"Wanneer een bestaand bestand wordt versleuteld gebeurt dat toch met een kopie van dat bestand? Als dat zo is zou de malware de originele files moeten weggooien en daarna veilig moeten wissen (met nullen overschrijven)." Waarom zo moeilijk? Gewoon het bestand openen voor read/write en dan sector voor sector inlezen, encrypten en terug schrijven. Dan zet het OS de sector weer op dezelfde plek terug en is er nergens meer een copie. Gaat natuurlijk fout als het proces halfweg afbreekt en de file is dan corrupt, maar ik denk niet dat dit de virusmaker veel kan schelen. Wat ik wel opvallend vind is dat er steeds maar wordt gesteld dat de encryptie plaats vindt met AES en daarom onkraakbaar zou zijn. Echter AES is een symmetrisch algorithme. De encryptie key is dezelfde als de decryptiekey. Dus als het virus nog bezig is met het verder encrypten van je bestanden dan moet de key op dat moment op je computer aanwezig zijn! Het wachten is dus op een programma'tje wat je in dat geval kunt starten en de key kunt ...