Una famiglia di ransomware è un gruppo correlato di varianti di malware costruite a partire da una base di codice comune o da un toolkit dell'operatore. I membri della famiglia condividono di solito un comportamento fondamentale: infettano un sistema, crittografano file o macchine e poi chiedono un pagamento in cambio di una chiave di decrittazione o di uno strumento di ripristino. Le varianti possono differire nelle estensioni dei file, nei metodi di distribuzione o nelle funzionalità di elusione, ma mantengono lo stesso scopo criminale.
Questo termine è importante nella sicurezza informatica perché le famiglie spesso si diffondono su più piattaforme e ambienti, come endpoint, server e host di virtualizzazione. I difensori usano l'analisi a livello di famiglia per riconoscere indicatori condivisi, bloccare i loader noti, tarare le rilevazioni e costruire piani di ripristino basati sul probabile comportamento degli aggressori. Negli attacchi reali, identificare la famiglia aiuta i responsabili della risposta a stimare l'impatto, isolare gli asset colpiti, proteggere i backup e decidere se i sistemi possano essere ripristinati senza pagare.