A zsaroló kártevő a következő kiterjesztések egyikét adja hozzá a titkosított fájlokhoz:
.aes_ni
.aes256
.aes_ni_0day

Mindegyik mappában, amely legalább egy titkosított fájlt tartalmaz, megtalálható a "!!! READ THIS - IMPORTANT !!!.txt” fájl. A zsaroló kártevő ezenfelül létrehoz egy kulcsfájlt, ehhez hasonló névvel: [SZÁMÍTÓGÉP_NEVE]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.aes_ni_0day a C:\ProgramData mappában.

A „!!! READ THIS - IMPORTANT !!!.txt” fájl a következő zsaroló üzenetet tartalmazza:

A titkosított fájlok „.Alcatraz” kiterjesztést kapnak.

A fájlok titkosítása után egy ehhez hasonló üzenet jelenik meg (a felhasználó asztalán található „ransomed.html” fájlban):

Az Apocalypse .encrypted, .FuckYourData, .locked, .Encryptedfile vagy .SecureCrypted kiterjesztést ad a fájlnevek végéhez. (például: Thesis.doc = Thesis.doc.locked)

A .How_To_Decrypt.txt, .README.Txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt vagy .Where_my_files.txt (például Thesis.doc.How_To_Decrypt.txt) kiterjesztéssel rendelkező fájlok megnyitása az alábbi üzenet egy változatát jeleníti meg:

A titkosított fájlok a következő kiterjesztésekről ismerhetők fel:
.ATOMSILO
.lockfile

Mindegyik mappában, amely legalább egy titkosított fájlt tartalmaz, található egy README-FILE-%ComputerName%-%Number%.hta vagy LOCKFILE-README-%ComputerName%-%Number%.hta fájlnévvel ellátott zsaroló üzenet, például:

• README-FILE-JOHN_PC-1634717562.hta
• LOCKFILE-README-JOHN_PC-1635095048.hta

A Babuk a következő kiterjesztések egyikét fűzi hozzá a fájl nevéhez, amikor titkosítja azt:
.babuk
.babyk
.doydo

Mindegyik mappában, amely legalább egy titkosított fájlt tartalmaz, megtalálható a Help Restore Your Files.txt fájl, amelynek tartalma a következő:

A BadBlock nem nevezi át a fájlokat.

A fájlok titkosítása után a BadBlock az alábbi üzenetek egyikét jeleníti meg (egy Help Decrypt.html nevű fájlból):

A Bart .bart.zip kiterjesztést ad a fájlnevek végéhez. (például: Thesis.doc = Thesis.docx.bart.zip) Ezek az eredeti fájlokat tartalmazó titkosított ZIP-archívumok.

A fájlok titkosítása után a Bart az alábbihoz hasonlóra változtatja meg az asztal háttérképét. Az üzenet szövege a Bart azonosításában is a segítségére van, és az asztalon található recover.bmp és recover.txt nevű fájlok tárolják.

A zsaroló kártevő a következő kiterjesztéseket adja hozzá a fájlokhoz: .obfuscated

foobar.doc -> foobar.doc.obfuscated
document.dat -> document.dat.obfuscated
document.xls -> document.xls.obfuscated
foobar.bmp -> foobar.bmp.obfuscated

A zsaroló kártevő mindegyik mappában létrehoz egy „Read Me.txt” nevű szövegfájlt. A fájl tartalma az alábbiakban látható.

A titkosított fájlok neve a következő formátumokban lehet:
foobar.docx.[sql772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcw@protonmail.ch].btcware
foobar.docx.onyon

Ezenkívül a következő fájlok egyike található meg a számítógép adott mappájában:
Key.dat a %USERPROFILE%\Desktop alatt
1.bmp a %USERPROFILE%\AppData\Roaming alatt
#_README_#.inf vagy !#_DECRYPT_#!.inf minden olyan mappában, amelyben legalább egy titkosított fájl található.

A fájlok titkosítása után a következő képek egyikére változik meg az asztal háttérképe:

Előfordulhat, hogy a következő zsaroló üzenetek egyikét is látja:

A Crypt888 a Lock. kifejezést adja hozzá a fájlnevek elejéhez. (például: Thesis.doc = Lock.Thesis.doc)

A fájlok titkosítása után a Crypt888 a következő képek egyikére változtatja meg az asztal háttérképét:

A titkosított fájlok kiterjesztései a következők lehetnek: .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd, .rscl vagy .MOLE.

A fájlok titkosítása után a számítógépen a következő fájlok jelenhetnek meg:

A titkosított fájlok számos kiterjesztéssel rendelkezhetnek, például:
.johnycryptor@hackermail.com.xtbl,
.ecovector2@aol.com.xtbl,
.systemdown@india.com.xtbl,
.Vegclass@aol.com.xtbl,
.{milarepa.lotos@aol.com}.CrySiS,
.{Greg_blood@india.com}.xtbl,
.{savepanda@india.com}.xtbl,
.{arzamass7@163.com}.xtbl,
.{3angle@india.com}.dharma,
.{tombit@india.com}.dharma,
.wallet

A fájlok titkosítása után az alább látható üzenetek egyike jelenik meg. Az üzenet a felhasználó asztalán megjelenő Decryption instructions.txt, Decryptions instructions.txt, README.txt, Readme to restore your files.txt vagy HOW TO DECRYPT YOUR DATA.txt fájlokban található. Az asztal háttere pedig az alábbi képek egyikére lesz megváltoztatva.

A zsaroló kártevő hozzáadja az „encrypTile” szót a fájlnévhez:

foobar.doc -> foobar.docEncrypTile.doc

foobar3 -> foobar3EncrypTile

Továbbá a zsaroló kártevő négy új fájlt is létrehoz a felhasználó asztalán. A fájlnevek az adott nyelven jelennek meg, az alábbiakban az angol nyelvű verziójuk látható:

Futás közben a zsaroló kártevő megakadályozza, hogy a felhasználó olyan eszközöket futtathasson, amelyek eltávolíthatnák. Ha zsaroló kártevő fut a számítógépén, a visszafejtő futtatására vonatkozó részletes utasításokat ebben a blogbejegyzésben találja.

A titkosított fájlok a .crypt kiterjesztéssel rendelkeznek.

A fájlok titkosítása után több fájl jön létre a felhasználó asztalán, a következő névváltozatokkal: DECRYPT.txt, HOW_TO_DECRYPT.txt, README.txt. Mind megegyeznek, és a következő szöveges üzenetet tartalmazzák:

Speciális: Mivel az AVAST-visszafejtők Windows-alkalmazások, Mac gépén telepítenie kell egy emulációs réteget (WINE, CrossOver). További információért olvassa el blogbejegyzésünket.

A titkosított fájlok kiterjesztései a következők lehetnek:
.FONIX,
.XINOF

Az áldozat számítógépén lévő fájlok titkosítása után a zsaroló kártevő az alábbi képernyőt jeleníti meg:

A zsaroló kártevő számos lehetséges kiterjesztést adhat a fájlokhoz:
.GDCB,
.CRAB,
.KRAB,
.%RandomLetters%
foobar.doc -> foobar.doc.GDCB
document.dat -> document.dat.CRAB
document.xls -> document.xls.KRAB
foobar.bmp -> foobar.bmp.gcnbo (a betűk véletlenszerűek)

A zsaroló kártevő mindegyik mappában létrehoz egy „GDCB-DECRYPT.txt”, „CRAB-DECRYPT.txt”, „KRAB_DECRYPT.txt”, „%RandomLetters%-DECRYPT.txt” vagy egy „%RandomLetters%-MANUAL.txt” nevű szövegfájlt. A fájl tartalma az alábbiakban látható.

A zsaroló kártevő újabb verziói a következő képet is beállíthatják a felhasználó asztalán:

A Globe a következő kiterjesztések egyikét adja hozzá a fájl nevéhez: „.ACRYPT”, „.GSupport[0-9]”, „.blackblock”, „.dll555”, „.duhust”, „.exploit”, „.frozen”, „.globe”, „.gsupport”, „.kyra”, „.purged”, „.raid[0-9]”, „.siri-down@india.com”, „.xtbl”, „.zendrz”, „.zendr[0-9]” vagy „.hnyear”. Egyes verziói a fájlnevet is titkosítják.

A fájlok titkosítása után az alábbihoz hasonló üzenet jelenik meg (amelyet a „How to restore files.hta” vagy a „Read Me Please.hta” fájl tárol):

A titkosított fájlok a .[vote2024forjb@protonmail.com].encryptedJB kiterjesztésről ismerhetők fel. A felhasználó asztalán emellett megjelenik egy read_me.html nevű fájl (lásd a lenti képet).

A titkosított fájlok kiterjesztései a következők lehetnek (a teljesség igénye nélkül): .locked, .34xxx, .bloccato, .BUGSECCCC, .Hollycrypt, .lock, .saeid, .unlockit, .razy, .mecpt, .monstro, .lok, .암호화됨, .8lock8, .fucked, .flyper, .kratos, .krypted, .CAZZO, .doomed.

A fájlok titkosítása után egy szöveges fájl (READ_IT.txt, MSG_FROM_SITULA.txt, DECRYPT_YOUR_FILES.HTML) jelenik meg a felhasználó asztalán. Különböző változatok egy másik zsaroló üzenetet is megjeleníthetnek:

A titkosított fájlok kiterjesztései a következők lehetnek: .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer@sigaint.org vagy .gefickt.

A fájlok titkosítása után az alábbi képernyők egyike jelenik meg:

A zsaroló kártevő hozzáadja a „.MyChemicalRomance4EVER” kiterjesztést a fájlnévhez:
foobar.doc -> foobar.doc.MyChemicalRomance4EVER
document.dat -> document.dat.MyChemicalRomance4EVER

A zsaroló kártevő létrehoz egy „UNLOCK_guiDE.txt” nevű fájlt is a felhasználó asztalán. A fájl tartalma az alábbiakban látható.

A Legion a ._23-06-2016-20-27-23_$f_tactics@aol.com$.legion vagy .$centurion_legion@aol.com$.cbf valamilyen változatát adja a fájlnevek végéhez. (például: Thesis.doc = Thesis.doc._23-06-2016-20-27-23_$f_tactics@aol.com$.legion)

A fájlok titkosítása után a Legion megváltoztatja az asztal háttérképét, és egy ehhez hasonló előugró ablakot jelenít meg:

A NoobCrypt nem módosítja a fájlnevet, de a titkosított fájlok nem nyithatók meg a hozzájuk társított alkalmazással.

A fájlok titkosítása után egy ehhez hasonló üzenet jelenik meg (amelynek forrása a felhasználó asztalán található „ransomed.html” fájl):

A titkosított fájlok a következő kiterjesztésekről ismerhetők fel:

• .[cmd_bad@keemail.me].VIPxxx
• .[cmd_bad@keemail.me].crypt
• .[cmd_bad@keemail.me].CRYSTAL
• .[KingKong2@tuta.io].crypt
• .reofgv
• .y9sx7x
• .[black_privat@tuta.io].CRYSTAL
• .BRINKS_PWNED
• .9ten0p
• .uo8bpy
• .iml
• .locked
• .unlock
• .secure[milleni5000@qq.com]
• .secure
• .61gutq
• .hard

A felhasználó asztalán emellett megjelenik egy zsaroló felszólítást tartalmazó fájl, amelynek a neve a következő lehet:

• HOW_TO_DECYPHER_FILES.txt
• UNLOCK_FILES_INFO.txt
• Инструкция.txt

A titkosított fájlok a következő kiterjesztésekről ismerhetők fel:
.mallox
.exploit
.architek
.brg
.carone

Mindegyik mappában, amely legalább egy titkosított fájlt tartalmaz, található egy RECOVERY INFORMATION.txt fájlnevű zsaroló üzenet (lásd az alábbi képet).

A Stampado a .locked kiterjesztést adja a titkosított fájlokhoz. Egyes változatok magukat a fájlneveket is titkosítják, amelyek így a következőképp nézhetnek ki: document.docx.locked vagy 85451F3CCCE348256B549378804965CD8564065FC3F8.locked.

A titkosítás befejezése után a következő képernyő jelenik meg:

Az SZFLocker .szf kiterjesztést ad a fájlnevek végéhez. (például: Thesis.doc = Thesis.doc.szf)

Ha egy titkosított fájlt próbál megnyitni, az SZFLocker az alábbi üzenetet jeleníti meg (lengyelül):

A TeslaCrypt legújabb verziója nem nevezi át a fájlokat.

A fájlok titkosítása után a TeslaCrypt a következő üzenet egy változatát jeleníti meg:

A titkosított fájlok kiterjesztései a következők lehetnek:
• xtbl
• ytbl
• breaking_bad
• heisenberg
• better_call_saul
• los_pollos
• da_vinci_code
• magic_software_syndicate
• windows10
• windows8
• no_more_ransom
• tyson
• crypted000007
• crypted000078
• rsa3072
• decrypt_it
• dexter
• miami_california

A fájlok titkosítása után több fájl jön létre a felhasználó asztalán, a következő névváltozatokkal: README1.txt-től README10.txt-ig. A következő szöveg található bennük különböző nyelveken:

A felhasználó asztalának háttérképe is megváltozik, ezt az alábbi kép illusztrálja:

A zsaroló kártevő az „.~xdata~” kiterjesztést adja a titkosított fájlokhoz.

Mindegyik mappában, amely legalább egy titkosított fájlt tartalmaz, megtalálható a „HOW_CAN_I_DECRYPT_MY_FILES.txt” fájl. A zsaroló kártevő ezenfelül létrehoz egy kulcsfájlt, ehhez hasonló névvel:

[PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.~xdata~ a következő mappákban:

• C:\

• C:\ProgramData

• Asztal

A „HOW_CAN_I_DECRYPT_MY_FILES.txt” fájl a következő zsaroló üzenetet tartalmazza: