1.用procmon监控rename的后缀添加到加密类型中
2.用procmon监控保存文件的路径，查到writefile文件的进程添加到加密进程
3.检查高级配置是否与加密类型、重定向、文件夹大小缓存有关
