Ransomware ini menambahkan salah satu daripada sambungan berikut pada fail yang disulitkan:
.aes_ni
.aes256
.aes_ni_0day

Dalam setiap folder dengan sekurang-kurangnya satu fail disulitkan, fail "!!! READ THIS - IMPORTANT !!!.txt" boleh ditemui. Selain itu, ransomware itu membuat fail kunci dengan nama yang serupa dengan: [PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.aes_ni_0day dalam folder C:\ProgramData.

Fail "!!! READ THIS - IMPORTANT !!!.txt" mengandungi nota tebusan berikut:

Fail yang disulitkan mempunyai sambungan ".Alcatraz".

Selepas menyulitkan fail anda, mesej yang sama dipaparkan (terdapat dalam fail "ransomed.html" pada desktop pengguna):

Apocalypse menambahkan .encrypted, .FuckYourData, .locked, .Encryptedfile, atau .SecureCrypted di hujung nama fail. (misalnya, Thesis.doc = Thesis.doc.locked)

Membuka fail dengan sambungan .How_To_Decrypt.txt, .README.Txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt atau .Where_my_files.txt (misalnya, Thesis.doc.How_To_Decrypt.txt) akan memaparkan pelbagai mesej:

Fail yang disulitkan boleh dikenal pasti dengan salah satu sambungan berikut:
.ATOMSILO
.lockfile

Dalam setiap folder yang mempunyai sekurang-kurangnya satu fail yang disulitkan, terdapat juga fail nota tebusan yang bertajuk README-FILE-%ComputerName%-%Number%.hta atau LOCKFILE-README-%ComputerName%-%Number%.hta, cth.:

• README-FILE-JOHN_PC-1634717562.hta
• LOCKFILE-README-JOHN_PC-1635095048.hta

Apabila menyulitkan fail, Babuk menambah salah satu sambungan berikut pada nama fail:
.babuk
.babyk
.doydo

Dalam setiap folder dengan sekurang-kurangnya satu fail disulitkan, fail Help Restore Your Files.txt boleh ditemui dengan kandungan berikut:

BadBlock tidak menukar nama fail anda.

Selepas menyulitkan fail anda, BadBlock memaparkan satu daripada mesej ini (daripada fail bernama Help Decrypt.html):

Bart menambahkan .bart.zip di hujung nama fail. (misalnya, Thesis.doc = Thesis.docx.bart.zip) Ini ialah arkib ZIP yang disulitkan yang mengandungi fail asal.

Selepas menyulitkan fail anda, Bart menukar hias latar desktop anda kepada imej seperti di bawah ini. Teks pada imej ini turut boleh digunakan untuk membantu mengenal pasti Bart dan disimpan pada desktop dalam fail yang bernama recover.bmp dan recover.txt.

Ransomware ini menambahkan sambungan berikut: .obfuscated

foobar.doc -> foobar.doc.obfuscated
document.dat -> document.dat.obfuscated
document.xls -> document.xls.obfuscated
foobar.bmp -> foobar.bmp.obfuscated

Ransomware ini juga membuat fail teks bernama "Read Me.txt" dalam setiap folder. Kandungan fail tersebut seperti di bawah.

Nama fail yang disulitkan akan mempunyai format berikut:
foobar.docx.[sql772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcw@protonmail.ch].btcware
foobar.docx.onyon

Selain itu, salah satu fail berikut boleh ditemui pada PC
Key.dat on %USERPROFILE%\Desktop
1.bmp in %USERPROFILE%\AppData\Roaming
#_README_#.inf or !#_DECRYPT_#!.inf in each folder with at least one encrypted file.

Selepas menyulitkan fail anda, kertas dinding desktop ditukar kepada yang berikut:

Anda juga boleh melihat salah satu nota tebusan berikut:

Crypt888 menambah Lock. pada permulaan nama fail. (misalnya, Thesis.doc = Lock.Thesis.doc)

Selepas menyulitkan fail anda, Crypt888 menukar hias latar desktop anda kepada salah satu daripada berikut:

Fail yang disulitkan akan mempunyai satu daripada sambungan berikut: .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd, .rscl atau .MOLE.

Fail berikut mungkin ditemui pada PC selepas menyulitkan fail:

Fail yang disulitkan mempunyai pelbagai sambungan, termasuk:
.johnycryptor@hackermail.com.xtbl,
.ecovector2@aol.com.xtbl,
.systemdown@india.com.xtbl,
.Vegclass@aol.com.xtbl,
.{milarepa.lotos@aol.com}.CrySiS,
.{Greg_blood@india.com}.xtbl,
.{savepanda@india.com}.xtbl,
.{arzamass7@163.com}.xtbl,
.{3angle@india.com}.dharma,
.{tombit@india.com}.dharma,
.wallet

Selepas menyulitkan fail anda, satu daripada mesej berikut dipaparkan (lihat di bawah). Mesej terdapat dalam "Decryption instructions.txt", "Decryptions instructions.txt", "README.txt", "Readme to restore your files.txt" atau "HOW TO DECRYPT YOUR DATA.txt" pada desktop pengguna. Selain itu, latar belakang desktop ditukar kepada salah satu gambar di bawah.

Ransomware ini menambahkan perkataan "encrypTile" ke dalam nama fail:

foobar.doc -> foobar.docEncrypTile.doc

foobar3 -> foobar3EncrypTile

Ransomware ini juga membuat empat fail baharu pada desktop pengguna. Nama fail ini diterjemahkan, ini ialah versi bahasa Inggeris:

Semasa sedang berjalan, ransomware akan menghalang pengguna secara aktif daripada menggunakan sebarang alat yang berkemungkinan akan mengeluarkannya. Rujuk pada catatan blog untuk mendapatkan arahan yang lebih terperinci berkenaan cara untuk menjalankan penyahsulit sekiranya ransomware sedang berjalan pada PC anda.

Fail yang disulitkan mempunyai sambungan .crypt.

Selepas menyulitkan fail anda, beberapa fail akan dibuat pada desktop pengguna dengan pelbagai nama: DECRYPT.txt, HOW_TO_DECRYPT.txt, README.txt. Fail ini semuanya sama, mengandungi mesej teks berikut:

Khas: Memandangkan penyahsulit AVAST ialah aplikasi Windows, anda perlu memasang lapisan emulasi pada Mac (WINE, CrossOver). Untuk mendapatkan maklumat lanjut, sila baca catatan blog kami.

Fail yang disulitkan akan mempunyai satu daripada sambungan ini:
.FONIX,
.XINOF

Setelah menyulitkan fail pada mesin mangsa, ransomware akan menunjukkan skrin berikut:

Ransomware ini menambahkan beberapa kemungkinan sambungan:
.GDCB,
.CRAB,
.KRAB,
.%RandomLetters%
foobar.doc -> foobar.doc.GDCB
document.dat -> document.dat.CRAB
document.xls -> document.xls.KRAB
foobar.bmp -> foobar.bmp.gcnbo (huruf rawak)

Ransomware ini juga membuat fail teks bernama "GDCB-DECRYPT.txt", "CRAB-DECRYPT.txt", "KRAB_DECRYPT.txt", "%RandomLetters%-DECRYPT.txt" atau "%RandomLetters%-MANUAL.txt"dalam setiap folder. Kandungan fail tersebut seperti di bawah.

Versi ransomware yang lebih baharu juga boleh menetapkan imej berikut pada desktop pengguna:

Globe menambahkan satu daripada sambungan berikut pada nama fail: ".ACRYPT", ".GSupport[0-9]", ".blackblock", ".dll555", ".duhust", ".exploit", ".frozen", ".globe", ".gsupport", ".kyra", ".purged", ".raid[0-9]", ".siri-down@india.com", ".xtbl", ".zendrz", ".zendr[0-9]" atau ".hnyear". Selain itu, beberapa versinya turut menyulitkan nama fail.

Selepas menyulitkan fail anda, mesej yang sama dipaparkan (terdapat dalam fail "How to restore files.hta" atau "Read Me Please.hta"):

Fail yang disulitkan boleh dikenal pasti oleh sambungan fail .[vote2024forjb@protonmail.com].encryptedJB. Selain itu, sebuah fail bernama read_me.html dijatuhkan ke desktop pengguna (lihat imej di bawah).

Fail yang disulitkan akan mempunyai salah satu daripada sambungan berikut (tetapi tidak terhad kepada sambungan ini): .locked, .34xxx, .bloccato, .BUGSECCCC, .Hollycrypt, .lock, .saeid, .unlockit, .razy, .mecpt, .monstro, .lok, .암호화됨, .8lock8, .fucked, .flyper, .kratos, .krypted, .CAZZO, .doomed.

Selepas menyulitkan fail, satu fail teks (READ_IT.txt, MSG_FROM_SITULA.txt, DECRYPT_YOUR_FILES.HTML) dipaparkan pada desktop pengguna. Pelbagai jenis lain turut menunjukkan mesej tebusan:

Fail yang disulitkan akan mempunyai satu daripada sambungan berikut: .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer@sigaint.org atau .gefickt.

Selepas menyulitkan fail anda, salah satu daripada skrin di bawah akan dipaparkan:

Ransomware ini menambahkan sambungan ".MyChemicalRomance4EVER" selepas nama fail:
foobar.doc -> foobar.doc.MyChemicalRomance4EVER
document.dat -> document.dat.MyChemicalRomance4EVER

Ransomware ini juga membuat fail teks bernama "UNLOCK_guiDE.txt" pada desktop pengguna. Kandungan fail tersebut seperti di bawah.

Legion menambahkan varian ._23-06-2016-20-27-23_$f_tactics@aol.com$.legion atau .$centurion_legion@aol.com$.cbf di hujung nama fail. (misalnya, Thesis.doc = Thesis.doc._23-06-2016-20-27-23_$f_tactics@aol.com$.legion)

Selepas menyulitkan fail anda, Legion menukar hias latar desktop dan memaparkan pop timbul seperti ini:

NoobCrypt tidak menukar nama fail. Namun begitu, fail yang disulitkan tidak dapat dibuka dengan aplikasi yang berkenaan.

Selepas menyulitkan fail anda, mesej yang sama dipaparkan (terdapat dalam fail "ransomed.html" pada desktop pengguna):

Fail yang disulitkan boleh dikenal pasti dengan salah satu sambungan fail berikut:

• .[cmd_bad@keemail.me].VIPxxx
• .[cmd_bad@keemail.me].crypt
• .[cmd_bad@keemail.me].CRYSTAL
• .[KingKong2@tuta.io].crypt
• .reofgv
• .y9sx7x
• .[black_privat@tuta.io].CRYSTAL
• .BRINKS_PWNED
• .9ten0p
• .uo8bpy
• .iml
• .locked
• .unlock
• .secure[milleni5000@qq.com]
• .secure
• .61gutq
• .hard

Selain itu, fail nota rawak dijatuhkan ke desktop pengguna dengan salah satu nama berikut:

• HOW_TO_DECYPHER_FILES.txt
• UNLOCK_FILES_INFO.txt
• Инструкция.txt

Fail yang disulitkan boleh dikenal pasti dengan salah satu sambungan berikut:
.mallox
.exploit
.architek
.brg
.carone

Dalam setiap folder yang mengandungi sekurang-kurangnya satu fail disulitkan, terdapat juga fail nota tebusan, bertajuk RECOVERY INFORMATION.txt (lihat imej di bawah).

Stampado menambahkan sambungan .locked pada fail yang disulitkan. Sesetengah jenis perisian ini turut menyulitkan nama fail itu sendiri, oleh itu nama fail yang disulitkan kelihatan seperti document.docx.locked atau 85451F3CCCE348256B549378804965CD8564065FC3F8.locked.

Selepas penyulitan selesai, skrin berikut akan dipaparkan:

SZFLocker menambahkan .szf pada penghujung nama fail. (misalnya, Thesis.doc = Thesis.doc.szf)

Apabila anda cuba membuka fail yang disulitkan, SZFLocker memaparkan mesej berikut (dalam bahasa Poland):

TeslaCrypt versi terkini tidak menukar nama fail anda.

Selepas menyulitkan fail anda, TeslaCrypt memaparkan pelbagai mesej berikut:

Fail yang disulitkan akan mempunyai satu daripada sambungan ini:
• xtbl
• ytbl
• breaking_bad
• heisenberg
• better_call_saul
• los_pollos
• da_vinci_code
• magic_software_syndicate
• windows10
• windows8
• no_more_ransom
• tyson
• crypted000007
• crypted000078
• rsa3072
• decrypt_it
• dexter
• miami_california

Selepas menyulitkan fail anda, beberapa fail akan dibuat pada desktop pengguna dengan nama README1.txt hingga README10.txt. Ia dalam bahasa yang berbeza, yang mengandungi teks ini:

Latar belakang desktop pengguna juga berubah dan kelihatan seperti gambar di bawah:

Ransomware ini menambahkan sambungan ".~xdata~" pada fail yang disulitkan.

Dalam setiap folder dengan sekurang-kurangnya satu fail disulitkan, fail "HOW_CAN_I_DECRYPT_MY_FILES.txt" boleh ditemui. Selain itu, ransomware itu membuat fail kunci dengan nama yang serupa dengan:

[PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.~xdata~ dalam folder berikut:

• C:\

• C:\ProgramData

• Desktop

Fail "HOW_CAN_I_DECRYPT_MY_FILES.txt" mengandungi nota tebusan berikut: