Jag testade Windows 11 25H2 mot riktig ransomware – här är vad som hände

Hur testet sattes upp

Ett ransomware-test mot Windows 11 är egentligen ett test av fyra separata lager, inte ett antivirus. I videon körs testet på Windows 11 25H2 i ett helt isolerat labb, på en engångsmaskin som torkas av efteråt - det enda säkra sättet ett sådant test någonsin kan göras. Frågan som besvaras är inte bara "fick antiviruset det?", utan hur varje inbyggt lager beter sig, i ordning, när en riktig kryptering släpps lös.

Layer 1 - SmartScreen bedömer filen vid dörren

De flesta ransomware anländer inte av magi. Det kommer som en nedladdning, en e-postbilaga eller en fil kopierad från en USB-enhet – och den låtsas vanligtvis vara något annat: en faktura, ett CV, en mjukvaruspricka, en faktura. SmartScreen är kontrollpunkten vid den dörren. När du kör en fil som kom från internet kontrollerar Windows dess rykte. En fil som miljontals datorer har kört passerar lugnt; en helt ny eller okänd fil utlöser den blå varningsskärmen som så många människor klickar sig igenom utan att läsa.

Denna varningen är inte dekoration - det är lagret som fungerar exakt som det är designat, vilket säger att den här filen inte har någon meritlista. Den ärliga gränsen: SmartScreen bedömer rykte, inte avsikter. En fil som är ny men ofarlig blir varnad för, och en fil som har spridits brett innan någon rapporterade att den kan passera. Det är ett starkt första filter, inte en dom.

Layer 2 - Rykte och molnkontroller bakom kulisserna

Defender förlitar sig inte bara på signaturdatabasen som är lagrad på din PC. Med molnlevererat skydd på kontrolleras även en misstänkt fil mot Microsofts ständigt uppdaterade molnintelligens, och automatisk provinlämning kan skicka en tveksam fil för djupare analys. Så här kan ett hot som dök upp någonstans i världen för en timme sedan kännas igen på din PC idag istället för efter nästa databasuppdatering.

Dessa två växlar live på Windows Säkerhet > Virus- och hotskydd > Virus- och hotskyddsinställningar > Hantera inställningar. På många datorer är de på som standard - men på datorer där någon en gång "optimerat" Windows eller inaktiverat Defender-funktioner är de tyst avstängda. Den enda skillnaden förklarar varför samma test kan sluta olika på två till synes identiska maskiner.

Layer 3 - Defender Watches Beteende, inte bara filer

Det klassiska antivirusjobbet är att matcha filer mot kända dåliga signaturer. Ransomware besegrar det jobbet enkelt, eftersom varje kampanj kan använda nypackade filer som ingen har sett tidigare. Så Defender tittar också på beteende: ett program som plötsligt börjar öppna och skriva om hundratals dokument, foton och kalkylblad på några sekunder beter sig som ransomware oavsett filnamnet säger - och beteendeövervakning plus realtidsskydd finns för att avbryta exakt det mönstret.

Beteendetittande är kraftfullt men inte perfekt. Det behöver några filers aktivitet innan mönstret är obestridligt, och en snabb kryptering på en snabb SSD är snabb. Detta är den ärliga anledningen till att ingen ärlig expert lovar att bara antivirus gör dig säker – och varför nästa lager finns.

Layer 4 - Kontrollerad mappåtkomst skyddar själva filerna

Kontrollerad mappåtkomst ändrar frågan. Istället för att fråga "är det här programmet dåligt?", frågar det "finns det här programmet på den tillåtna listan för att röra dina viktiga mappar?" Dokument, bilder, videor, musik och skrivbord är skyddade som standard, och du kan lägga till dina egna arbetsmappar. Alla program som inte är pålitliga och som försöker ändra filer i dessa mappar är blockerade – inklusive en helt ny kryptering som lager 1 till 3 aldrig har sett.

Här är haken som avgör de flesta verkliga utfallen: Kontrollerad mappåtkomst är AV som standard vid en normal Windows-installation, eftersom en alltför strikt vakt ibland kan blockera ett legitimt program. Du slår på den under Windows Säkerhet > Virus- och hotskydd > Skydd mot lösenprogram > Hantera skydd mot lösenprogram. Av alla inställningar i den här guiden är detta den som de flesta hemdatorer saknar.

Sabotageskydd - vakten på vakterna

Varje lager ovan beror på att dess inställningar förblir på. Modern skadlig programvara vet detta, och ett av dess första drag är ofta att tyst stänga av Defender. Sabotageskydd finns för att stoppa exakt det: medan det är på kan Defenders nyckelinställningar inte ändras av appar eller skript - bara av dig, i Windows Security-appen. Den sitter på samma sida Hantera inställningar som molnet växlar i steg 3.

I ett test - och i en verklig incident - är detta skillnaden mellan försvar som slår tillbaka och försvar som tyst togs bort innan kampen startade. Kontrollera att den är på; det tar tio sekunder.

Layer Outside Windows - Your Offline Backup

Varje lager ovanför försöker stoppa attacken. Backuplagret förutsätter att attacken lyckades – och gör att det inte spelar någon roll. Ransomware kan inte kryptera en kopia som den inte kan nå, så en säkerhetskopia måste bo någonstans den infekterade datorn inte kan skriva till: en extern enhet som kopplas ur efter säkerhetskopieringen eller molnlagring med korrekt versionshistorik.

Bedömningen – en checklista, inte en poäng

Ett labbtest visar hur dessa lager beter sig mot de prover som valts den dagen med dessa inställningar. Det kröner inte en vinnare för alltid: angripare byter packning och trick hela tiden, och Microsoft uppdaterar intelligens hela tiden. Windows 11 25H2 fortsätter med samma lagermodell snarare än att ersätta den - den praktiska skillnaden för de flesta användare är uppdaterad intelligens och standardinställningar, inte en helt ny sköld.

Så det ärliga uttaget från testet är en checklista, inte en poäng. Få dessa fem rätt och du har återskapat den starkaste delen av alla testresultat på din egen dator: (1) respektera SmartScreen-varningen, (2) molnlevererat skydd på, (3) Sabotageskydd på, (4) Kontrollerad mappåtkomst aktiverad, (5) säkerhetskopia hålls offline. Se hela videon ovan för att se själva testet och använd sedan inställningarna.