การโจมตีเรียกค่าไถ่ด้วยมัลแวร์ครั้งแรกที่เป็นที่รู้จักคือ " AIDS Trojan " ซึ่งเขียนโดยJoseph Poppในปี 1989 มีข้อบกพร่องในการออกแบบที่ร้ายแรงมากจนไม่จำเป็นต้องจ่ายเงินให้กับผู้เรียกค่าไถ่เลย เพย์โหลดของมันซ่อนไฟล์บนฮาร์ดไดรฟ์และเข้ารหัสเฉพาะชื่อ ไฟล์เท่านั้น และแสดงข้อความอ้างว่าใบอนุญาตของผู้ใช้ในการใช้ซอฟต์แวร์บางชิ้นหมดอายุแล้ว ผู้ใช้ถูกขอให้จ่ายเงิน 189 ดอลลาร์สหรัฐให้กับ "PC Cyborg Corporation" เพื่อรับเครื่องมือซ่อมแซม แม้ว่าคีย์ถอดรหัสจะสามารถดึงออกมาจากโค้ดของโทรจันได้ โทรจันนี้ยังเป็นที่รู้จักในชื่อ "PC Cyborg" Popp ถูกประกาศว่ามีสภาพจิตใจไม่เหมาะสมที่จะเข้ารับการพิจารณาคดีจากการกระทำของเขา แต่เขาสัญญาว่าจะบริจาคกำไรจากมัลแวร์เพื่อสนับสนุนการวิจัยโรคเอดส์^{[ 33 ]}

แนวคิดในการใช้ระบบเงินสดนิรนามเพื่อเรียกค่าไถ่จากการลักพา ตัวมนุษย์อย่างปลอดภัย นั้นถูกนำเสนอในปี 1992 โดย Sebastiaan von Solms และDavid Naccache [ ^{34 ] วิธี}การรวบรวมเงินอิเล็กทรอนิกส์นี้ยังถูกเสนอสำหรับการโจมตีเรียกค่าไถ่ด้วยคริปโตไวรัสด้วย^{[ 1 ]}ในสถานการณ์ของ von Solms-Naccache มีการใช้การเผยแพร่ในหนังสือพิมพ์ (เนื่องจาก บัญชีแยกประเภท Bitcoinยังไม่มีอยู่ในขณะที่เขียนบทความ)

แนวคิดการใช้การเข้ารหัส แบบกุญแจสาธารณะ สำหรับการโจมตีแบบลักพาตัวข้อมูลนั้นถูกนำเสนอครั้งแรกในปี 1996 โดย Adam L. Young และMoti Yung Young และ Yung ได้วิพากษ์วิจารณ์มัลแวร์โทรจัน AIDS Information Trojan ที่ล้มเหลว ซึ่งอาศัยการเข้ารหัสแบบสมมาตรเพียงอย่างเดียว โดยข้อบกพร่องร้ายแรงคือสามารถดึงกุญแจถอดรหัสออกมาจากโทรจันได้ พวกเขาจึงได้สร้างไวรัสเข้ารหัสแบบทดลองเพื่อพิสูจน์แนวคิดบนเครื่องMacintosh SE/30โดยใช้RSAและTiny Encryption Algorithm (TEA) ในการเข้ารหัสแบบไฮบริดข้อมูลของเหยื่อ เนื่องจาก ใช้ การเข้ารหัสแบบกุญแจสาธารณะไวรัสจึงมีเพียง กุญแจ เข้ารหัส เท่านั้น ผู้โจมตีจะเก็บ กุญแจถอดรหัส ส่วนตัว ที่เกี่ยวข้องไว้ เป็นความลับ ไวรัสเข้ารหัสแบบทดลองดั้งเดิมของ Young และ Yung นั้นให้เหยื่อส่งข้อความเข้ารหัสแบบอสมมาตรไปยังผู้โจมตี ซึ่งผู้โจมตีจะถอดรหัสและส่งกุญแจถอดรหัสแบบสมมาตรที่อยู่ในนั้นกลับคืนให้เหยื่อโดยคิดค่าธรรมเนียม ก่อนที่เงินอิเล็กทรอนิกส์จะมีอยู่จริง Young และ Yung ได้เสนอว่าเงินอิเล็กทรอนิกส์สามารถถูกข่มขู่ผ่านการเข้ารหัสได้เช่นกัน โดยระบุว่า "ผู้เขียนไวรัสสามารถเรียกค่าไถ่เงินทั้งหมดได้อย่างมีประสิทธิภาพจนกว่าจะได้รับเงินครึ่งหนึ่ง แม้ว่าเงินอิเล็กทรอนิกส์จะถูกเข้ารหัสโดยผู้ใช้ก่อนหน้านี้แล้วก็ตาม แต่ก็ไม่มีประโยชน์สำหรับผู้ใช้หากถูกเข้ารหัสโดยไวรัสเข้ารหัส" ^{[ 1 ]}พวกเขาเรียกการโจมตีเหล่านี้ว่า "การข่มขู่ด้วยไวรัสเข้ารหัส" ซึ่งเป็นการโจมตีแบบเปิดเผยที่เป็นส่วนหนึ่งของการโจมตีประเภทใหญ่กว่าในสาขาที่เรียกว่าวิทยาไวรัสเข้ารหัสซึ่งครอบคลุมทั้งการโจมตีแบบเปิดเผยและแบบปกปิด^{[ 1 ]}โปรโตคอลการข่มขู่ด้วยไวรัสเข้ารหัสได้รับแรงบันดาลใจจากความสัมพันธ์แบบปรสิตระหว่าง facehugger ของ HR Gigerกับโฮสต์ในภาพยนตร์เรื่องAlien ^{[ 1 ] [ 18 ]}

ตัวอย่างของแรนซัมแวร์ที่เรียกค่าไถ่เริ่มปรากฏให้เห็นอย่างเด่นชัดในเดือนพฤษภาคม พ.ศ. 2548 ^{[ 35 ]}ในช่วงกลางปี ​​พ.ศ. 2549 โทรจัน เช่นGpcode , TROJ_RANSOM, Archiveus , Krotten , Cryzip และ MayArchive เริ่มใช้รูปแบบการเข้ารหัส RSA ที่ซับซ้อนมากขึ้น โดยมีขนาดคีย์ที่เพิ่มขึ้นเรื่อยๆ Gpcode.AG ซึ่งตรวจพบในเดือนมิถุนายน พ.ศ. 2549 ถูกเข้ารหัสด้วยคีย์สาธารณะ RSA ขนาด 660 บิต^{[ 36 ]}ในเดือนมิถุนายน พ.ศ. 2551 ได้มีการตรวจพบตัวแปรที่รู้จักกันในชื่อ Gpcode.AK ซึ่งใช้คีย์ RSA ขนาด 1024 บิต เชื่อกันว่ามีขนาดใหญ่พอที่จะไม่สามารถถอดรหัสได้ด้วยวิธีการคำนวณโดยปราศจากความพยายามแบบกระจาย อย่างเป็นระบบ ^{[ 37 ] [ 38 ] [ 39 ] [ 40 ]}

มัลแวร์เรียกค่าไถ่แบบเข้ารหัสกลับมามีบทบาทสำคัญอีกครั้งในช่วงปลายปี 2013 ด้วยการแพร่กระจายของCryptoLockerซึ่งใช้ แพลตฟอร์ม สกุลเงินดิจิทัลBitcoin ในการเรียกเก็บเงินค่าไถ่ ในเดือนธันวาคม 2013 ZDNetประเมินจากข้อมูลธุรกรรม Bitcoin ว่าระหว่างวันที่ 15 ตุลาคมถึง 18 ธันวาคม ผู้ดำเนินการ CryptoLocker ได้รับเงินประมาณ 27 ล้านดอลลาร์สหรัฐจากผู้ใช้ที่ติดเชื้อ^{[ 41 ]}เทคนิค CryptoLocker ถูกลอกเลียนแบบอย่างกว้างขวางในช่วงหลายเดือนต่อมา รวมถึง CryptoLocker 2.0 (ซึ่งคิดว่าไม่เกี่ยวข้องกับ CryptoLocker) CryptoDefense (ซึ่งในตอนแรกมีข้อบกพร่องในการออกแบบที่สำคัญที่จัดเก็บคีย์ส่วนตัวไว้ในระบบที่ติดเชื้อในตำแหน่งที่ผู้ใช้สามารถเรียกคืนได้เนื่องจากการใช้ API การเข้ารหัสในตัวของ Windows) ^{[ 30 ] [ 42 ] [ 43 ] [ 44 ]}และการค้นพบ Trojan ในเดือนสิงหาคม 2014 ที่มุ่งเป้าไปที่อุปกรณ์จัดเก็บข้อมูลที่เชื่อมต่อกับเครือข่าย ที่ผลิตโดย Synology โดย เฉพาะ^{[ 45 ]}ในเดือนมกราคม พ.ศ. 2558 มีรายงานว่าการโจมตีแบบแรนซัมแวร์เกิดขึ้นกับเว็บไซต์แต่ละแห่งผ่านการแฮ็ก และผ่านแรนซัมแวร์ที่ออกแบบมาเพื่อโจมตี^เว็บเซิร์ฟเวอร์ที่ใช้ลินุกซ์ [ ^{46 ] [ 47 ]}

ที่น่าสังเกตคือ ในปี 2020 เครื่องมือ Ransomware-as-a-service (RaaS) Thanosที่เขียนด้วยภาษา C# และสร้างโดยแพทย์โรคหัวใจชาวเวเนซุเอลา-ฝรั่งเศสMoises Luis Zagala Gonzalez [ ^{48 ] นับ}เป็นหนึ่งในซอฟต์แวร์แรนซัมแวร์ตัวแรกๆ ที่ใช้ RIPlace เพื่อหลีกเลี่ยงเทคนิคป้องกันไวรัส^{[ 49 ]}

ในปี 2022 คอสตาริกาประสบกับ การโจมตีด้วยแรนซัมแวร์ Conti อย่างแพร่หลาย ซึ่งส่งผลกระทบต่อรัฐบาล การดูแลสุขภาพ และอุตสาหกรรม^{[ 50 ]}เหตุการณ์นี้ทำให้ประธานาธิบดีโรดริโก ชาเวส ประกาศสถานการณ์ฉุกเฉินและประกาศว่าคอสตาริกากำลัง "ทำสงคราม" กับแฮกเกอร์แรนซัมแวร์^{[ 51 ]}

ในการติดเชื้อบางกรณี จะมีเพย์โหลดสองขั้นตอน ซึ่งเป็นเรื่องปกติในระบบมัลแวร์หลายระบบ ผู้ใช้จะถูกหลอกให้เรียกใช้สคริปต์ ซึ่งจะดาวน์โหลดไวรัสหลักและเรียกใช้งาน ในเวอร์ชันแรก ๆ ของระบบเพย์โหลดสองขั้นตอน สคริปต์จะอยู่ในเอกสาร Microsoft Office ที่มีมาโคร VBScript แนบมาด้วย หรือในไฟล์ Windows Scripting Facility (WSF) เมื่อระบบตรวจจับเริ่มบล็อกเพย์โหลดขั้นตอนแรกเหล่านี้ ศูนย์ป้องกันมัลแวร์ของ Microsoft ได้ระบุแนวโน้มที่เปลี่ยนไปใช้ไฟล์ LNK ที่มี สคริปต์ Microsoft Windows PowerShellในตัว^{[ 52 ]}ในปี 2016 พบว่า PowerShell มีส่วนเกี่ยวข้องกับเหตุการณ์ด้านความปลอดภัยของอุปกรณ์ปลายทางเกือบ 40% ^{[ 53 ]}

มัลแว ร์เรียกค่าไถ่บางสายพันธุ์ใช้พร็อกซีที่เชื่อมโยงกับ บริการ Tor hidden servicesเพื่อเชื่อมต่อกับ เซิร์ฟเวอร์ ควบคุมและสั่งการทำให้ยากต่อการติดตามตำแหน่งที่แน่นอนของอาชญากร^{[ 54 ] [ 55 ]}นอกจากนี้ ผู้ขาย ในดาร์กเว็บ ยัง เริ่มนำเสนอเทคโนโลยีในรูปแบบบริการมากขึ้นโดยขายมัลแวร์เรียกค่าไถ่ที่พร้อมใช้งานบนเครื่องของเหยื่อในรูปแบบการสมัครสมาชิก คล้ายกับ Adobe Creative Cloud หรือ Office 365 ^{[ 55 ] [ 56 ] [ 57 ]}

Symantec ได้จัดให้แรนซัมแวร์เป็นภัยคุกคามทางไซเบอร์ที่อันตรายที่สุด^{[ 58 ]}

ในเดือนสิงหาคม พ.ศ. 2553 ทางการรัสเซียได้จับกุมบุคคล 9 คนที่เกี่ยวข้องกับมัลแวร์เรียกค่าไถ่โทรจันที่รู้จักกันในชื่อ WinLock ซึ่งแตกต่างจากโทรจัน Gpcode รุ่นก่อนหน้า WinLock ไม่ได้ใช้การเข้ารหัส แต่ WinLock จำกัดการเข้าถึงระบบอย่างง่ายๆ โดยการแสดงภาพลามกอนาจารและขอให้ผู้ใช้ส่งSMS แบบเสียค่าบริการ (ราคาประมาณ 10 ดอลลาร์สหรัฐ) เพื่อรับรหัสที่สามารถใช้ปลดล็อกเครื่องได้ การหลอกลวงนี้ส่งผลกระทบต่อผู้ใช้จำนวนมากทั่วรัสเซียและประเทศเพื่อนบ้าน โดยมีรายงานว่ากลุ่มนี้ทำเงินได้มากกว่า 16 ล้านดอลลาร์สหรัฐ^{[ 21 ] [ 59 ]}

ในปี 2554 มัลแวร์เรียกค่าไถ่ Trojan ปรากฏขึ้นโดยเลียนแบบ ข้อความแจ้งเตือน การเปิดใช้งานผลิตภัณฑ์ Windowsและแจ้งให้ผู้ใช้ทราบว่าการติดตั้ง Windows ของระบบต้องได้รับการเปิดใช้งานใหม่เนื่องจาก "[ตกเป็นเหยื่อของการฉ้อโกง]" มีตัวเลือกการเปิดใช้งานออนไลน์ให้เลือก (เช่นเดียวกับกระบวนการเปิดใช้งาน Windows จริง) แต่ไม่สามารถใช้งานได้ ผู้ใช้ต้องโทรไปยังหมายเลขระหว่างประเทศ หนึ่งในหก หมายเลขเพื่อป้อนรหัส 6 หลัก แม้ว่ามัลแวร์จะอ้างว่าการโทรนี้จะฟรี แต่ก็ถูกส่งผ่านผู้ให้บริการนอกระบบในประเทศที่มีอัตราค่าโทรศัพท์ระหว่างประเทศสูง ซึ่งจะพักสายไว้ ทำให้ผู้ใช้ต้องเสียค่าโทรทางไกล ระหว่างประเทศจำนวนมาก ^{[ 19 ]}

ในปี 2555 Symantec รายงานการแพร่กระจายของแรนซัมแวร์จากยุโรปตะวันออก โดยมีหน้าจอล็อกที่อ้างว่าเป็นหน่วยงานบังคับใช้กฎหมายเพื่อเรียกร้องการชำระเงินสำหรับกิจกรรมที่ผิดกฎหมาย^{[ 60 ]}

ในเดือนกุมภาพันธ์ พ.ศ. 2556 มัลแวร์ เรียกค่าไถ่โทรจันที่ใช้ชุดเครื่องมือโจมตี Stamp.EK ปรากฏขึ้น มัลแวร์นี้ถูกเผยแพร่ผ่านเว็บไซต์ที่โฮสต์บนบริการโฮสติ้งโครงการSourceForgeและGitHubซึ่งอ้างว่าเสนอ "ภาพเปลือยปลอม" ของคนดัง^{[ 61 ]}ในเดือนกรกฎาคม พ.ศ. 2556 มัลแวร์เรียกค่าไถ่โทรจันเฉพาะสำหรับ OS Xปรากฏขึ้น ซึ่งแสดงหน้าเว็บที่กล่าวหาผู้ใช้ว่าดาวน์โหลดภาพลามกอนาจาร ต่างจากเวอร์ชันที่ใช้ Windows ตรงที่มันไม่ได้บล็อกคอมพิวเตอร์ทั้งหมด แต่ใช้ประโยชน์จากพฤติกรรมของเว็บเบราว์เซอร์เองเพื่อขัดขวางความพยายามในการปิดหน้าเว็บด้วยวิธีปกติ^{[ 62 ]}

ในเดือนกรกฎาคม พ.ศ. 2556 ชายอายุ 21 ปีจากเวอร์จิเนีย ซึ่งคอมพิวเตอร์ของเขามีภาพถ่ายลามกอนาจารของเด็กหญิงที่ยังไม่บรรลุนิติภาวะซึ่งเขาได้ติดต่อสื่อสารทางเพศด้วย ได้เข้ามอบตัวต่อตำรวจหลังจากได้รับและถูกหลอกลวงโดยแรนซัมแวร์ MoneyPak ของ FBIที่กล่าวหาว่าเขามีภาพลามกอนาจารเด็ก การสืบสวนพบไฟล์ที่เป็นหลักฐาน และชายคนนั้นถูกตั้งข้อหาล่วงละเมิดทางเพศเด็กและครอบครองภาพลามกอนาจารเด็ก^{[ 63 ]}

สิ่งที่ตรงกันข้ามกับแรนซัมแวร์คือ การโจมตี คริปโตไวรัสที่คิดค้นโดย Adam L. Young ซึ่งขู่ว่าจะเผยแพร่ข้อมูลที่ถูกขโมยจากระบบคอมพิวเตอร์ของเหยื่อแทนที่จะปฏิเสธการเข้าถึงข้อมูลนั้น^{[ 64 ]}ในการโจมตีแบบลีคแวร์ มัลแวร์จะขโมยข้อมูลโฮสต์ที่ละเอียดอ่อนไปยังผู้โจมตีหรือไปยังอินสแตนซ์ระยะไกลของมัลแวร์ และผู้โจมตีขู่ว่าจะเผยแพร่ข้อมูลของเหยื่อเว้นแต่จะจ่ายค่าไถ่ การโจมตีนี้ถูกนำเสนอที่เวสต์พอยต์ในปี 2546 และสรุปไว้ในหนังสือMalicious Cryptographyดังนี้ "การโจมตีนี้แตกต่างจากการโจมตีแบบกรรโชกทรัพย์ในลักษณะต่อไปนี้ ในการโจมตีแบบกรรโชกทรัพย์ เหยื่อจะถูกปฏิเสธการเข้าถึงข้อมูลที่มีค่าของตนเองและต้องจ่ายเงินเพื่อให้ได้ข้อมูลคืน ในขณะที่การโจมตีที่นำเสนอในที่นี้ เหยื่อยังคงเข้าถึงข้อมูลได้ แต่การเปิดเผยข้อมูลนั้นขึ้นอยู่กับดุลยพินิจของไวรัสคอมพิวเตอร์" ^{[ 65 ]}การโจมตีนี้มีรากฐานมาจากทฤษฎีเกมและเดิมทีถูกเรียกว่า "เกมผลรวมไม่เป็นศูนย์และมัลแวร์ที่เอาชีวิตรอดได้" การโจมตีดังกล่าวอาจก่อให้เกิดผลประโยชน์ทางการเงินในกรณีที่มัลแวร์สามารถเข้าถึงข้อมูลที่อาจสร้างความเสียหายแก่ผู้ใช้หรือองค์กรที่เป็นเหยื่อได้ เช่น ความเสียหายต่อชื่อเสียงที่อาจเกิดขึ้นจากการเผยแพร่หลักฐานว่าการโจมตีนั้นประสบความสำเร็จ

เป้าหมายทั่วไปของการลักลอบนำข้อมูลออก ได้แก่:

• ข้อมูลของบุคคลที่สามที่ผู้เสียหายหลักจัดเก็บไว้ (เช่น ข้อมูลบัญชีลูกค้าหรือบันทึกสุขภาพ)
• ข้อมูลที่เป็นกรรมสิทธิ์ของผู้เสียหาย (เช่น ความลับทางการค้าและข้อมูลผลิตภัณฑ์)
• ข้อมูลที่น่าอับอาย (เช่น ข้อมูลสุขภาพของเหยื่อ หรือข้อมูลเกี่ยวกับประวัติส่วนตัวของเหยื่อ)

การโจมตีแบบ Exfiltration มักจะมุ่งเป้าหมายด้วยรายชื่อเหยื่อที่คัดสรรมาแล้ว และมักจะมีการตรวจสอบระบบของเหยื่อเบื้องต้นเพื่อค้นหาเป้าหมายข้อมูลและจุดอ่อนที่อาจเกิดขึ้น^{[ 66 ] [ 67 ]}

ด้วยความนิยมที่เพิ่มขึ้นของแรนซัมแวร์บนแพลตฟอร์มพีซี แรนซัมแวร์ที่มุ่งเป้าไปที่ระบบปฏิบัติการมือถือก็แพร่หลายมากขึ้นเช่นกัน โดยทั่วไปแล้ว เพย์โหลดของแรนซัมแวร์บนมือถือจะเป็นตัวบล็อก เนื่องจากไม่มีแรงจูงใจมากนักในการเข้ารหัสข้อมูล เพราะสามารถกู้คืนได้ง่ายผ่านการซิงโครไนซ์ออนไลน์^{[ 68 ]}แรนซัมแวร์บนมือถือมักจะมุ่งเป้าไปที่ แพลตฟอร์ม Androidเนื่องจากอนุญาตให้ติดตั้งแอปพลิเคชันจากแหล่งที่มาภายนอกได้^{[ 68 ] [ 69 ]} โดยทั่วไปแล้ว เพย์โหลดจะถูกแจกจ่ายในรูปแบบไฟล์ APKที่ผู้ใช้ที่ไม่รู้ตัวติดตั้ง อาจพยายามแสดงข้อความบล็อกทับแอปพลิเคชันอื่นๆ ทั้งหมด^{[ 69 ]}ในขณะที่อีกแบบหนึ่งใช้รูปแบบclickjackingเพื่อทำให้ผู้ใช้ให้สิทธิ์ "ผู้ดูแลระบบอุปกรณ์" เพื่อเข้าถึงระบบได้ลึกยิ่งขึ้น^{[ 70 ]}

มีการใช้กลยุทธ์ที่แตกต่างกันบน อุปกรณ์ iOSเช่น การใช้ประโยชน์จาก บัญชี iCloudและการใช้ ระบบ Find My iPhoneเพื่อล็อกการเข้าถึงอุปกรณ์^{[ 71 ]}ในiOS 10.3 Apple ได้แก้ไขข้อบกพร่องในการจัดการหน้าต่างป๊อปอัพ JavaScript ในSafariซึ่งถูกเว็บไซต์แรนซัมแวร์ใช้ประโยชน์^{[ 72 ]} เมื่อเร็วๆ นี้ได้มีการแสดงให้เห็นว่าแรนซัมแวร์อาจกำหนดเป้าหมายสถาปัตยกรรม ARM เช่นเดียวกับที่พบในอุปกรณ์ Internet-of-Things (IoT) ต่างๆ เช่น อุปกรณ์ Industrial IoT edge ^{[ 73 ]}

ในเดือนสิงหาคม 2019 นักวิจัยได้แสดงให้เห็นว่าสามารถแพร่เชื้อแรนซัมแวร์ไปยังกล้อง DSLR ได้ ^{[ 74 ]}กล้องดิจิทัลมักใช้Picture Transfer Protocol (PTP) ในการถ่ายโอนไฟล์ นักวิจัยพบว่าสามารถใช้ประโยชน์จากช่องโหว่ในโปรโตคอลเพื่อแพร่เชื้อแรนซัมแวร์ไปยังกล้องเป้าหมาย (หรือเรียกใช้โค้ดใดๆ ก็ได้) การโจมตีนี้ถูกนำเสนอในการ ประชุมด้านความปลอดภัย Defconในลาสเวกัสในฐานะการโจมตีเพื่อพิสูจน์แนวคิด (ไม่ใช่ในฐานะมัลแวร์ติดอาวุธจริง)

การโจมตีครั้งแรกเกิดขึ้นกับผู้ใช้แบบสุ่ม โดยมักติดไวรัสผ่านไฟล์แนบในอีเมลที่ส่งโดยกลุ่มอาชญากรขนาดเล็ก ซึ่งเรียกร้องเงินคริปโตเคอร์เรนซีจำนวนไม่กี่ร้อยดอลลาร์เพื่อปลดล็อกไฟล์ (โดยทั่วไปคือรูปถ่ายและเอกสารส่วนตัวของบุคคล) ที่ถูกแรนซอมแวร์เข้ารหัสไว้ เมื่อแรนซอมแวร์เติบโตขึ้นในฐานะธุรกิจ กลุ่มอาชญากรที่จัดตั้งขึ้นก็เข้ามาในวงการ โดยโฆษณาหาผู้เชี่ยวชาญในดาร์กเว็บและ ว่าจ้างงาน ภายนอกทำให้คุณภาพของแรนซอมแวร์ดีขึ้นและประสบความสำเร็จมากขึ้น แทนที่จะส่งอีเมลแบบสุ่ม กลุ่มอาชญากรเหล่านี้ขโมยข้อมูลประจำตัว ค้นหาช่องโหว่ในเครือข่ายเป้าหมาย และปรับปรุงมัลแวร์เพื่อหลีกเลี่ยงการตรวจจับโดยโปรแกรมสแกนไวรัส ค่าไถ่ที่เรียกร้องเพิ่มสูงขึ้นเป็นจำนวนเงินที่มากขึ้น (หลายล้าน) ซึ่งองค์กรต่างๆ จะจ่ายเพื่อกู้คืนข้อมูล แทนที่จะเป็นเพียงหลักร้อยสำหรับเอกสารของตน

ในปี 2016 พบว่าการโจมตีโรงพยาบาลด้วยแรนซัมแวร์เพิ่มขึ้นอย่างมีนัยสำคัญ จากรายงานภัยคุกคามด้านความปลอดภัยทางอินเทอร์เน็ตประจำปี 2017 ของ Symantec Corp พบว่าแรนซัมแวร์ไม่เพียงส่งผลกระทบต่อระบบไอทีเท่านั้น แต่ยังส่งผลกระทบต่อการดูแลผู้ป่วย การดำเนินงานทางคลินิก และการเรียกเก็บเงินด้วย อาชญากรออนไลน์อาจได้รับแรงจูงใจจากเงินที่มีอยู่และความรู้สึกเร่งด่วนภายในระบบการดูแลสุขภาพ^{[ 75 ]}

แรนซัมแวร์กำลังเติบโตอย่างรวดเร็วในหมู่ผู้ใช้อินเทอร์เน็ตและในสภาพแวดล้อม IoT ^{[ 60 ]}ปัญหาใหญ่คือองค์กรและอุตสาหกรรมบางแห่งที่ตัดสินใจจ่ายเงินต้องสูญเสียเงินหลายล้านดอลลาร์ เช่น ศูนย์การแพทย์ฮอลลีวูดเพรสไบทีเรียนและเมดสตาร์เฮลท์^{[ 76 ]}

จากรายงาน ISTR ปี 2019 ของ Symantec พบว่าในปี 2018 กิจกรรมแรนซัมแวร์ลดลงเป็นครั้งแรกนับตั้งแต่ปี 2013 โดยลดลงถึง 20 เปอร์เซ็นต์ ก่อนปี 2017 ผู้บริโภคเป็นเหยื่อหลัก แต่ในปี 2017 สถานการณ์เปลี่ยนไปอย่างมาก โดยเปลี่ยนไปเป็นองค์กรธุรกิจแทน ในปี 2018 เส้นทางนี้เร่งตัวขึ้น โดยมีการติดเชื้อถึง 81 เปอร์เซ็นต์ ซึ่งคิดเป็นการเพิ่มขึ้น 12 เปอร์เซ็นต์^{[ 77 ]}วิธีการเผยแพร่ทั่วไปในปัจจุบันคือการใช้แคมเปญอีเมล

ในช่วงปลายปี 2019 กลุ่มแรนซัมแวร์ Maze ได้ดาวน์โหลดไฟล์สำคัญของบริษัทต่างๆ ก่อนที่จะล็อกไฟล์เหล่านั้น และขู่ว่าจะเปิดเผยข้อมูลสู่สาธารณะหากไม่จ่ายค่าไถ่ ซึ่งอย่างน้อยหนึ่งกรณี พวกเขาก็ทำเช่นนั้นจริง กลุ่มอื่นๆ อีกมากมายก็ทำตาม โดยสร้าง "เว็บไซต์รั่วไหล" บนดาร์กเว็บเพื่อให้สามารถเข้าถึงข้อมูลที่ถูกขโมยได้ การโจมตีในภายหลังมุ่งเน้นไปที่การขู่ว่าจะรั่วไหลข้อมูลโดยไม่จำเป็นต้องล็อกไฟล์ ซึ่งทำให้การป้องกันที่เหยื่อได้รับจากขั้นตอนการสำรองข้อมูลที่แข็งแกร่งนั้นไร้ประโยชน์ณ ปี 2023มีความเสี่ยงที่รัฐบาลที่เป็นศัตรูจะใช้แรนซัมแวร์เพื่อปกปิดสิ่งที่จริง ๆ แล้วคือการรวบรวมข้อมูลข่าวกรอง^{[ 78 ]}

การเสียชีวิตครั้งแรกที่มีรายงานหลังจากการโจมตีด้วยแรนซัมแวร์เกิดขึ้นที่โรงพยาบาลในเยอรมนีในเดือนตุลาคม 2020 ^{[ 79 ]}

มีการโจมตีด้วยแรนซัมแวร์เพิ่มขึ้นอย่างมีนัยสำคัญในช่วงการระบาดของ COVID-19 ในปี 2020 หลักฐานพบว่าสถาบันเป้าหมายของการโจมตีเหล่านี้ ได้แก่ รัฐบาล การเงิน และการดูแลสุขภาพ นักวิจัยโต้แย้งว่ามีหลายปัจจัยที่สามารถอธิบายการเพิ่มขึ้นของการโจมตีในช่วงเวลานี้ได้ อย่างไรก็ตาม ปัจจัยสำคัญประการหนึ่งคือการทำงานจากระยะไกลซึ่งกลายเป็นเรื่องปกติสำหรับหลายอุตสาหกรรมในปี 2020 ส่งผลให้การโจมตีเพิ่มขึ้นอย่างมากเนื่องจากขาดความปลอดภัยเมื่อเทียบกับสภาพแวดล้อมการทำงานแบบดั้งเดิม^{[ 80 ]}

คาดว่าการโจมตีด้วยแรนซัมแวร์ส่งผลให้มีการจ่ายเงินรวมทั้งสิ้น 1.1 พันล้านดอลลาร์ในปี 2019, 999 ล้านดอลลาร์ในปี 2020 และ 1.25 พันล้านดอลลาร์ในปี 2023 ซึ่งเป็นสถิติสูงสุด ตัวเลขนี้ลดลงเหลือ 813 ล้านดอลลาร์ในปี 2024 โดยลดลงอย่างมากในช่วงครึ่งหลังของปี ตามข้อมูลของบริษัทวิจัยChainalysisซึ่งเป็นผลมาจากการที่เหยื่อปฏิเสธที่จะจ่ายเงิน และการดำเนินการโดยหน่วยงานบังคับใช้กฎหมาย อย่างไรก็ตาม Chainalysis กล่าวว่าแนวโน้มการลดลงของการจ่ายเงินนั้นเปราะบาง และการโจมตีด้วยแรนซัมแวร์ยังคงแพร่หลาย^{[ 81 ]}ปฏิบัติการระหว่างประเทศที่ประสานงานกันในเดือนกุมภาพันธ์ 2024 ได้โค่นล้มแก๊งLockBitและแก๊งBlackCat/ALPHVก็หายไป^{[ 81 ]}

ในช่วงต้นปี 2025 สหราชอาณาจักรกำลังพิจารณาที่จะห้ามโรงเรียน NHS และสภาท้องถิ่นไม่ให้จ่ายเงินค่าไถ่แรนซอมแวร์ กำหนดให้บริษัทเอกชนต้องรายงานการจ่ายเงินที่เสนอ และกำหนดให้ต้องรายงานการโจมตีแรนซอมแวร์อย่างเป็นภาคบังคับ^{[ 81 ]}

ในปี 2555 มัลแวร์เรียกค่าไถ่โทรจันตัวใหญ่ที่รู้จักกันในชื่อ Reveton เริ่มแพร่กระจาย โดยอิงจากโทรจัน Citadel (ซึ่งอิงจาก โทรจัน Zeus อีกที ) เพย์โหลดของมันแสดงคำเตือนที่อ้างว่ามาจากหน่วยงานบังคับใช้กฎหมาย โดยอ้างว่าคอมพิวเตอร์ถูกใช้เพื่อกิจกรรมที่ผิดกฎหมาย เช่น การดาวน์โหลดซอฟต์แวร์ที่ไม่มีใบอนุญาตหรือภาพอนาจารเด็กเนื่องจากพฤติกรรมนี้ มันจึงมักถูกเรียกว่า "โทรจันตำรวจ" ^{[ 82 ] [ 83 ] [ 84 ]}คำเตือนแจ้งให้ผู้ใช้ทราบว่าในการปลดล็อกระบบ พวกเขาจะต้องจ่ายค่าปรับโดยใช้บัตรกำนัลจากบริการเงินสดแบบเติมเงินที่ไม่ระบุตัวตน เช่นUkashหรือpaysafecardเพื่อเพิ่มความเข้าใจผิดว่าคอมพิวเตอร์กำลังถูกติดตามโดยหน่วยงานบังคับใช้กฎหมาย หน้าจอยังแสดงที่อยู่ IP ของคอมพิวเตอร์ ในขณะที่บางเวอร์ชันแสดงภาพจาก เว็บแคมของเหยื่อเพื่อให้เข้าใจผิดว่าผู้ใช้กำลังถูกบันทึก^{[ 7 ] [ 85 ]}

Reveton เริ่มแพร่กระจายในประเทศต่างๆ ในยุโรปในช่วงต้นปี 2555 ^{[ 7 ]}เวอร์ชันต่างๆ ได้รับการปรับให้เข้ากับท้องถิ่นโดยใช้เทมเพลตที่มีโลโก้ของหน่วยงานบังคับใช้กฎหมายต่างๆ ตามประเทศของผู้ใช้ ตัวอย่างเช่น เวอร์ชันที่ใช้ในสหราชอาณาจักรมีตราสินค้าขององค์กรต่างๆ เช่นสำนักงานตำรวจนครบาลและหน่วยอาชญากรรมทางอิเล็กทรอนิกส์แห่งชาติของตำรวจอีกเวอร์ชันหนึ่งมีโลโก้ของสมาคมเก็บค่าลิขสิทธิ์เพลง PRSซึ่งกล่าวหาผู้ใช้ว่าดาวน์โหลดเพลงอย่างผิดกฎหมายโดยเฉพาะ^{[ 86 ]}ในแถลงการณ์เตือนประชาชนเกี่ยวกับมัลแวร์ ตำรวจนครบาลชี้แจงว่าพวกเขาจะไม่ล็อกคอมพิวเตอร์ในลักษณะดังกล่าวเพื่อเป็นส่วนหนึ่งของการสืบสวน^{[ 7 ] [ 20 ]}

ในเดือนพฤษภาคม 2012 นักวิจัยภัยคุกคาม ของ Trend Microค้นพบแม่แบบสำหรับเวอร์ชันต่างๆ ของสหรัฐอเมริกาและแคนาดาซึ่งบ่งชี้ว่าผู้เขียนอาจวางแผนที่จะกำหนดเป้าหมายผู้ใช้ในอเมริกาเหนือ^{[ 87 ]}ในเดือนสิงหาคม 2012 เวอร์ชันใหม่ของ Reveton เริ่มแพร่กระจายในสหรัฐอเมริกา โดยอ้างว่าต้องชำระค่า ปรับ 200 ดอลลาร์ให้กับ FBI โดยใช้บัตรMoneyPak ^{[ 8 ] [ 9 ] [ 85 ]}ในเดือนกุมภาพันธ์ 2013 พลเมืองรัสเซียถูกจับกุมในดูไบโดยทางการสเปนเนื่องจากเกี่ยวข้องกับแก๊งอาชญากรรมที่ใช้ Reveton และอีก 10 คนถูกจับกุมในข้อหาฟอกเงิน^{[ 88 ]}ในเดือนสิงหาคม 2014 Avast Softwareรายงานว่าพบเวอร์ชันใหม่ของ Reveton ที่แจกจ่ายมัลแวร์ขโมยรหัสผ่านเป็นส่วนหนึ่งของเพย์โหลดด้วย^{[ 89 ]}

แรนซัมแวร์เข้ารหัสกลับมาปรากฏอีกครั้งในเดือนกันยายน 2013 ด้วยโทรจันที่รู้จักกันในชื่อCryptoLockerซึ่งสร้างคู่คีย์ RSA 2048 บิตและอัปโหลดไปยังเซิร์ฟเวอร์ควบคุมและสั่งการ และใช้ในการเข้ารหัสไฟล์โดยใช้รายการอนุญาต ของนามสกุล ไฟล์เฉพาะมัลแวร์ขู่ว่าจะลบคีย์ส่วนตัวหากไม่ชำระเงินด้วยBitcoinหรือบัตรกำนัลเงินสดแบบเติมเงินภายใน 3 วันหลังจากการติดเชื้อ เนื่องจากขนาดคีย์ที่ใช้มีขนาดใหญ่มาก นักวิเคราะห์และผู้ที่ได้รับผลกระทบจากโทรจันจึงพิจารณาว่า CryptoLocker ซ่อมแซมได้ยากมาก^{[ 29 ] [ 90 ] [ 91 ] [ 92 ]}แม้หลังจากเลยกำหนดแล้ว คีย์ส่วนตัวก็ยังสามารถรับได้โดยใช้เครื่องมือออนไลน์ แต่ราคาจะเพิ่มขึ้นเป็น 10 BTC ซึ่งมีราคาประมาณ 2300 ดอลลาร์สหรัฐ ณ เดือนพฤศจิกายน 2013 ^{[ 93 ] [ 94 ]}

CryptoLocker ถูกแยกออกจากระบบโดยการยึดบอทเน็ตGameover ZeuS ซึ่งเป็นส่วนหนึ่งของปฏิบัติการ Tovarตามที่กระทรวงยุติธรรมสหรัฐฯ ประกาศอย่างเป็นทางการ เมื่อวันที่ 2 มิถุนายน 2014 กระทรวงยุติธรรมยังได้ออกคำฟ้องต่อแฮกเกอร์ชาวรัสเซีย Evgeniy Bogachev ในข้อหาเกี่ยวข้องกับบอทเน็ตดังกล่าว^{[ 95 ] [ 96 ]}มีการประมาณการว่ามีการเรียกค่าไถ่ด้วยมัลแวร์อย่างน้อย 3 ล้านดอลลาร์สหรัฐก่อนที่จะถูกปิดระบบ^{[ 12 ]}

ในเดือนกันยายน พ.ศ. 2557 มัลแวร์เรียกค่าไถ่โทรจันได้แพร่ระบาดเป็นวงกว้าง โดยมุ่งเป้าไปที่ผู้ใช้ในออสเตรเลีย เป็นครั้งแรก ภายใต้ชื่อCryptoWallและCryptoLocker (ซึ่งไม่เกี่ยวข้องกับ CryptoLocker ดั้งเดิม เช่นเดียวกับ CryptoLocker 2.0) โทรจันเหล่านี้แพร่กระจายผ่านอีเมลปลอมที่อ้างว่าเป็นประกาศแจ้งการจัดส่งพัสดุล้มเหลวจากไปรษณีย์ออสเตรเลียเพื่อหลีกเลี่ยงการตรวจจับโดยโปรแกรมสแกนอีเมลอัตโนมัติที่ติดตามทุกลิงก์ในหน้าเว็บเพื่อสแกนหามัลแวร์ มัลแวร์ชนิดนี้จึงถูกออกแบบมาให้ผู้ใช้ต้องเข้าชมหน้าเว็บและป้อน รหัส CAPTCHAก่อนที่จะดาวน์โหลดเพย์โหลดจริง ซึ่งป้องกันไม่ให้กระบวนการอัตโนมัติดังกล่าวสามารถสแกนเพย์โหลดได้Symantecพบว่ามัลแวร์ชนิดใหม่เหล่านี้ ซึ่งระบุว่าเป็นCryptoLocker.Fนั้น ไม่เกี่ยวข้องกับ CryptoLocker ดั้งเดิมอีกเช่นกัน เนื่องจากมีความแตกต่างในการทำงาน^{[ 97 ] [ 98 ]}เหยื่อรายสำคัญของโทรจันเหล่านี้คือAustralian Broadcasting Corporationการออกอากาศสดทางช่องข่าว โทรทัศน์ ABC News 24หยุดชะงักไปครึ่งชั่วโมงและย้ายไปที่ สตูดิโอ ในเมลเบิร์นเนื่องจากการติดเชื้อ CryptoWall ในคอมพิวเตอร์ที่สตูดิโอในซิดนีย์^{[ 99 ] [ 100 ] [ 101 ]}

มัลแวร์ Trojan อีกตัวในคลื่นนี้TorrentLockerในตอนแรกมีข้อบกพร่องด้านการออกแบบที่เทียบได้กับ CryptoDefense โดยใช้คีย์สตรีม เดียวกัน สำหรับคอมพิวเตอร์ที่ติดเชื้อทุกเครื่อง ทำให้การเข้ารหัสสามารถเจาะได้ง่าย อย่างไรก็ตาม ข้อบกพร่องนี้ได้รับการแก้ไขในภายหลัง^{[ 42 ]}ในช่วงปลายเดือนพฤศจิกายน 2014 มีการประมาณการว่ามีผู้ใช้มากกว่า 9,000 รายติดเชื้อ TorrentLocker ในออสเตรเลียเพียงประเทศเดียว รองจากตุรกีที่มีผู้ติดเชื้อ 11,700 ราย^{[ 102 ]}

CryptoWall ซึ่งเป็นโทรจันเรียกค่าไถ่ที่สำคัญอีกตัวหนึ่งที่มุ่งเป้าไปที่ Windows ปรากฏตัวครั้งแรกในปี 2014 CryptoWall สายพันธุ์หนึ่งถูกเผยแพร่เป็นส่วนหนึ่งของ แคมเปญโฆษณา ที่เป็นอันตรายบน เครือข่ายโฆษณา Zedoในช่วงปลายเดือนกันยายน 2014 ซึ่งมุ่งเป้าไปที่เว็บไซต์สำคัญหลายแห่ง โฆษณาเหล่านั้นจะเปลี่ยนเส้นทางไปยังเว็บไซต์ที่ไม่พึงประสงค์ซึ่งใช้ช่องโหว่ปลั๊กอินของเบราว์เซอร์^{[ 103 ]}เพื่อดาวน์โหลดเพย์โหลด นักวิจัย ของ Barracuda Networksยังตั้งข้อสังเกตอีกว่าเพย์โหลดนั้นได้รับการลงนามด้วยลายเซ็นดิจิทัลเพื่อพยายามทำให้ดูน่าเชื่อถือต่อซอฟต์แวร์รักษาความปลอดภัย^{[ 104 ]} CryptoWall 3.0 ใช้เพย์โหลดที่เขียนด้วยJavaScriptเป็นส่วนหนึ่งของไฟล์แนบในอีเมล ซึ่งจะดาวน์โหลดไฟล์ปฏิบัติการที่ปลอมตัวเป็น ภาพ JPGเพื่อหลีกเลี่ยงการตรวจจับเพิ่มเติม มัลแวร์จะสร้างอินสแตนซ์ใหม่ของexplorer.exeและsvchost.exeเพื่อสื่อสารกับเซิร์ฟเวอร์ เมื่อเข้ารหัสไฟล์ มัลแวร์ยังลบสำเนาเงาของวอลุ่มและติดตั้งสปายแวร์ที่ขโมยรหัสผ่านและ กระเป๋า เงินBitcoin ^{[ 105 ]}

FBI รายงานในเดือนมิถุนายน พ.ศ. 2558 ว่ามีผู้เสียหายเกือบ 1,000 รายติดต่อศูนย์ร้องเรียนอาชญากรรมทางอินเทอร์เน็ต ของสำนักงาน เพื่อรายงานการติดเชื้อ CryptoWall และประเมินความเสียหายไว้ที่อย่างน้อย 18 ล้านดอลลาร์สหรัฐ^{[ 13 ]}

เวอร์ชัน ล่าสุดCryptoWall 4.0 ได้ปรับปรุงโค้ดเพื่อหลีกเลี่ยงการตรวจจับของโปรแกรมป้องกันไวรัส และเข้ารหัสไม่เพียงแต่ข้อมูลในไฟล์เท่านั้น แต่ยังรวมถึงชื่อไฟล์ด้วย^{[ 106 ]}

Fusob เป็นตระกูลหลักของแรนซอมแวร์บนมือถือ ระหว่างเดือนเมษายน พ.ศ. 2558 ถึงมีนาคม พ.ศ. 2559 ประมาณ 56 เปอร์เซ็นต์ของแรนซอมแวร์บนมือถือที่บันทึกไว้คือ Fusob ^{[ 107 ]}

เช่นเดียวกับแรนซัมแวร์อื่นๆ ส่วนใหญ่ มันใช้กลยุทธ์ข่มขู่เพื่อเรียกเงินจำนวนมากจากผู้ใช้^{[ 108 ]}แอปนี้ทำตัวราวกับเป็นประกาศจากเจ้าหน้าที่โดยเรียกร้องให้เหยื่อจ่ายค่าปรับตั้งแต่ 100 ถึง 200 ดอลลาร์สหรัฐมิฉะนั้นจะต้องเผชิญกับข้อหาทางอาญาที่ไม่มีอยู่จริง Fusob ขอรับบัตรของขวัญ iTunes เป็นการชำระเงิน ซึ่งแตกต่างจากแรนซัมแวร์ที่เน้นสกุลเงินดิจิทัลส่วนใหญ่

เพื่อแพร่เชื้อไปยังอุปกรณ์ Fusob จะปลอมตัวเป็นโปรแกรมเล่นวิดีโอโป๊^{[ 109 ]}เมื่อติดตั้งแล้ว มันจะตรวจสอบภาษาของระบบของอุปกรณ์ก่อน หากภาษาเป็นภาษารัสเซียหรือยุโรปตะวันออก Fusob จะไม่ทำงาน มิฉะนั้น มันจะล็อกอุปกรณ์และเรียกค่าไถ่ ประมาณ 40% ของเหยื่ออยู่ในเยอรมนี ในขณะที่สหราชอาณาจักรมีเหยื่อ 14.5% และสหรัฐอเมริกามีเหยื่อ 11.4% Fusob และ Small (แรนซัมแวร์อีกตระกูลหนึ่ง) คิดเป็นมากกว่า 93% ของแรนซัมแวร์บนมือถือระหว่างปี 2015 และ 2016

ในเดือนพฤษภาคม พ.ศ. 2560 การโจมตีแรนซอมแวร์ WannaCryแพร่กระจายไปทั่วอินเทอร์เน็ต โดยใช้เวกเตอร์การโจมตีชื่อEternalBlueซึ่งถูกกล่าวหาว่ารั่วไหลมาจากสำนักงานความมั่นคงแห่งชาติ ของสหรัฐอเมริกา การโจมตีแรนซอมแวร์ครั้งนี้มีขนาดใหญ่โตอย่างไม่เคยปรากฏมาก่อน^{[ 110 ]}แพร่ระบาดไปยังคอมพิวเตอร์มากกว่า 230,000 เครื่องในกว่า 150 ประเทศ^{[ 111 ]}โดยใช้ภาษาต่างๆ ถึง 20 ภาษาเพื่อเรียกร้องเงินจากผู้ใช้โดยใช้ สกุลเงินดิจิทัล Bitcoin WannaCry เรียกร้องเงิน 300 ดอลลาร์สหรัฐต่อเครื่อง^{[ 112 ]}การโจมตีครั้งนี้ส่งผลกระทบต่อTelefónicaและบริษัทขนาดใหญ่อื่นๆ อีกหลายแห่งในสเปน รวมถึงบางส่วนของระบบบริการสุขภาพแห่งชาติ ของอังกฤษ (NHS) ซึ่งโรงพยาบาลอย่างน้อย 16 แห่งต้องปฏิเสธผู้ป่วยหรือยกเลิกการผ่าตัดตามกำหนด^{[ 113 ]} FedEx , Deutsche Bahn , Honda [ ^{114 ] Renault} รวมถึงกระทรวงมหาดไทยของรัสเซียและบริษัทโทรคมนาคมMegaFon ของรัสเซีย ด้วย^{[ 115 ]}ผู้โจมตีให้เหยื่อมีเวลา 7 วันนับจากวันที่คอมพิวเตอร์ของพวกเขาติดไวรัส หลังจากนั้นไฟล์ที่เข้ารหัสจะถูกลบ^{[ 116 ]}

Petya ถูกค้นพบครั้งแรกในเดือนมีนาคม พ.ศ. 2559 ซึ่งแตกต่างจากแรนซัมแวร์เข้ารหัสรูปแบบอื่นๆ มัลแวร์นี้มุ่งเป้าไปที่การติดเชื้อมาสเตอร์บูตเรคคอร์ดโดยติดตั้งเพย์โหลดที่เข้ารหัสตารางไฟล์ของ ระบบไฟล์ NTFSในครั้งถัดไปที่ระบบที่ติดเชื้อบูต ทำให้ระบบไม่สามารถบูตเข้าสู่ Windows ได้เลยจนกว่าจะมีการจ่ายค่าไถ่Check Pointรายงานว่าถึงแม้จะเชื่อว่าเป็นการพัฒนาที่ล้ำสมัยในการออกแบบแรนซัมแวร์ แต่ก็มีการติดเชื้อค่อนข้างน้อยกว่าแรนซัมแวร์อื่นๆ ที่ใช้งานอยู่ในช่วงเวลาเดียวกัน^{[ 117 ]}

เมื่อวันที่ 27 มิถุนายน 2560 มีการใช้ Petya เวอร์ชันที่ดัดแปลงอย่างมากในการโจมตีทางไซเบอร์ทั่วโลก โดยมุ่งเป้าไปที่ยูเครน เป็นหลัก (แต่ส่งผลกระทบต่อหลายประเทศ^{[ 118 ]} ) เวอร์ชันนี้ได้รับการดัดแปลงให้แพร่กระจายโดยใช้ช่องโหว่ EternalBlue เดียวกันกับที่ WannaCry ใช้ เนื่องจากมีการเปลี่ยนแปลงการออกแบบอีกประการหนึ่ง ทำให้ไม่สามารถปลดล็อกระบบได้จริงหลังจากจ่ายค่าไถ่แล้ว ซึ่งนำไปสู่การคาดการณ์ของนักวิเคราะห์ด้านความปลอดภัยว่าการโจมตีนี้ไม่ได้มีจุดประสงค์เพื่อสร้างผลกำไรที่ผิดกฎหมาย แต่เพื่อก่อให้เกิดการหยุดชะงักเท่านั้น^{[ 119 ] [ 120 ]}

เมื่อวันที่ 24 ตุลาคม 2560 ผู้ใช้บางรายในรัสเซียและยูเครนรายงานการโจมตีแรนซัมแวร์รูปแบบใหม่ชื่อ "Bad Rabbit" ซึ่งมีรูปแบบคล้ายกับ WannaCry และ Petya โดยการเข้ารหัสตารางไฟล์ของผู้ใช้แล้วเรียกร้องการชำระเงินด้วย Bitcoin เพื่อถอดรหัสESETเชื่อว่าแรนซัมแวร์นี้ถูกเผยแพร่ผ่านการอัปเดตปลอมของซอฟต์แวร์Adobe Flash ^{[ 121 ]}หน่วยงานที่ได้รับผลกระทบจากแรนซัมแวร์นี้ ได้แก่Interfax , สนามบินนานาชาติโอเดสซา , รถไฟใต้ดินเคียฟและกระทรวงโครงสร้างพื้นฐานของยูเครน^{[ 122 ]}เนื่องจากแรนซัมแวร์นี้ใช้โครงสร้างเครือข่ายขององค์กรในการแพร่กระจาย จึงถูกค้นพบในประเทศอื่นๆ ด้วย เช่น ตุรกี เยอรมนี โปแลนด์ ญี่ปุ่น เกาหลีใต้ และสหรัฐอเมริกา^{[ 123 ]}ผู้เชี่ยวชาญเชื่อว่าการโจมตีแรนซัมแวร์เชื่อมโยงกับการโจมตี Petya ในยูเครน (โดยเฉพาะอย่างยิ่งเพราะโค้ดของ Bad Rabbit มีองค์ประกอบที่ทับซ้อนและคล้ายคลึงกับโค้ดของ Petya/NotPetya อยู่มาก^{[ 124 ]} นอกจาก นี้ ไลบรารีการเชื่อมโยงแบบไดนามิก (DLL) ของ CrowdStrike Bad Rabbit และ NotPetya ยังมีโค้ดร่วมกันถึง 67 เปอร์เซ็นต์^{[ 125 ]} ) แม้ว่าสิ่งเดียวที่ระบุตัวตนของผู้กระทำผิดได้คือชื่อตัวละครจาก ซีรีส์ Game of Thronesที่ฝังอยู่ในโค้ด^{[ 123 ]}

ผู้เชี่ยวชาญด้านความปลอดภัยพบว่าแรนซัมแวร์ไม่ได้ใช้ช่องโหว่ EternalBlue ในการแพร่กระจาย และพบวิธีง่ายๆ ในการฉีดเชื้อเข้าไปในเครื่องที่ไม่ได้รับผลกระทบซึ่งใช้ Windows เวอร์ชันเก่ากว่าภายในวันที่ 24 ตุลาคม 2560 ^{[ 126 ] [ 127 ]}นอกจากนี้ เว็บไซต์ที่ใช้ในการเผยแพร่การอัปเดต Flash ปลอมได้ปิดตัวลงหรือลบไฟล์ที่มีปัญหาภายในไม่กี่วันหลังจากที่ค้นพบ ทำให้การแพร่กระจายของ Bad Rabbit สิ้นสุดลงอย่างมีประสิทธิภาพ^{[ 123 ]}

ในปี 2016 แรนซัมแวร์สายพันธุ์ใหม่ได้ปรากฏขึ้นโดยมุ่งเป้าไปที่เซิร์ฟเวอร์JBoss ^{[ 128 ]}สายพันธุ์นี้มีชื่อว่า " SamSam " พบว่าสามารถหลีกเลี่ยงกระบวนการฟิชชิ่งหรือการดาวน์โหลดที่ผิดกฎหมายได้ โดยเลือกที่จะใช้ประโยชน์จากช่องโหว่บนเซิร์ฟเวอร์ที่อ่อนแอ^{[ 129 ]}มัลแวร์นี้ใช้การโจมตีแบบ Brute-force ผ่านโปรโตคอล Remote Desktop เพื่อเดารหัสผ่านที่อ่อนแอจนกว่าจะถูกเจาะได้ ไวรัสนี้อยู่เบื้องหลังการโจมตีเป้าหมายที่เป็นหน่วยงานรัฐบาลและด้านการดูแลสุขภาพ โดยมีการแฮ็กที่สำคัญเกิดขึ้นกับเมืองฟาร์มิงตัน รัฐนิวเม็กซิโกกรมการขนส่งของรัฐโคโลราโด เคา น์ตี้เดวิดสัน รัฐนอร์ทแคโรไลนาและล่าสุดคือ การโจมตีแรนซัม แวร์บนโครงสร้างพื้นฐานของเมืองแอตแลนตา^{[ 129 ]}

โมฮัมหมัด เมห์ดี ชาห์ มันซูรี (เกิดที่เมืองกอมประเทศอิหร่าน ในปี 1991) และฟารามาร์ซ ชาฮี ซาวานดี (เกิดที่เมืองชีราซประเทศอิหร่าน ในปี 1984) เป็นที่ต้องการตัวของFBIในข้อหาปล่อยมัลแวร์เรียกค่าไถ่ SamSam ^{[ 130 ]}ทั้งสองคนถูกกล่าวหาว่าได้เงิน 6 ล้านดอลลาร์จากการกรรโชกทรัพย์และก่อให้เกิดความเสียหายมากกว่า 30 ล้านดอลลาร์โดยใช้มัลแวร์ดังกล่าว^{[ 131 ]}

เมื่อวันที่ 7 พฤษภาคม 2564 เกิดการโจมตีทางไซเบอร์ต่อท่อส่งน้ำมัน Colonial Pipeline ของสหรัฐฯสำนักงานสอบสวนกลาง (FBI)ระบุว่าDarkSideเป็นผู้ก่อเหตุ โจมตี ด้วยมัลแวร์เรียกค่าไถ่ (ransomware)ซึ่งนำไปสู่การปิดท่อส่งน้ำมันหลักที่ส่งเชื้อเพลิง 45% ไปยังชายฝั่งตะวันออกของสหรัฐฯ โดย สมัครใจการโจมตีครั้งนี้ถูกอธิบายว่าเป็นเหตุการณ์โจมตีทางไซเบอร์ที่ร้ายแรงที่สุดเท่าที่เคยเกิดขึ้นกับโครงสร้างพื้นฐานที่สำคัญ ของสหรัฐฯ DarkSide เรียกค่าไถ่ได้สำเร็จประมาณ 75 บิตคอยน์ (เกือบ 5 ล้านดอลลาร์สหรัฐ) จาก Colonial Pipeline เจ้าหน้าที่สหรัฐฯ กำลังสอบสวนว่าการโจมตีครั้งนี้เป็นการกระทำทางอาญาล้วนๆ หรือเกิดขึ้นโดยมีส่วนเกี่ยวข้องของรัฐบาลรัสเซียหรือรัฐอื่นที่ให้การสนับสนุนหรือไม่ หลังจากการโจมตี DarkSide ได้โพสต์แถลงการณ์ว่า "เราไม่เกี่ยวข้องกับการเมือง เราไม่เข้าไปยุ่งเกี่ยวกับภูมิรัฐศาสตร์ ...เป้าหมายของเราคือการหาเงิน ไม่ใช่การสร้างปัญหาให้กับสังคม"

ในเดือนพฤษภาคม 2021 สำนักงานสอบสวนกลาง (FBI) และสำนักงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) ได้ออกประกาศเตือนร่วมกัน โดยเรียกร้องให้เจ้าของและผู้ดำเนินการโครงสร้างพื้นฐานที่สำคัญ ดำเนินการบางอย่างเพื่อลดความเสี่ยงต่อการโจมตีด้วยมัลแวร์เรียกค่าไถ่ DarkSide และมัลแวร์เรียกค่าไถ่โดยทั่วไป

Syskeyเป็นยูทิลิตี้ที่รวมอยู่ในระบบปฏิบัติการWindows NT เพื่อเข้ารหัส ฐานข้อมูลบัญชีผู้ใช้โดยอาจมีรหัสผ่านด้วย เครื่องมือนี้บางครั้งถูกใช้เป็นแรนซัมแวร์อย่างมีประสิทธิภาพในระหว่างการหลอกลวงด้านการสนับสนุนทางเทคนิคโดยผู้โทรที่มีสิทธิ์เข้าถึงคอมพิวเตอร์จากระยะไกลอาจใช้เครื่องมือนี้เพื่อล็อกผู้ใช้ไม่ให้เข้าถึงคอมพิวเตอร์ด้วยรหัสผ่านที่รู้เฉพาะพวกเขาเท่านั้น^{[ 132 ]} Syskey ถูกลบออกจากWindows 10และWindows Server เวอร์ชันต่อมา ในปี 2017 เนื่องจากล้าสมัยและ "เป็นที่ทราบกันดีว่าแฮกเกอร์ใช้เป็นส่วนหนึ่งของการหลอกลวงแรนซัมแวร์" ^{[ 133 ] [ 134 ]}

Ransomware-as-a-service (RaaS) กลายเป็นวิธีการที่โดดเด่นหลังจากกลุ่มREvil ซึ่งมีฐานอยู่ในรัสเซีย ^{[ 135 ]}หรือพูดภาษารัสเซีย^{[ 136 ]}ได้ดำเนินการโจมตีเป้าหมายหลายแห่ง รวมถึง JBS SA ในบราซิลในเดือนพฤษภาคม 2021 และ Kaseya Limitedในสหรัฐอเมริกาในเดือนกรกฎาคม 2021 ^{[ 137 ]} หลังจากการสนทนาทางโทรศัพท์ระหว่างประธานาธิบดี โจ ไบเดนแห่งสหรัฐอเมริกาและประธานาธิบดีวลาดิมีร์ ปูติน แห่งรัสเซีย เมื่อวันที่ 9 กรกฎาคม 2021 ไบเดนกล่าวกับสื่อว่า "ผมได้ชี้แจงให้เขาฟังอย่างชัดเจนว่า สหรัฐอเมริกาคาดหวังว่าเมื่อมีการปฏิบัติการแรนซัมแวร์มาจากดินแดนของเขา แม้ว่าจะไม่ได้รับการสนับสนุนจากรัฐก็ตาม เราคาดหวังว่าพวกเขาจะดำเนินการหากเราให้ข้อมูลเพียงพอแก่พวกเขาในการระบุตัวผู้กระทำ" ไบเดนกล่าวเสริมในภายหลังว่า สหรัฐอเมริกาจะปิดเซิร์ฟเวอร์ของกลุ่มดังกล่าวหากปูตินไม่ดำเนินการ^{[ 138 ] [ 139 ]}สี่วันต่อมา เว็บไซต์และโครงสร้างพื้นฐานอื่นๆ ของ REvil ก็หายไปจากอินเทอร์เน็ต^{[ 140 ]}

ภาคการดูแลสุขภาพตกเป็นเป้าหมายของการโจมตีแรนซัมแวร์อย่างไม่สมส่วน ส่งผลให้มีการตอบสนองด้านกฎระเบียบโดยมุ่งเสริมสร้างข้อกำหนดสำหรับองค์กรที่จัดการข้อมูลผู้ป่วยที่ละเอียดอ่อน ในสหรัฐอเมริกาการโจมตีทางไซเบอร์ Change Healthcare ในปี 2024ได้ขัดขวางการประมวลผลการชำระเงินด้านการดูแลสุขภาพทั่วประเทศและส่งผลกระทบต่อบุคคลประมาณ 100 ล้านคน ซึ่งเน้นให้เห็นถึงช่องโหว่ในโครงสร้างพื้นฐานด้านการดูแลสุขภาพ^{[ 157 ]}

ระบบไฟล์จำนวนมากจะเก็บภาพรวมของข้อมูลไว้ ซึ่งสามารถนำมาใช้กู้คืนเนื้อหาของไฟล์จากช่วงเวลาก่อนการโจมตีของแรนซัมแวร์ได้ ในกรณีที่แรนซัมแวร์ไม่ปิดการใช้งานระบบไฟล์นั้น

• ในระบบปฏิบัติการ Windows นั้นVolume Shadow Copy (VSS) มักใช้สำหรับจัดเก็บข้อมูลสำรอง และมัลแวร์เรียกค่าไถ่มักมุ่งเป้าไปที่ข้อมูลสำรองเหล่านี้เพื่อป้องกันการกู้คืน ดังนั้นจึงควรปิดการเข้าถึงเครื่องมือVSSadmin.exe ของผู้ใช้ เพื่อลดความเสี่ยงที่มัลแวร์เรียกค่าไถ่จะสามารถปิดใช้งานหรือลบข้อมูลสำรองเก่าได้
• ใน Windows 10 ผู้ใช้สามารถเพิ่มไดเร็กทอรีหรือไฟล์เฉพาะลงในการเข้าถึงโฟลเดอร์ที่ควบคุมใน Windows Defender เพื่อป้องกันจากแรนซัมแวร์^{[ 158 ]}ขอแนะนำให้เพิ่มการสำรองข้อมูลและไดเร็กทอรีสำคัญอื่นๆ ลงในการเข้าถึงโฟลเดอร์ที่ควบคุม
• เว้นแต่ว่ามัลแวร์จะได้รับสิทธิ์ระดับรูทบนระบบโฮสต์ ZFS ในการโจมตีที่เขียนโค้ดเพื่อออกคำสั่งการดูแลระบบ ZFS เซิร์ฟเวอร์ไฟล์ที่ใช้ZFSโดยทั่วไปจะปลอดภัยจากแรนซัมแวร์ เนื่องจาก ZFS สามารถสร้างสแนปช็อตของระบบไฟล์ขนาดใหญ่ได้หลายครั้งต่อชั่วโมง และสแนปช็อตเหล่านี้ไม่สามารถเปลี่ยนแปลงได้ (อ่านอย่างเดียว) และสามารถย้อนกลับหรือกู้คืนไฟล์ได้ง่ายในกรณีที่ข้อมูลเสียหาย^{[ 159 ]}โดยทั่วไป มีเพียงผู้ดูแลระบบเท่านั้นที่สามารถลบ (แต่ไม่สามารถแก้ไขได้) สแนปช็อต

มีเครื่องมือจำนวนหนึ่งที่ออกแบบมาโดยเฉพาะเพื่อถอดรหัสไฟล์ที่ถูกล็อกโดยแรนซัมแวร์ แม้ว่าการกู้คืนที่ประสบความสำเร็จอาจเป็นไปไม่ได้ก็ตาม^{[ 2 ] [ 160 ]}หากใช้คีย์การเข้ารหัสเดียวกันสำหรับไฟล์ทั้งหมด เครื่องมือถอดรหัสจะใช้ไฟล์ที่มีทั้งสำเนาสำรองที่ไม่เสียหายและสำเนาที่เข้ารหัส ( การโจมตีแบบรู้ข้อความธรรมดาในศัพท์เฉพาะของการวิเคราะห์การเข้ารหัสการโจมตีนี้จะใช้ได้ผลก็ต่อเมื่อการเข้ารหัสที่ผู้โจมตีใช้อ่อนแอตั้งแต่แรก ทำให้เสี่ยงต่อการโจมตีแบบรู้ข้อความธรรมดา) การกู้คืนคีย์ หากเป็นไปได้ อาจใช้เวลาหลายวัน^{[ 161 ]}เครื่องมือถอดรหัสแรนซัมแวร์ฟรีสามารถช่วยถอดรหัสไฟล์ที่ถูกเข้ารหัสโดยแรนซัมแวร์รูปแบบต่อไปนี้: AES_NI, Alcatraz Locker, Apocalypse, BadBlock, Bart, BTCWare, Crypt888, CryptoMix, CrySiS, EncrypTile, FindZip, Globe, Hidden Tear , Jigsaw, LambdaLocker, Legion, NoobCrypt, Stampado, SZFLocker, TeslaCrypt , XData ^{[ 162 ]}การเข้ารหัสแรนซัมแวร์ที่นักวิจัยด้านความปลอดภัยถอดรหัสได้แล้ว มักจะถูกละทิ้งเพื่อจุดประสงค์ทางอาชญากรรม ดังนั้นในทางปฏิบัติ การโจมตีส่วนใหญ่จึงไม่สามารถย้อนกลับได้ด้วยการถอดรหัส^{[ 163 ]}

โครงการ No More Ransom เป็นโครงการริเริ่มโดยหน่วยอาชญากรรมไฮเทคแห่งชาติของตำรวจเนเธอร์แลนด์ศูนย์อาชญากรรมไซเบอร์แห่งยุโรปของยูโร โพ ลห้องปฏิบัติการแคสเปอร์สกีและแมคอาฟีเพื่อช่วยเหลือเหยื่อแรนซัมแวร์ในการกู้คืนข้อมูลโดยไม่ต้องจ่ายค่าไถ่^{[ 164 ]}พวกเขาเสนอเครื่องมือ CryptoSheriff ฟรีเพื่อวิเคราะห์ไฟล์ที่เข้ารหัสและค้นหาเครื่องมือถอดรหัส^{[ 165 ]}

นอกจากนี้ อาจมีไฟล์สำเนาเก่าหลงเหลืออยู่บนดิสก์ แม้ว่าไฟล์เหล่านั้นจะถูกลบไปก่อนหน้านี้แล้วก็ตาม ในบางกรณี ไฟล์ที่ถูกลบเหล่านั้นอาจยังสามารถกู้คืนได้โดยใช้ซอฟต์แวร์ที่ออกแบบมาเพื่อจุดประสงค์นั้น

การสืบสวน ของ ProPublicaในปี 2019 พบว่าบริษัทรักษาความปลอดภัยทางไซเบอร์ Proven Data Recovery และ Monstercloud ซึ่งโฆษณาบริการถอดรหัสโดยไม่เรียกค่าไถ่ มักจะจ่ายค่าไถ่และเรียกเก็บเงินจากเหยื่อในราคาที่สูงกว่า^{[ 163 ]}แฮกเกอร์ SamSam ติดต่อกับ Proven Data บ่อยครั้งจนพวกเขาแนะนำบริษัทนี้ให้กับเหยื่อที่มีปัญหาทางเทคนิคในการชำระเงิน^{[ 163 ]}บริษัทอื่นๆ เช่น Coveware มีความโปร่งใสมากกว่าในการให้บริการจ่ายเงินให้กับแฮกเกอร์และแก้ไขระบบที่ไม่ปลอดภัย^{[ 163 ]}เหยื่อชาวอเมริกันจำนวนมากพบว่าจำนวนเงินค่าไถ่นั้นต่ำเกินไปที่จะตรงตาม เกณฑ์ ของกระทรวงยุติธรรมสหรัฐฯสำหรับการมีส่วนร่วมของรัฐบาลกลาง แต่ตำรวจท้องถิ่นขาดความสามารถทางเทคนิคที่จะช่วยเหลือและมักตกเป็นเหยื่อเองด้วย^{[ 163 ]}

นักศึกษาชาวอังกฤษชื่อ Zain Qaiser จาก Barking กรุงลอนดอน ถูกจำคุกนานกว่าหกปีที่ศาล Kingston upon Thames Crown Courtในข้อหาโจมตีด้วยแรนซัมแวร์ในปี 2019 ^{[ 166 ]}กล่าวกันว่าเขาเป็น "อาชญากรไซเบอร์ที่ก่ออาชญากรรมมากที่สุดที่ถูกตัดสินในสหราชอาณาจักร" เขาเริ่มลงมือตั้งแต่อายุ 17 ปี เขาติดต่อกับผู้ควบคุมชาวรัสเซียของการโจมตีที่ทรงพลังที่สุดครั้งหนึ่ง ซึ่งเชื่อว่าเป็นกลุ่มมัลแวร์ Lurk และตกลงแบ่งผลกำไรกัน เขายังติดต่อกับอาชญากรออนไลน์จากจีนและสหรัฐอเมริกาเพื่อโอนเงิน^{[ 166 ]}เป็นเวลาประมาณหนึ่งปีครึ่ง เขาปลอมตัวเป็นผู้จัดจำหน่ายโฆษณาหนังสือออนไลน์ที่ถูกต้องตามกฎหมายบนเว็บไซต์ลามกอนาจารที่ถูกกฎหมายที่มีผู้เข้าชมมากที่สุดในโลก โฆษณาแต่ละรายการที่โปรโมตบนเว็บไซต์เหล่านั้นมีแรนซัมแวร์ Revetonซึ่งเป็นสายพันธุ์ของ Angler Exploit Kit (AEK) ที่เป็นอันตราย^{[ 167 ]}ที่เข้าควบคุมเครื่อง ผู้สืบสวนพบรายได้ประมาณ 700,000 ปอนด์ แม้ว่าเครือข่ายของเขาอาจมีรายได้มากกว่า 4 ล้านปอนด์ เขาอาจซ่อนเงินบางส่วนโดยใช้สกุลเงินดิจิทัล มัลแวร์เรียกค่าไถ่จะสั่งให้เหยื่อซื้อ บัตรกำนัล GreenDot MoneyPakและป้อนรหัสในแผง Reveton ที่แสดงบนหน้าจอ เงินนี้จะเข้าบัญชี MoneyPak ที่จัดการโดย Qaiser ซึ่งจะนำเงินที่ได้รับจากบัตรกำนัลไปฝากเข้าบัญชีบัตรเดบิตของ Raymond Odigie Uadiale ผู้สมรู้ร่วมคิดชาวอเมริกัน Uadiale เป็นนักศึกษาที่Florida International Universityในช่วงปี 2012 และ 2013 และต่อมาทำงานให้กับ Microsoft Uadiale จะแปลงเงินเป็น สกุลเงินดิจิทัล Liberty Reserveและฝากเข้าบัญชี Liberty Reserve ของ Qaiser ^{[ 168 ]}

ความก้าวหน้าในกรณีนี้เกิดขึ้นในเดือนพฤษภาคม 2013 เมื่อเจ้าหน้าที่จากหลายประเทศยึดเซิร์ฟเวอร์ Liberty Reserve และเข้าถึงธุรกรรมและประวัติบัญชีทั้งหมดได้ Qaiser กำลังใช้งานเครื่องเสมือนที่เข้ารหัสบน Macbook Pro ของเขาโดยใช้ระบบปฏิบัติการทั้ง Mac และ Windows ^{[ 169 ]}เขาไม่สามารถถูกดำเนินคดีก่อนหน้านี้ได้เนื่องจากเขาถูกควบคุมตัว (เข้ารับการรักษาโดยไม่สมัครใจ) ภายใต้พระราชบัญญัติสุขภาพจิตของสหราชอาณาจักรปี 1983 ที่โรงพยาบาล Goodmayesซึ่งพบว่าเขาใช้ Wi-Fi ของโรงพยาบาลเพื่อเข้าถึงเว็บไซต์โฆษณาของเขา ทนายความของเขากล่าวอ้างว่า Qaiser ป่วยทางจิต^{[ 166 ]}ตำรวจรัสเซียจับกุมสมาชิก 50 คนของแก๊งมัลแวร์ Lurk ในเดือนมิถุนายน 2016 ^{[ 170 ]} Uadiale พลเมืองอเมริกันเชื้อสายไนจีเรียที่ได้รับสัญชาติ ถูกจำคุกเป็นเวลา 18 เดือน^{[ 171 ]}