Jeg testet Windows 11 25H2 mot ekte ransomware – her er hva som skjedde

Hvordan testen ble satt opp

En løsepengevaretest mot Windows 11 er egentlig en test av fire separate lag, ikke ett antivirus. I videoen kjører testen på Windows 11 25H2 inne i et fullstendig isolert laboratorium, på en engangsmaskin som tørkes av etterpå – den eneste sikre måten en slik test noensinne kan gjøres. Spørsmålet som besvares er ikke bare "fanget antiviruset det?", men hvordan hvert innebygde lag oppfører seg, i rekkefølge, når en ekte kryptering slippes løs.

Lag 1 - SmartScreen bedømmer filen ved døren

De fleste løsepengeprogrammer kommer ikke ved magi. Den kommer som en nedlasting, et e-postvedlegg eller en fil som er kopiert fra en USB-stasjon – og den utgir seg vanligvis for å være noe annet: en faktura, en CV, en programvarecrack, en regning. SmartScreen er sjekkpunktet ved den døren. Når du kjører en fil som kom fra internett, sjekker Windows omdømmet. En fil som millioner av PC-er har kjørt trygt passerer stille; en helt ny eller ukjent fil utløser den blå advarselsskjermen som så mange mennesker klikker seg gjennom uten å lese.

Denne advarselen er ikke dekorasjon - det er laget som fungerer akkurat som designet, og forteller deg at denne filen ikke har noen track record. Den ærlige grensen: SmartScreen bedømmer omdømme, ikke intensjoner. En fil som er ny, men ufarlig, blir advart om, og en fil som har spredt seg mye før noen rapporterte den, kan passere. Det er et sterkt første filter, ikke en dom.

Lag 2 - Omdømme og skysjekker bak kulissene

Defender stoler ikke bare på signaturdatabasen som er lagret på PC-en din. Med sky-levert beskyttelse på, sjekkes en mistenkelig fil også mot Microsofts stadig oppdaterte skyintelligens, og automatisk prøveinnsending kan sende en tvilsom fil for dypere analyse. Slik kan en trussel som dukket opp et sted i verden for en time siden gjenkjennes på PC-en din i dag, i stedet for etter neste databaseoppdatering.

Disse to veksler direkte på Windows-sikkerhet > Virus- og trusselbeskyttelse > Virus- og trusselbeskyttelsesinnstillinger > Administrer innstillinger. På mange PC-er er de på som standard - men på PC-er der noen en gang har "optimalisert" Windows eller deaktivert Defender-funksjoner, er de stille av. Den enkle forskjellen forklarer hvorfor den samme testen kan ende annerledes på to tilsynelatende identiske maskiner.

Lag 3 - Defender Watches Atferd, ikke bare filer

Den klassiske antivirusjobben er å matche filer mot kjente dårlige signaturer. Ransomware beseirer den jobben enkelt, fordi hver kampanje kan bruke nypakkede filer som ingen har sett før. Så Defender ser også på atferd: et program som plutselig begynner å åpne og omskrive hundrevis av dokumenter, bilder og regneark i løpet av sekunder, oppfører seg som løsepengevare uansett hva filnavnet sier – og atferdsovervåking pluss sanntidsbeskyttelse finnes for å avbryte akkurat det mønsteret.

Atferdsovervåking er kraftig, men ikke perfekt. Den trenger noen få filers aktivitet før mønsteret er ubestridelig, og en rask kryptering på en rask SSD er rask. Dette er den ærlige grunnen til at ingen ærlig ekspert lover at antivirus alene gjør deg trygg – og hvorfor neste lag eksisterer.

Lag 4 - Kontrollert mappetilgang beskytter filene selv

Kontrollert mappetilgang endrer spørsmålet. I stedet for å spørre "er dette programmet dårlig?", spør den "er dette programmet på den tillatte listen for å berøre viktige mapper?" Dokumenter, bilder, videoer, musikk og skrivebord er beskyttet som standard, og du kan legge til dine egne arbeidsmapper. Ethvert program som ikke er klarert og prøver å endre filer i disse mappene er blokkert - inkludert en splitter ny kryptering som lag 1 til 3 aldri har sett.

Her er fangsten som avgjør de fleste utfall i den virkelige verden: Kontrollert mappetilgang er AV som standard på en vanlig Windows-installasjon, fordi en overstreng vakt av og til kan blokkere et legitimt program. Du slår den på ved Windows-sikkerhet > Virus- og trusselbeskyttelse > Ransomware-beskyttelse > Administrer løsepengebeskyttelse. Av alle innstillingene i denne veiledningen er dette den de fleste hjemme-PC-ene mangler.

Tamper Protection - Vakten på vaktene

Hvert lag over avhenger av at innstillingene forblir på. Moderne skadelig programvare vet dette, og et av de første grepene er ofte å stille av Defender. Sabotasjebeskyttelse eksisterer for å stoppe akkurat det: mens den er på, kan ikke Defenders nøkkelinnstillinger endres av apper eller skript - bare av deg, i Windows Security-appen. Den sitter på samme Administrer innstillinger-side som skyen veksler i trinn 3.

I en test – og i en reell hendelse – er dette forskjellen mellom forsvar som slår tilbake og forsvar som stille ble fjernet før kampen startet. Sjekk at den er på; det tar ti sekunder.

Laget utenfor Windows - Din frakoblede sikkerhetskopi

Hvert lag over prøver å stoppe angrepet. Sikkerhetskopieringslaget forutsetter at angrepet lyktes – og gjør at det ikke spiller noen rolle. Ransomware kan ikke kryptere en kopi den ikke kan nå, så én sikkerhetskopi må bo et sted den infiserte PC-en ikke kan skrive til: en ekstern stasjon som kobles fra etter sikkerhetskopieringen, eller skylagring med riktig versjonshistorikk.

Dommen - en sjekkliste, ikke en poengsum

En laboratorietest viser hvordan disse lagene oppfører seg mot prøvene som ble valgt den dagen, med disse innstillingene. Det kårer ikke en vinner for alltid: angripere endrer pakking og triks hele tiden, og Microsoft oppdaterer etterretningen kontinuerlig. Windows 11 25H2 fortsetter den samme lagdelte modellen i stedet for å erstatte den – den praktiske forskjellen for de fleste brukere er oppdatert intelligens og standardinnstillinger, ikke et helt nytt skjold.

Så den ærlige takeaway fra testen er en sjekkliste, ikke en poengsum. Få disse fem riktig, og du har reprodusert den sterkeste delen av ethvert testresultat på din egen PC: (1) respekter SmartScreen-advarselen, (2) sky-levert beskyttelse på, (3) sabotasjebeskyttelse på, (4) kontrollert mappetilgang aktivert, (5) sikkerhetskopiering aktivert. Se hele videoen ovenfor for å se selve testen, og bruk deretter innstillingene.