小弟前公司今年一二月份的时候有某个使用者，
只是为了做简报去查需要的图片，路径是:
Google图片 -> 跳到该网页浏览图片 -> 在浏览网站时中了可能广告内的勒索加密病毒
(上述是根据与使用者"深度"访谈后，我们所得到的结论)
结果我们公司的"Public"网络磁盘(全公司共用)中的"某个资料夹"内档案通通被加密了，
且有在该资料夹下放置一张Bitcoin汇款的图片
会抓出是那个使用者，是因为他的电脑同时间也有本地的资料夹内档案被加密
第一时间我们就是把那台电脑断网关机
但我们最怕的事情是在我们控管的网域内"同样的勒索软件"再发生一次一模一样的事故
各位资安先进前辈们，有无推荐的办法在"事后"查出具体上是:
(1)哪个网站(ex.IP address/FQDN...)?
知道的话就可以设为防火墙黑名单
(2)透过哪种媒介(ex.Memory,Weaponized File,Email Phishing Link...)?
>>如果要从Email Link下手的话，
我们可以调的到他的所有云端和本地端的邮件
最大的问题问题是要用什么工具去查?如何查?查出来有意义吗?
知道的话就可叫大家删除此信以免误点击并设黑名单
(3)在我们断网关机前，加密勒索软件有没有可能已经把自己偷偷备份到某个硬盘位置?
还是说勒索软件都是存在内存里，关机后都会自动消失好让我们查不到?
知道的话就可以避免其他使用者误触同样的勒索软件