Le ransomware ajoute une des extensions suivantes aux fichiers chiffrés :
.aes_ni
.aes256
.aes_ni_0day

Dans chaque répertoire comportant au moins un fichier chiffré, vous pouvez trouver le fichier « !!! LIRE CECI - IMPORTANT !!!.txt » ou « READ THIS - IMPORTANT !!!.txt » en anglais. De plus, le ransomware crée un fichier clé avec un nom similaire à : [PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-BravoNEW-20175267812-78.key.aes_ni_0day dans le dossier C:\ProgramData.

Le fichier « !!! LIRE CECI - IMPORTANT !!!.txt » contient le message de rançon suivant :

Les fichiers chiffrés possèdent l’extension « .Alcatraz ».

Après le chiffrement de vos fichiers, un message similaire s’affiche (situé dans un fichier « ransomed.html » sur le bureau de l’utilisateur) :

Apocalypse ajoute les extensions .encrypted, .FuckYourData, .locked, .Encryptedfile ou .SecureCrypted à la fin des noms de fichiers. (Par exemple, Thesis.doc = Thesis.doc.locked)

L’ouverture d’un fichier portant l’extension .How_To_Decrypt.txt, .README.Txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt ou .Where_my_files.txt (par exemple Thesis.doc.How_To_Decrypt.txt) déclenchera l’affichage d’une variante de ce message :

Vous pouvez reconnaître les fichiers chiffrés à leur extension :
.ATOMSILO
.lockfile

Dans chaque dossier comprenant au moins un fichier chiffré, il y a une note de rançon README-FILE-%ComputerName%-%Number%.hta ou LOCKFILE-README-%ComputerName%-%Number%.hta. Exemple :

• README-FILE-JOHN_PC-1634717562.hta
• LOCKFILE-README-JOHN_PC-1635095048.hta

Au chiffrement d’un fichier, Babuk ajoute l’une des extensions suivantes au nom de fichier :
.babuk
.babyk
.doydo

Dans chaque répertoire comportant au moins un fichier chiffré, on peut trouver le fichier Help Restore Your Files.txt avec le contenu suivant :

BadBlock ne renomme pas vos fichiers.

Après avoir chiffré vos fichiers, BadBlock déclenche l’affichage de l’un des messages suivants (depuis un fichier nommé Help Decrypt.html) :

Bart ajoute l’extension .bart.zip à la fin du nom de vos fichiers. (par exemple, Thesis.doc = Thesis.docx.bart.zip) Il s’agit d’archives ZIP chiffrées contenant les fichiers d’origine.

Après avoir chiffré vos fichiers, Bart remplace le papier peint du bureau par une image similaire à celle présentée ci-dessous. Le texte de cette image peut également être utilisé pour identifier Bart et est stocké sur le bureau dans les fichiers nommés recover.bmp et recover.txt.

Le ransomware ajoute l’extension suivante : .obfuscated

foobar.doc -> foobar.doc.obfuscated
document.dat -> document.dat.obfuscated
document.xls -> document.xls.obfuscated
foobar.bmp -> foobar.bmp.obfuscated

Le ransomware crée aussi un fichier texte appelé "Read Me.txt" dans chaque répertoire. Le contenu du fichier apparaît ci-dessous.

Les noms de fichiers chiffrés seront au format suivant :
foobar.docx.[sql772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcw@protonmail.ch].btcware
foobar.docx.onyon

De plus, l’un des fichiers suivants peut être trouvé sur l’ordinateur
Key.dat on %USERPROFILE%\Desktop
1.bmp in %USERPROFILE%\AppData\Roaming
#_README_#.inf or !#_DECRYPT_#!.inf dans chaque fichier avec au moins un fichier chiffré.

Après le chiffrement de vos fichiers, le fond d’écran du bureau est remplacé par le suivant :

Vous pouvez aussi voir l’un des messages de rançon suivants :

Crypt888 ajoute Lock. au début du nom des fichiers. (Exemple : Thesis.doc = Lock.Thesis.doc)

Après avoir chiffré vos fichiers, Crypt888 remplace le papier peint du bureau par le suivant :

Les fichiers chiffrés portent l’une des extensions suivantes : .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd, .rscl ou .MOLE.

Les fichiers suivants se trouvent sur le PC après le processus de chiffrement :

Les fichiers chiffrés possèdent de nombreuses extensions, notamment :
.johnycryptor@hackermail.com.xtbl,
.ecovector2@aol.com.xtbl,
.systemdown@india.com.xtbl,
.Vegclass@aol.com.xtbl,
.{milarepa.lotos@aol.com}.CrySiS,
.{Greg_blood@india.com}.xtbl,
.{savepanda@india.com}.xtbl,
.{arzamass7@163.com}.xtbl,
.{3angle@india.com}.dharma,
.{tombit@india.com}.dharma,
.wallet

Après avoir chiffré vos fichiers, l’un des messages suivants s’affiche (voir ci-dessous). Ce message est situé sous « Decryption instructions.txt », « Decryptions instructions.txt », « README.txt », « Readme to restore your files.txt » ou « HOW TO DECRYPT YOUR DATA.txt » sur le bureau de l’utilisateur. De plus, le fond d’écran est changé pour l’une des images suivantes.

Ce ransomware ajoute le mot « encrypTile » au nom de fichier :

foobar.doc -> foobar.docEncrypTile.doc

foobar3 -> foobar3EncrypTile

Le ransomware crée également quatre nouveaux fichiers sur le bureau de l’utilisateur. Les noms des fichiers sont localisés, voici leurs versions anglaises :

Lorsqu’il est actif, le ransomware empêche activement l’utilisateur de lancer n’importe quel outil pouvant potentiellement le supprimer. Consultez cet article de blog pour découvrir comment lancer le déchiffreur si un ransomware est actif sur votre ordinateur.

Les fichiers chiffrés auront l’extension .crypt.

Après le chiffrement de vos fichiers, plusieurs fichiers sont créés sur le bureau de l’utilisateur, avec des variantes de nom de : DECRYPT.txt, HOW_TO_DECRYPT.txt, README.txt. Ils sont tous identiques, contenant le message texte suivant :

Spécial : Du fait que les déchiffreurs AVAST sont des applications Windows, il est nécessaire d’installer une couche d’émulation sur Mac (WINE, CrossOver). Pour plus d’informations, veuillez lire notre article de blog.

Les fichiers chiffrés portent l’une des extensions suivantes :
.FONIX,
.XINOF

Après avoir chiffré des fichiers sur l’appareil de sa victime, le ransomware affiche cet écran :

Le ransomware ajoute plusieurs extensions possibles :
.GDCB,
.CRAB,
.KRAB,
.%RandomLetters%
foobar.doc -> foobar.doc.GDCB
document.dat -> document.dat.CRAB
document.xls -> document.xls.KRAB
foobar.bmp -> foobar.bmp.gcnbo (lettres aléatoires)

Dans chaque dossier, le ransomware crée également un fichier texte appelé « GDCB-DECRYPT.txt », « CRAB-DECRYPT.txt », « KRAB_DECRYPT.txt » ou « %RandomLetters%-DECRYPT.txt ». Le contenu du fichier apparaît ci-dessous.

Les versions plus récentes du ransomware peuvent également placer l’image suivante sur le bureau de l’utilisateur :

Globe ajoute l’une des extensions suivantes au nom de fichier : ".ACRYPT", ".GSupport[0-9]", ".blackblock", ".dll555", ".duhust", ".exploit", ".frozen", ".globe", ".gsupport", ".kyra", ".purged", ".raid[0-9]", ".siri-down@india.com", ".xtbl", ".zendrz", ".zendr[0-9]", ou ".hnyear". De plus, certaines de ces versions chiffrent également le nom du fichier.

Après avoir chiffré vos fichiers, un message similaire s’affiche (situé dans un fichier « How to restore files.html » ou Read Me Please.hta) :

Les fichiers chiffrés sont reconnaissables à leur extension de fichier : .[vote2024forjb@protonmail.com].encryptedJB. De plus, un fichier nommé read_me.html apparaît sur le bureau de l’utilisateur (voir image ci-dessous).

Les fichiers chiffrés portent l’une des extensions suivantes (la liste n’est pas exclusive) : .locked, .34xxx, .bloccato, .BUGSECCCC, .Hollycrypt, .lock, .saeid, .unlockit, .razy, .mecpt, .monstro, .lok, .암호화됨, .8lock8, .fucked, .flyper, .kratos, .krypted, .CAZZO, .doomed.

Une fois les fichiers chiffrés, un fichier texte (READ_IT.txt, MSG_FROM_SITULA.txt, DECRYPT_YOUR_FILES.HTML) apparaît sur le bureau de l’utilisateur. Plusieurs versions peuvent également afficher un message de rançon :

Les fichiers chiffrés portent l’une des extensions suivantes : .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer@sigaint.org, ou .gefickt.

Une fois les fichiers chiffrés, l’un des écrans ci-dessous apparaît :

Le ransomware ajoute l’extension « .MyChemicalRomance4EVER » après un nom de fichier :
foobar.doc -> foobar.doc.MyChemicalRomance4EVER
document.dat -> document.dat.MyChemicalRomance4EVER

Le ransomware crée également un fichier texte appelé « UNLOCK_guiDE.txt » sur le bureau de l’utilisateur. Le contenu du fichier apparaît ci-dessous.

Legion ajoute une variante de ._23-06-2016-20-27-23_$f_tactics@aol.com$.legion ou de .$centurion_legion@aol.com$.cbf à la fin des noms de fichiers (Par exemple, Thesis.doc = Thesis.doc._23-06-2016-20-27-23_$f_tactics@aol.com$.legion)

Après avoir chiffré vos fichiers, Legion modifie le papier peint du bureau et affiche une fenêtre contextuelle comme celle-ci :

NoobCrypt ne modifie pas les noms de fichiers. Toutefois, il est impossible d’ouvrir les fichiers chiffrés avec l’application associée.

Après le chiffrement de vos fichiers, un message similaire s’affiche (situé dans un fichier « ransomed.html » sur le bureau de l’utilisateur) :

Vous pouvez reconnaître les fichiers chiffrés à l’une de ces extensions :

• .[cmd_bad@keemail.me].VIPxxx
• .[cmd_bad@keemail.me].crypt
• .[cmd_bad@keemail.me].CRYSTAL
• .[KingKong2@tuta.io].crypt
• .reofgv
• .y9sx7x
• .[black_privat@tuta.io].CRYSTAL
• .BRINKS_PWNED
• .9ten0p
• .uo8bpy
• .iml
• .locked
• .unlock
• .secure[milleni5000@qq.com]
• .secure
• .61gutq
• .hard

De plus, un fichier avec une note de rançon apparaît sur le bureau de l’utilisateur avec l’un des noms suivants :

• HOW_TO_DECYPHER_FILES.txt
• UNLOCK_FILES_INFO.txt
• Инструкция.txt

Vous pouvez reconnaître les fichiers chiffrés à leur extension :
.mallox
.exploit
.architek
.brg
.carone

Dans chaque dossier contenant un fichier infecté, il existe aussi un fichier avec une note de rançon, nommé RECOVERY INFORMATION.txt (voir image ci-dessous).

Stampado ajoute l’extension « .locked » aux fichiers chiffrés. Certaines variantes chiffrent également le nom de fichier en lui-même, qui peut ainsi ressembler à : « document.docx.locked » ou 85451F3CCCE348256B549378804965CD8564065FC3F8.locked.

Une fois le processus de chiffrement terminé, l’écran suivant s’affiche :

SZFLocker ajoute l’extension .szf à la fin du nom de vos fichiers. (Par exemple, Thesis.doc = Thesis.doc.szf).

Lorsque vous tentez d’ouvrir un fichier chiffré, SZFLocker déclenche l’affichage du message suivant (en polonais) :

La dernière version de TeslaCrypt ne renomme pas vos fichiers.

Après avoir chiffré vos fichiers, TeslaCrypt affiche une variante du message suivant :

Les fichiers chiffrés portent l’une des extensions suivantes :
• xtbl
• ytbl
• breaking_bad
• heisenberg
• better_call_saul
• los_pollos
• da_vinci_code
• magic_software_syndicate
• windows10
• windows8
• no_more_ransom
• tyson
• crypted000007
• crypted000078
• rsa3072
• decrypt_it
• dexter
• miami_california

Après le chiffrement de vos fichiers, plusieurs fichiers sont créés sur le bureau, avec des variantes de nom (de « README1.txt » à « README10.txt »). Ils sont en différentes langues et contiennent ce texte :

Le fond d’écran du bureau est également modifié et ressemble à l’image ci-dessous :

Le ransomware ajoute l’extension « ~xdata~ » aux fichiers chiffrés.

Dans chaque répertoire comportant au moins un fichier chiffré, on peut trouver le fichier « HOW_CAN_I_DECRYPT_MY_FILES.txt ». De plus, le ransomware crée un fichier clé avec un nom similaire à :

[PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.~xdata~ dans les répertoires suivants :

• C:\

• C:\ProgramData

• Desktop

Le fichier « HOW_CAN_I_DECRYPT_MY_FILES.txt » contient le message de rançon suivant :