı / cache FP koruması)
      { "$operation": "!imatch", "pattern": "*\\appdata\\*",
        "args": [ "@event.destination.path" ] },

      // [5] MOTW ADS değil mi?  (indirilen dosya / FP koruması)
      { "$operation": "!imatch", "pattern": "*:Zone.Identifier*",
        "args": [ "@event.destination.path" ] },

      // [6] Hedef çalıştırılabilir bir dosya değil mi?
      { "$operation": "equal", "args": [ "@event.destination.type", "OTHER" ] },

      // [7] UZANTILI dosya  AND  KULLANICI UZANTISI  AND  ENTROPİ
      { "$operation": "and", "args": [
          { "$operation": "or", "args": [
              { "$operation": "imatch", "pattern": "*\\*.*.*", "args": [ "@event.destination.path" ] },
              { "$operation": "imatch", "pattern": "*\\*.*.*", "args": [ "@event.source.path"      ] } ] },
          { "$operation": "or", "args": [
              { "$operation": "imatch", "pattern": "@const.ransomFileExtensions", "args": [ "@event.destination.path" ] },
              { "$operation": "imatch", "pattern": "@const.ransomFileExtensions", "args": [ "@event.source.path"      ] } ] },
          { "$operation": "or", "args": [
              { "$operation": "greater", "args": [ "@event.destination.owlyEntropy", 6 ] },
              { "$operation": "greater", "args": [ "@event.destination.entropy",      6 ] },
              { "$operation": "greater", "args": [ "@event.owlyEntropy",               6 ] },
              { "$operation": "greater", "args": [ "@event.entropy",                   6 ] } ] }
      ] },

      // [8] Hedef METİN DOSYASI DEĞİL mi?  (asıl metin koruması)
      { "$operation": "!equal", "args": [ "@event.destination.isAsciiText", true ] },

      // [9] HACİM eşiği aşıldı mı?  (60 sn içinde 3+ AYRI hedef)
      { "$operation": "equal", "args": [ "@event.RansomThresholdMet", true ] }
    ]
  }
}

// Content-based ASCII-text check. Exact C++ port of:
//   fn looks_like_ascii_text(data: &[u8]) -> bool
// Empty input -> false. Samples at most the first 8192 bytes, fail-fast once
// the non-printable count reaches 15% + 1. Printable set: \t \n \r 0x20..=0x7E.
bool FileDataProvider::is_look_like_ascii_text(const uint8_t* data, size_t len)
{
    if (data == nullptr || len == 0) return false;
    const size_t sampleLen = len < 8192 ? len : 8192;        // <-- ANALİZ PENCERESİ 8 KiB
    const size_t threshold = sampleLen * 15 / 100 + 1;  // 8192'de = 1229 bayt
    size_t nonPrintable = 0;
    for (size_t i = 0; i < sampleLen; ++i)
    {
        const uint8_t b = data[i];
        const bool printable = (b == '\t' || b == '\n' || b == '\r' || (b >= 0x20 && b <= 0x7E));
        if (!printable && ++nonPrintable >= threshold)
            return false;                             // <-- FAIL-FAST
    }
    return true;
}

08 distinctCounter: Kayan Pencerede Ayrı Değer Sayacı

distinctCounter, motorun en özgün yönergesidir. Basit bir sayaç değildir: aynı değerin tekrarı sayıya katkı yapmaz. Bu küçük ama kritik ayrım, kuralın neden “3 dosya” dediğini açar.

"distinctCounter": {
  "basket":    "ransomFileDistinct",        // ayrı sayaç alanı (konteyner)
  "key":       "@event.process.pid",         // HER SÜREÇ AYRI SAYILIR
  "values":    [ "@event.destination.path" ], // sayılan değer: HEDEF YOLU
  "threshold": 3,                             // 3 AYRI hedef
  "window":    60000,                         // 60 saniye kayan pencere
  "flag":      "@event.RansomThresholdMet"    // sonuç buraya yazılır
}

8.1 — Semantik: ne sayıyor, ne saymıyor?

8.2 — Somut Senaryo

09 Dosya Nesnesi: Hangi Alana Bakılıyor?

Kuralın @event.destination.* ve @event.file.* ifadeleri, sürücüden gelen ham bir yol değil, zenginleştirilmiş bir dosya nesnesinin alanlarına işaret eder. Bu nesne tembel (lazy) üretilir: bir alan gerçekten okunmadıkça diskte de okunmaz.

10 Shannon Entropisi: Q24 Sabit Nokta ile Hesaplama

Entropi, verinin ne kadar “rastgele” olduğunun ölçüsüdür. Şifreli veri (AES, ChaCha) teorik maksimuma, yani 8 bit/byte'a yakın değerdir. Düz metin ise 3,5–5 bandındadır. Bu fark, “şifreli mi?” sorusunu sayısal bir ölçüte çevirir.

10.1 — Algoritma

// ENTROPY_ONE_Q24 = 2^24.  Aralık: [0, 8 * ENTROPY_ONE_Q24]
// Float'a çevirmek için: (double)sonuç / (double)ENTROPY_ONE_Q24
constexpr ULONGLONG ENTROPY_ONE_Q24 = 1ULL << 24;

ULONGLONG shannonEntropyQ24(PUCHAR buffer, size_t size)
{
    if (!buffer || size == 0) return 0;

    // 256 kovalı bayt histogramı
    ULONGLONG bkt[256] = {};
    for (size_t i = 0; i < size; i++) bkt[buffer[i]]++;

    ULONGLONG slQ24 = OwlyLog2Q24((ULONGLONG)size);        // log2(N)
    ULONGLONG wsum  = 0;
    for (ULONG i = 0; i < 256; i++)
        if (bkt[i]) wsum += bkt[i] * OwlyLog2Q24(bkt[i]);

    ULONGLONG avg  = wsum / (ULONGLONG)size;               // (1/N) * SUM n_i*log2(n_i)
    ULONGLONG eQ24 = (slQ24 > avg) ? (slQ24 - avg) : 0;   // H = log2(N) - (1/N)*SUM(...)
    if (eQ24 > c_EntMaxQ24) eQ24 = c_EntMaxQ24;   // 8 ile sınırla
    return eQ24;
}

10.2 — Neden Q24 sabit nokta?

10.3 — Nerede ve nasıl örneklenir?

10.4 — Tipik değerler

11 Beyaz Liste ve Uzantı Gözcüsü

11.1 — Sistem İstisnaları (8 kayıt)

Bu liste, kuralın en sıkı çalışan iki süzgecini besler (S1 ve S2). Yorum satırı kaynakta açıkça belirtilmiştir: “System and browser cache paths excluded from ransomware tripping (FP reduction)” — yanlış pozitif azaltma amacıyla sistem ve tarayıcı önbellek yolları hariç tutuldu.

// System and browser cache paths excluded from ransomware tripping (FP reduction)
"ransomSystemExclusions": [
  "*\\Windows\\*",                // mod "all"   <-- içinde \Windows\
  "C:\\Windows\\explorer.exe",   // mod "begin" <-- İLE BAŞLIYOR
  "*\\Program Files\\*",          // mod "all"
  "*\\Program Files (x86)\\*",    // mod "all"
  "*\\ProgramData\\*",            // mod "all"
  "*\\AppData\\*",                // mod "all"  (harf duyarsız)
  "*\\Temp\\*",                   // mod "all"
  "*:Zone.Identifier*"            // mod "all"  <-- NTFS ADS
],

11.2 — Kullanıcı Dosyası Uzantı Gözcüsü (1479 kayıt)

Kaynak yorumu şunu söyler: “Extensions of user files whose encryption is treated as ransomware-relevant. Scopes the file-encryption candidate so extensionless / temp files do not FP.”

// Extensions of user files whose encryption is treated as ransomware-relevant.
// Scopes the file-encryption candidate so extensionless / temp files do not FP.
"ransomFileExtensions": [
  "*.0", "*.0nv", "*.0rv", "*.1", "*.10", "*.10-config",
  "*.12", "*.13", "*.14", "*.15", "*.16", "*.17",
  "*.18", "*.199", "*.1cd", "*.1m", "*.20", "*.25",
  "*.3fr", "*.3gp", "*.3g2", "*.amr", "*.avi", "*.bak",
  "*.blend", "*.bmp", "*.cdr", "*.cpp", "*.cr3", "*.csv",
  "*.dbf", "*.dll", "*.doc", "*.docx", "*.dot", "*.dotx",
  "*.dwg", "*.eml", "*.enc", "*.encrypted", "*.flac", "*.gif",
  "*.gz", "*.htm", "*.html", "*.ico", "*.indd", "*.java",
  "*.jpeg", "*.jpg", "*.js", "*.json", "*.locked", "*.log",
  "*.mdb", "*.mdf", "*.mkv", "*.mov", "*.mp3", "*.mp4",
  "*.odt", "*.pdf", "*.php", "*.png", "*.ppt", "*.pptx",
  "*.psd", "*.py", "*.rar", "*.rb", "*.rtf", "*.sln",
  "*.sql", "*.tar", "*.tiff", "*.txt", "*.vhd", "*.vmdk",
  "*.wav", "*.webm", "*.webp", "*.wmv", "*.xls", "*.xlsx",
  "*.xml", "*.zip", "*.zip-o-matic", "*.zoo", "*.zst"
  // ... alfabetik, 1479 kayıt, *.0 -> *.zst
],

Listeyi analiz edersek

12 Kernel Tarafı: Hangi IRP, Hangi Olay?

Kuralın tetikleyicilerinin tamamı Ring-0'da üretilir. Minifilter, yedi IRP major fonksiyonunu kaydeder. Bu kayıt, kuralın tamamını belirler:

CONST FLT_OPERATION_REGISTRATION c_Callbacks[] =
{
    { IRP_MJ_CREATE,  0, preCreate,  postCreate  },
    { IRP_MJ_CLEANUP, 0, preCleanup, postCleanup },
    { IRP_MJ_SET_INFORMATION, FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO, preSetFileInfo, postSetFileInfo },
    { IRP_MJ_WRITE,   0, preWrite,   postWrite   },
    { IRP_MJ_READ,    0, preRead,    postRead    },
    { IRP_MJ_DEVICE_CONTROL, 0, preDeviceControl, nullptr },
    { IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION, 0, preAcquireForSectionSync, nullptr },

    { IRP_MJ_OPERATION_END }
};

12.1 — Sürücü Tarafı Olay Kodları

12.2 — “Tam okuma” ve “tam yazma” nasıl kanıtlanır?

Bu, kuralın en sağlam mühendislik parçasıdır. Minifilter hiçbir zaman “dosyaya yazıldı” demez; bunu kanıtlar:

12.3 — mmap yolu: görünmez olanın yakalanması

/*  mmap ile yapılan okuma/yazma HİÇBİR IRP_MJ_READ / IRP_MJ_WRITE
    üretmez.  NtCreateSection + NtMapViewOfSection doğrudan belleğe
    eşler.  Bu yüzden tek görünür sinyal, section edinme IRP'sidir.  */

Sürücü, PAGE_READONLY korumasını okuma niyeti, PAGE_READWRITE / PAGE_WRITECOPY / PAGE_EXECUTE_READWRITE / PAGE_EXECUTE_WRITECOPY korumalarını yazma niyeti olarak sınıflandırır. accessMask alanına sayfa koruması yazılır.

13 Neden İki Ara Olay Var?

MLE_RANSOM_CANDIDATE ve MLE_RANSOM_EVALUATE ara olayları “gereksiz işlem” gibi görünebilir. Değildir. Üç somut faydaları vardır:

14 Yanıt Zinciri: Tespitten Sonrası Ne Olur?

Tespit üretilmesi bir son değildir. MLE_RANSOM_BEHAVIOR olayı OUT ile zenginleştirme, güven kontrolü, öldürme, karantina ve geri yükleme zincirinden geçer. Aşağıdaki akış DetectionNotifier::execute("put") içindeki gerçek sıradır.

14.1 — Neden quarantineTarget sürecin imajıdır?

14.2 — Güven bayrakları: should_trust_*

15 Neden Mükemmel Bir Ransomware Kuralı?

“Mükemmel” burada şu anlama geliyor: sıfırıncı gün farkından bağımsız, hedef odaklı, kanıt temelli, ve kanıtlanabilir olarak kurtarıcı. Aşağıda on iki somut gerekçe.

15.1 — Saldırgana karşı bu kuralı nasıl atlamaya çalışırsınız?

Güvenli tarafı test etmek için, bir red team sorusunu cevaplamak gerekir:

16 Dürüst Sınırlar ve Bilinen Kusurlar

Bu bölüm bilinçli olarak yazılmıştır. Bir ürünün güçlü yanlarını anlatmak kolaydır; zayıf yanlarını aynı sayfada, aynı cesaretle anlatmak ise güveni insani kılar. Aşağıdaki maddeler, kaynak kod incelemesiyle tespit edilmiş gerçek bulgulardır — ne varsayım, ne kötü niyet, sadece açık gerçek.

16.1 — Tasarımdan kaynaklanan sınırlar

16.2 — Kodda doğrudan doğrulanmış kusurlar

16.3 — Derleme ve üretim zinciri notları

• Geliştirici derleme aracı: edrdata/compile_ptm.bat, edrcon.exe compile -o ptm.act common.src ptm.local.src. Üretilen ptm.act, srcBinInstall ve srcBinUpgrade dizinlerine senkronize edilir.
• Ürün kendisi de derler: Servis başlangıcında politika yeniden derlenir; geliştirici betiği yalnızca kolaylıktır.
• Sınır testi: distinctCounter için yalnızca eşik ve pencere belirlenir; eşik, pencere, anahtar, sayılan değer tamamen politika dosyasından gelir — motorda tek bir kurala özel sabit yoktur.

17 Komşu Kurallar: Tek Başına Yaşamaz

MLE_RANSOM_BEHAVIOR, fidye yazılımı savunmasının tek parçasıdır. Aşağıdaki komşu kurallar, ona birlikte bakan ve birbirini tamamlayan katmanlardır.

"ransomShadowDeleteCmdLines": [
  "*vssadmin*delete shadows*",
  "*wmic*shadowcopy delete*",
  "*wmic*shadowcopy*delete*",
  "*wbadmin*delete catalog*",
  "*bcdedit*recoveryenabled*no*",
  "*wbadmin*delete systemstatebackup*",
  "*vssadmin*resize shadowstorage*"
]

18 Analist El Kitabı

Bir SOC analisti veya bir güvenlik araştırmacı bu kuraldan nasıl faydalanır? Aşağıdaki yol, doğru tarafı okumanın en hızlı yoludur.

18.1 — Tespit edildiğinde ilk bakacağınız 8 alan

18.2 — Yanlış pozitif triage kararı

18.3 — Kuralı değiştirmek istiyorsanız

Kural hariciden değiştirilebilir değildir; kaynak kod modifikasyonları güvenlik açığı riski taşır. En temiz yol, politika dosyasını fork edip edrdata/ptm.local.src içinde RANSOM_BEHAVIOR bloğunu düzenlemektir. En sık ihtiyaç duyulan değişiklikler:

// 1) Hassasiyet / tolerans ayarı  (varsayılan 3/60s)
"threshold": 3,        // 2 yaparsanız test örnekleri de yakalanır
"window":    60000,    // 300000 yaparsanız yavaş şifreleyiciler de yakalanır

// 2) Coğrafya ayarı  (zorunlu pozitif koşul)
"pattern": "*\\users\\*"   // ağ sürücüleri için ayrı bir kural açın

// 3) Yeni korunacak yol eklemek
"ransomSystemExclusions": [ ..., "*\\OneDrive\\*", "*\\Google\\Drive\\*" ]

19 Sık Sorulan Sorular

20 Kaynak Haritası

Bu sayfadaki her iddianın kaynak dosyası. Politika motoru açık kaynak olduğu için, okuduğunuz her şey doğrudan doğrulanabilir.