1. получить подробную информацию, как узнали о заражении - это нужно, чтобы установить сам тип шифровальщика: какие были странности, как вел себя компьютер и программы, какие были всплывающие окна, к какой сети были подключены (WiFi, VPN, LAN...), какая ОС, есть ли антивирус, обновления (как давно установлены), какое имя компьютера, какая учетная запись (пригодится для аналитиков в SIEM и timeline), какие права доступа, к каким системам есть (и был ли доступ)
2. не выключать компьютеры, но постараться изолировать их от сети (по возможности можно вытащить сетевой кабель)
3. попытаться установить тип шифровальщика, чтобы понять, что делать и какие есть специфические модели его поведения (см. перечень ресурсов, которые могут пригодиться)

• скриншоты, список файлов, расширения, которые он оставляет после себя
• какие "обои", текстовые файлы, сообщения, которые остались
• если есть всплывающие окна при попытке открыть зашифрованный файл - они тоже пригодятся (но открывать лишний раз файлы нужно только с понимаем дела и рекомендацией аналитика)
• какая учетка использовалась для шифрования / запуска шифровальщика

4. технические данные  - процессы, файлы, сетевые соединения (которые слушают, также которые устанавливаются наружу), учетные записи, адреса (почта, URL)... - можно попробовать загрузить шифровальщик в известные базы вредоносов или в песочницу для анализа

1. определить векторы распространения (по сети через уязвимости, протоколы удаленного доступа (RDP), вложения через эл.почту, через внешний носитель или общий диск
2. установить границы заражения, а для этого проверить

• журналы МСЭ (NGFW)
• журналы антивируса
• системы мониторинга серверов
• логи DNS
• логи прокси-сервера

были ли обращения к командным серверам.
Если у вас есть SIEM - это сильно поможет!
Если есть EDR / XDR - можно проверить по системе, где есть файлы найденных типов и даже попробовать получить информацию, были ли массовые попытки редактирования данных
3. Изоляция систем через механизмы EDR/EPP и через NGFW за счет сегментации.