Cryptolocker/Cryptowall GPO/SPO

Vous pouvez utiliser des Stratégies de restriction de logiciel pour bloquer l'exécution des exécutables lorsqu'ils se trouvent dans le dossier %AppData%, ou tout autre dossier.

Les chemins des infections sont:
C:\Utilisateurs\Utilisateur\AppData\Roaming\{213D7F33-4942-1C20-3D56=8-1A0B31CDFFF3}.exe (Vista/7/8) C:\Documents and Settings\Utilisateur\Application Data\{213D7F33-4942-1C20-3D56=8-1A0B31CDFFF3}.exe

Donc la règle de chemin que vous voulez essentiellement mettre en place est une nouvelle stratégie de configuration Windows :

Chemin : %AppData%\*.exe
Niveau de sécurité : Interdit
Description : Ne pas autoriser les exécutables provenant d'AppData.

Source: http://www.thirdtier.net/downloads/CryptolockerPreventionKit.zip

Le téléchargement ci-dessus contient les GPO pour Win7/8 et XP.

Je voudrais reprendre la réponse n°1 concernant la politique de configuration de Windows, mais ajouter une recommandation : testez de manière agressive pour tous vos groupes d'utilisateurs avant de le déployer dans un environnement généralisé. Mon organisation a utilisé ce paramètre de politique exactement pareil, mais nous avons vite réalisé que cela bloquait les mises à jour et les installations de notre propre logiciel de ticketing IT. Par conséquent, nous avons dû créer des exceptions telles que :

Chemin : %LocalAppData%\[chemin vers l'installateur]\[nom de l'installateur].exe
Niveau de sécurité : Non restreint.

Il s'avère que beaucoup de logiciels valides, mal écrits font un usage intensif du dossier %AppData, donc des tests poussés peuvent être nécessaires pour éviter des problèmes majeurs avec vos utilisateurs.

Vous devez également vous protéger contre le lancement d'exécutables à partir de fichiers zip et d'autres archivages populaires. Ces chemins attraperont presque tout.

%LocalAppData%\*\*.exe
%LocalAppData%\*.exe
%temp%\*\*.exe
%temp%\*.exe
%Userprofile%\*.exe

Mais rappelez-vous, ceux-ci ne sont pas récursifs. Par exemple : %temp%\aaa\aaa*.exe serait quand même exécuté.

Une autre approche serait de tout bloquer et de débloquer uniquement ce qui est autorisé.

Voici quelques bonnes ressources de départ :

http://mechbgon.com/srp/

http://home.arcor.de/skanthak/SAFER.html