Проведем мысленный эксперимент: у Вас есть тупой коррелятор (grep, spark/storm) . Там есть правило типо детекта шифрования данных (whatever). Правило срабатывает и говорит: чувак, ну у тебя пошифровали
192.168.10.10. Ваши дальнейшие действия? Как узнать, что за 10.10, где он живет, в какой части он сети, кто соседи. Стоит уже писать заявление или еще нет?