Vorgehen von Trojaner Petya

LinuxerHF

Hallo,

wie geht z.B. der Petya Trojaner beim verschlüsseln vor? Ich habe einen Linux Server auf dem der Samba Dienst läuft.
Meine Client Rechner sind alle auf Linux.

Dennoch kann es vorkommen das ich mal einen Windows Rechner im Netzwerk habe.
Klar ich kann diesen Abschotten keine Freigabe geben usw. Aber das Spielt jetzt keine Rolle.

Gehen wir mal davon aus das der Windows Rechner eine Freigabe auf das Samba Laufwerk hat und er sich mit z.B. Petya infiziert hat.

Wie geht Petya vor... Fängt er oben in der Verzeichnisstruktur an? Nimmt sich die erste Datei z.B. aaaaaa.doc sind auch versteckte Dateien betroffen?

Ich frage das weil ich habe eine Idee wie man den Schaden gering halten könnte. Mit Linux ist es möglich das Dateisystem zu überwachen ob z.B. eine bestimmte Datei verändert, verschoben usw. wird.

Man könnte dann eine Datei .aaaaa,doc anlegen und diese überwachen. Sollte diese Datei verändert werden wird der Samba Dienst sofort gestoppt und das betroffene Laufwerk per unmount ausgehängt.

Damit hätte der verseuchte Rechner keine Chance mehr die anderen Datei zu verschlüsseln.
Das würde aber nur Sinn ergeben oder besser gesagt funktionieren wenn der Trojaner chronologisch vorgeht.