回天勒索病毒防护系统采用微软动态库签名防护的模式，采用了硬件虚拟驱动技术，获取操作系统底层技术二次转发技术，对所有系统DLL等系统文件权限做了MD5核心校验签名，系统核心进程的读和写操作都是保护监控状态，对所有的执行文件都有监控行为，对于非法写操作进行阻断。对可以对指定文件夹的保护，比如用友数据库，金碟数据库等文件多了一层保护。