Ransomware ini menambahkan salah satu ekstensi berikut ke file terenkripsi:
.aes_ni
.aes256
.aes_ni_0day

Dalam setiap folder yang berisi minimal satu file terenkripsi, pasti akan ada file "!!! READ THIS - IMPORTANT !!!.txt". Selain itu, ransomware ini membuat file kunci yang namanya mirip dengan: [PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.aes_ni_0day di folder C:\ProgramData.

File "!!! READ THIS - IMPORTANT !!!.txt" berisi pesan tebusan sebagai berikut:

File terenkripsi memiliki ekstensi ".Alcatraz".

Setelah mengenkripsi file Anda, sebuah pesan serupa muncul (pesan ini terletak di file "ransomed.html" yang tersimpan di desktop pengguna):

Apocalypse menambahkan .encrypted, .FuckYourData, .locked, .Encryptedfile, atau .SecureCrypted di belakang nama file. (mis., Thesis.doc = Thesis.doc.locked)

Membuka sebuah file dengan ekstensi .How_To_Decrypt.txt, .README.Txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt, atau .Where_my_files.txt (misalnya Thesis.doc.How_To_Decrypt.txt) akan menampilkan pesan sejenis ini:

File terenkripsi dapat dikenali dengan salah satu dari ekstensi berikut:
.ATOMSILO
.lockfile

Dalam setiap folder yang memiliki setidaknya satu file terenkripsi, terdapat juga file catatan tebusan dengan nama README-FILE-%ComputerName%-%Number%.hta atau LOCKFILE-README-%ComputerName%-%Number%.hta, mis.:

• README-FILE-JOHN_PC-1634717562.hta
• LOCKFILE-README-JOHN_PC-1635095048.hta

Saat mengenkripsi file, Babuk menambahkan salah satu dari ekstensi berikut ke nama file:
.babuk
.babyk
.doydo

Dalam setiap folder yang berisi minimal satu file terenkripsi, akan ada file Help Restore Your Files.txt dengan isi sebagai berikut:

BadBlock tidak mengubah nama file Anda.

Setelah mengenkripsi file Anda, BadBlock menampilkan salah satu dari pesan-pesan ini (dari sebuah file bernama Help Decrypt.html):

Bart menambahkan .bart.zip di belakang nama file. (mis., Thesis.doc = Thesis.docx.bart.zip) Arsip ini adalah arsip ZIP dienkripsi yang berisi file-file orisinalnya.

Setelah mengenkripsi file Anda, Bart mengubah wallpaper desktop Anda menjadi gambar seperti yang ada di bawah ini. Teks pada gambar ini juga dapat digunakan untuk membantu mengidentifikasi Bart, dan tersimpan di desktop dengan nama recover.bmp dan recover.txt.

Berikut adalah ekstensi yang ditambahkan oleh ransomware ini: .obfuscated

foobar.doc -> foobar.doc.obfuscated
document.dat -> document.dat.obfuscated
document.xls -> document.xls.obfuscated
foobar.bmp -> foobar.bmp.obfuscated

Ransomware ini juga membuat file teks yang dinamai "Read Me.txt" di setiap folder. Berikut adalah isi dari file tersebut.

Berikut adalah format yang akan muncul pada nama file yang terenkripsi:
foobar.docx.[sql772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcw@protonmail.ch].btcware
foobar.docx.onyon

Di samping itu, salah satu file berikut akan muncul di PC
Key.dat di %USERPROFILE%\Desktop
1.bmp di %USERPROFILE%\AppData\Roaming
#_README_#.inf atau !#_DECRYPT_#!.inf dalam setiap folder yang memiliki setidaknya satu file terenkripsi.

Setelah mengenkripsi file Anda, wallpaper desktop berubah menjadi seperti yang ada di bawah ini:

Salah satu pesan tebusan berikut mungkin juga akan muncul:

Crypt888 menambahkan Lock. di depan nama file. (mis., Thesis.doc = Lock.Thesis.doc)

Setelah mengenkripsi file Anda, Crypt888 mengubah wallpaper desktop Anda menjadi salah satu yang ada di bawah ini:

Berikut adalah ekstensi file terenkripsi yang akan muncul: .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd, .rscl, atau .MOLE.

File berikut mungkin akan muncul di PC setelah mengenkripsi file:

File terenkripsi memiliki banyak ekstensi, di antaranya:
.johnycryptor@hackermail.com.xtbl,
.ecovector2@aol.com.xtbl,
.systemdown@india.com.xtbl,
.Vegclass@aol.com.xtbl,
.{milarepa.lotos@aol.com}.CrySiS,
.{Greg_blood@india.com}.xtbl,
.{savepanda@india.com}.xtbl,
.{arzamass7@163.com}.xtbl,
.{3angle@india.com}.dharma,
.{tombit@india.com}.dharma,
.wallet

Setelah mengenkripsi file Anda, salah satu pesan berikut ini akan muncul (lihat di bawah). Pesan tersebut ada di "Decryption instructions.txt", "Decryptions instructions.txt", "README.txt", "Readme to restore your files.txt", atau "HOW TO DECRYPT YOUR DATA.txt" pada desktop pengguna. Selain itu, latar belakang desktop juga akan berubah menjadi salah satu gambar di bawah ini.

Ransomware ini menambahkan kata "encrypTile" ke tengah-tengah nama file:

foobar.doc -> foobar.docEncrypTile.doc

foobar3 -> foobar3EncrypTile

Ransomware ini juga membuat empat file baru di desktop pengguna. Nama file-file tadi tergantung dari lokasinya, berikut adalah namanya dalam bahasa Inggris:

Saat sedang berjalan, ransomware ini secara aktif mencegah pengguna agar tidak mengaktifkan alat apa pun yang berpotensi menghentikan operasinya. Baca postingan blog untuk petunjuk selengkapnya tentang cara menjalankan pendekripsi seandainya ada ransomware di PC Anda.

Ekstensi .crypt akan muncul pada file terenkripsi.

Setelah mengenkripsi file Anda, akan muncul sejumlah file di desktop pengguna, dengan varian nama seperti: DECRYPT.txt, HOW_TO_DECRYPT.txt, README.txt. Semua file tersebut sama dan berisi pesan teks seperti berikut ini:

Spesial: Karena pendekripsi AVAST merupakan aplikasi dari Windows, pengguna Mac perlu menginstal lapisan emulator (WINE, CrossOver) di perangkatnya. Untuk informasi lebih lanjut, silakan baca postingan blog kami.

File yang dienkripsi akan memiliki salah satu ekstensi berikut:
.FONIX,
.XINOF

Setelah mengenkripsi file di komputer korban, ransomware menampilkan layar berikut:

Berikut adalah sejumlah ekstensi yang mungkin ditambahkan oleh ransomware ini:
.GDCB,
.CRAB,
.KRAB,
.%RandomLetters%
foobar.doc -> foobar.doc.GDCB
document.dat -> document.dat.CRAB
document.xls -> document.xls.KRAB
foobar.bmp -> foobar.bmp.gcnbo (huruf acak)

Ransomware ini juga membuat file teks yang dinamai "GDCB-DECRYPT.txt", "CRAB-DECRYPT.txt", "KRAB_DECRYPT.txt", "%RandomLetters%-DECRYPT.txt" atau "%RandomLetters%-MANUAL.txt" dalam setiap folder. Berikut adalah isi dari file tersebut.

Versi lebih baru dari ransomware ini juga dapat memasang gambar berikut di desktop pengguna:

Globe menambahkan salah satu ekstensi berikut di belakang nama file: ".ACRYPT", ".GSupport[0-9]", ".blackblock", ".dll555", ".duhust", ".exploit", ".frozen", ".globe", ".gsupport", ".kyra", ".purged", ".raid[0-9]", ".siri-down@india.com", ".xtbl", ".zendrz", ".zendr[0-9]", atau ".hnyear". Lebih jauh, beberapa versinya juga mengenkripsi nama file.

Setelah mengenkripsi file Anda, sebuah pesan serupa muncul (pesan ini terletak di file "How to restore files.hta" atau "Read Me Please.hta"):

File terenkripsi dapat dikenali oleh ekstensi file .[vote2024forjb@protonmail.com].encryptedJB. Selain itu, file dengan nama read_me.html dikirim ke desktop pengguna (lihat gambar di bawah).

Berikut (tapi tidak hanya ini) adalah ekstensi file terenkripsi yang akan muncul: .locked, .34xxx, .bloccato, .BUGSECCCC, .Hollycrypt, .lock, .saeid, .unlockit, .razy, .mecpt, .monstro, .lok, .암호화됨, .8lock8, .fucked, .flyper, .kratos, .krypted, .CAZZO, .doomed.

Setelah mengenkripsi file, file teks (READ_IT.txt, MSG_FROM_SITULA.txt, DECRYPT_YOUR_FILES.HTML) akan muncul di desktop pengguna. Beragam varian juga dapat menampilkan pesan tebusan:

Berikut adalah ekstensi file terenkripsi yang akan muncul: .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer@sigaint.org, atau .gefickt.

Setelah mengenkripsi file Anda, salah satu layar berikut akan muncul:

Ransomware ini menambahkan ekstensi ".MyChemicalRomance4EVER" di belakang nama file:
foobar.doc -> foobar.doc.MyChemicalRomance4EVER
document.dat -> document.dat.MyChemicalRomance4EVER

Ransomware ini juga membuat teks file yang dinamai "UNLOCK_guiDE.txt" di desktop pengguna. Berikut adalah isi dari file tersebut.

Legion menambahkan sejenis ._23-06-2016-20-27-23_$f_tactics@aol.com$.legion atau .$centurion_legion@aol.com$.cbf di belakang nama file. (mis., Thesis.doc = Thesis.doc._23-06-2016-20-27-23_$f_tactics@aol.com$.legion)

Setelah mengenkripsi file Anda, Legion mengubah wallpaper desktop Anda dan menampilkan sebuah pesan sembul, seperti ini:

NoobCrypt tidak mengganti nama file. Namun, file yang telah terenkripsi tidak dapat dibuka dengan aplikasi yang seharusnya.

Setelah mengenkripsi file Anda, sebuah pesan serupa muncul (pesan ini terletak di file "ransomed.html" yang tersimpan di desktop pengguna):

File terenkripsi dapat dikenali dengan salah satu dari ekstensi file berikut:

• .[cmd_bad@keemail.me].VIPxxx
• .[cmd_bad@keemail.me].crypt
• .[cmd_bad@keemail.me].CRYSTAL
• .[KingKong2@tuta.io].crypt
• .reofgv
• .y9sx7x
• .[black_privat@tuta.io].CRYSTAL
• .BRINKS_PWNED
• .9ten0p
• .uo8bpy
• .iml
• .locked
• .unlock
• .secure[milleni5000@qq.com]
• .secure
• .61gutq
• .hard

Selain itu, file catatan tebusan dikirim ke desktop pengguna dengan salah satu nama berikut:

• HOW_TO_DECYPHER_FILES.txt
• UNLOCK_FILES_INFO.txt
• Инструкция.txt

File terenkripsi dapat dikenali dengan salah satu dari ekstensi berikut:
.mallox
.exploit
.architek
.brg
.carone

Dalam setiap folder yang berisi setidaknya satu file terenkripsi, terdapat juga catatan tebusan dengan nama RECOVERY INFORMATION.txt (lihat gambar di bawah).

Stampado menambahkan ekstensi .locked ke file terenkripsi. Sebagian varian juga mengenkripsi nama file itu sendiri, jadi nama file terenkripsi yang mungkin muncul adalah document.docx.locked atau 85451F3CCCE348256B549378804965CD8564065FC3F8.locked.

Setelah enkripsi selesai, layar berikut akan muncul:

SZFLocker menambahkan .szf di belakang nama file. (mis., Thesis.doc = Thesis.doc.szf)

Saat Anda mencoba membuka file yang terenkripsi, SZFLocker menampilkan pesan berikut (dalam Bahasa Polandia):

Versi terbaru TeslaCrypt tidak mengubah nama file Anda.

Setelah mengenkripsi file Anda, TeslaCrypt menampilkan pesan seperti berikut ini:

File yang dienkripsi akan memiliki salah satu ekstensi berikut:
• xtbl
• ytbl
• breaking_bad
• heisenberg
• better_call_saul
• los_pollos
• da_vinci_code
• magic_software_syndicate
• windows10
• windows8
• no_more_ransom
• tyson
• crypted000007
• crypted000078
• rsa3072
• decrypt_it
• dexter
• miami_california

Setelah mengenkripsi file Anda, sejumlah file akan muncul di desktop pengguna, dengan nama README1.txt hingga README10.txt. Sejumlah file tersebut, dalam berbagai bahasa, menampilkan pesan:

Latar belakang desktop pengguna juga berubah dan terlihat seperti gambar di bawah ini:

Ransomware ini menambahkan ekstensi ".~xdata~" ke file terenkripsi.

Dalam setiap folder yang berisi minimal satu file terenkripsi, pasti akan ada file "HOW_CAN_I_DECRYPT_MY_FILES.txt". Selain itu, ransomware ini membuat file kunci yang namanya mirip dengan:

[PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.~xdata~ di folder berikut:

• C:\

• C:\ProgramData

• Desktop

Berikut adalah pesan tebusan yang ada di dalam file "HOW_CAN_I_DECRYPT_MY_FILES.txt":