De ransomware voegt een van de volgende extensies toe aan versleutelde bestanden:
.aes_ni
.aes256
.aes_ni_0day

In elke map met ten minste één versleuteld bestand is het bestand '!!! READ THIS - IMPORTANT !!!.txt’ te vinden. Daarnaast wordt er een sleutelbestand gemaakt met een naam die lijkt op: [PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.aes_ni_0day in de map C:\ProgramData.

Het bestand “!!! READ THIS - IMPORTANT !!!.txt” bevat de volgende losgeldeis:

Versleutelde bestanden hebben de extensie .Alcatraz.

Na versleuteling van uw bestanden wordt een variant van het volgende bericht weergegeven (staat in een bestand ransomed.html op het bureaublad van de gebruiker):

Apocalypse voegt .encrypted, .FuckYourData, .locked, .Encryptedfile of .SecureCrypted toe aan het einde van bestandsnamen. (Scriptie.doc wordt bijvoorbeeld Scriptie.doc.locked).

Als u een bestand opent met de extensie .How_To_Decrypt.txt, .README.Txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt of .Where_my_files.txt (bijvoorbeeld Scriptie.doc.How_To_Decrypt.txt), wordt er een variant van dit bericht weergegeven:

U herkent versleutelde bestanden aan een van deze extensies:
.ATOMSILO
.lockfile

In elke map met ten minste één versleuteld bestand bevindt zich ook een bestand met een losgeldbericht met de naam README-FILE-%ComputerName%-%Number%.hta of LOCKFILE-README-%ComputerName%-%Number%.hta. Voorbeeld:

• README-FILE-JOHN_PC-1634717562.hta
• LOCKFILE-README-JOHN_PC-1635095048.hta

Wanneer Babuk een bestand versleutelt, wordt een van de volgende extensies achter de bestandsnaam geplakt:
.babuk
.babyk
.doydo

In elke map met ten minste één versleuteld bestand kan het bestand Help Restore Your Files.txt worden aangetroffen, met de volgende inhoud:

BadBlock wijzigt de namen van uw bestanden niet.

Na versleuteling van uw bestanden door BadBlock verschijnt een van de volgende berichten (in een bestand genaamd Help Decrypt.html):

Bart voegt .bart.zip toe aan het eind van de bestandsnaam. (Scriptie.doc wordt bijvoorbeeld Scriptie.docx.bart.zip). Dit zijn versleutelde ZIP-archieven die de oorspronkelijke bestanden bevatten.

Na versleuteling van uw bestanden door Bart wordt de achtergrond van uw bureaublad gewijzigd in een afbeelding zoals hieronder. De tekst op deze afbeelding kan ook worden gebruikt om vast te stellen of het om Bart gaat en wordt op het bureaublad opgeslagen in bestanden met de naam recover.bmp en recover.txt.

De ransomware voegt de volgende extensie toe: .obfuscated

foobar.doc -> foobar.doc.obfuscated
document.dat -> document.dat.obfuscated
document.xls -> document.xls.obfuscated
foobar.bmp -> foobar.bmp.obfuscated

Daarnaast wordt er in elke map een tekstbestand gegenereerd met de naam ‘Read Me.txt’. Hieronder vindt u de inhoud van het bestand.

Versleutelde bestandsnamen zien er als volgt uit:
foobar.docx.[sql772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcw@protonmail.ch].btcware
foobar.docx.onyon

Ook kunt u een van de volgende bestanden aantreffen op de pc
Key.dat in %USERPROFILE%\Desktop
1.bmp in %USERPROFILE%\AppData\Roaming
#_README_#.inf of !#_DECRYPT_#!.inf in elke map met ten minste één versleuteld bestand.

Nadat uw bestanden zijn versleuteld, wordt de bureaubladachtergrond als volgt gewijzigd:

Daarnaast ziet u mogelijk een van de volgende losgeldberichten:

Crypt888 voegt Lock. toe aan het begin van bestandsnamen. (bijv. Scriptie.doc = Lock.Scriptie.doc)

Na versleuteling van uw bestanden door Crypt888 wordt de achtergrond van uw bureaublad in een van de volgende gewijzigd:

Versleutelde bestanden hebben een van de volgende extensies: .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd, .rscl of .MOLE.

Na het versleutelen van bestanden bevinden zich mogelijk de volgende bestanden op de pc:

Versleutelde bestanden kunnen verschillende extensies hebben, onder andere:
.johnycryptor@hackermail.com.xtbl,
.ecovector2@aol.com.xtbl,
.systemdown@india.com.xtbl,
.Vegclass@aol.com.xtbl,
.{milarepa.lotos@aol.com}.CrySiS,
.{Greg_blood@india.com}.xtbl,
.{savepanda@india.com}.xtbl,
.{arzamass7@163.com}.xtbl,
.{3angle@india.com}.dharma,
.{tombit@india.com}.dharma,
.wallet

Na versleuteling van uw bestanden wordt een van de volgende berichten weergegeven (zie onderstaand). Het bericht is te vinden in ‘Decryption instructions.txt’, ‘Decryptions instructions.txt’, ‘README.txt’, ‘Readme to restore your files.txt’ of ‘HOW TO DECRYPT YOUR DATA.txt’ op het bureaublad van de gebruiker. Ook wordt de bureaubladachtergrond gewijzigd in een van de volgende afbeeldingen.

De ransomware voegt het woord ‘encrypTile’ toe aan de bestandsnaam:

foobar.doc -> foobar.docEncrypTile.doc

foobar3 -> foobar3EncrypTile

Daarnaast worden er vier nieuwe bestanden gegenereerd op het bureaublad van de gebruiker. De namen van deze bestanden worden aangepast aan het land. Dit zijn de Engelse versies:

Wanneer de ransomware actief is, voorkomt deze dat de gebruiker een tool uitvoert waarmee de ransomware mogelijk zou kunnen worden verwijderd. In de blogpost vindt u uitgebreidere instructies over het gebruik van de ontsleutelingstool voor het geval dat de ransomware actief is op uw computer.

Versleutelde bestanden hebben de extensie .crypt.

Na versleuteling van uw bestanden worden er verschillende bestanden gegenereerd op het bureaublad van de gebruiker, met de naamvarianten: DECRYPT.txt, HOW_TO_DECRYPT.txt, README.txt. Ze zijn allemaal hetzelfde en bevatten het volgende tekstbericht:

Speciaal: omdat de ontsleutelingstools van AVAST Windows-toepassingen zijn, is het noodzakelijk een emulatielaag op de Mac te installeren (WINE, CrossOver). Lees voor meer informatie onze blogpost.

Versleutelde bestanden hebben een van de volgende extensies:
.FONIX,
.XINOF

Nadat de bestanden op de computer zijn versleuteld, laat de ransomware het volgende scherm zien:

De ransomware voegt meerdere mogelijke extensies toe:
.GDCB,
.CRAB,
.KRAB,
.%RandomLetters%
foobar.doc -> foobar.doc.GDCB
document.dat -> document.dat.CRAB
document.xls -> document.xls.KRAB
foobar.bmp -> foobar.bmp.gcnbo (willekeurige letters)

Daarnaast wordt in elke map een tekstbestand gegenereerd met de naam ‘GDCB-DECRYPT.txt’, ‘CRAB-DECRYPT.txt’, ‘KRAB_DECRYPT.txt’, ‘%WillekeurigeLetters%-DECRYPT.txt’ of ‘%WillekeurigeLetters%-MANUAL.txt’. Hieronder vindt u de inhoud van het bestand.

Bij latere versies van de ransomware kan ook de volgende afbeelding op het bureaublad van de gebruiker worden geplaatst:

Globe voegt een van de volgende extensies toe aan de bestandsnaam: ‘.ACRYPT’, ‘.GSupport[0-9]’, ‘.blackblock’, ‘.dll555’, ‘.duhust’, ‘.exploit’, ‘.frozen’, ‘.globe’, ‘.gsupport’, ‘.kyra’, ‘.purged’, ‘.raid[0-9]’, ‘.siri-down@india.com’, ‘.xtbl’, ‘.zendrz’, ‘.zendr[0-9]’ of ‘.hnyear’. Sommige versies van deze ransomware versleutelen ook de bestandsnaam.

Na versleuteling van uw bestanden wordt een variant van het volgende bericht weergegeven (staat in een bestand How to restore files.hta of Read Me Please.hta):

U herkent versleutelde bestanden aan de bestandsextensie .[vote2024forjb@protonmail.com].encryptedJB. Daarnaast wordt er een bestand met de naam read_me.html op het bureaublad van de gebruiker geplaatst (zie onderstaande afbeelding).

Versleutelde bestanden hebben een van de volgende extensies (maar er zijn er meer): .locked, .34xxx, .bloccato, .BUGSECCCC, .Hollycrypt, .lock, .saeid, .unlockit, .razy, .mecpt, .monstro, .lok, .암호화됨, .8lock8, .fucked, .flyper, .kratos, .krypted, .CAZZO en .doomed.

Na het versleutelen van bestanden verschijnt er een tekstbestand (READ_IT.txt, MSG_FROM_SITULA.txt, DECRYPT_YOUR_FILES.HTML) op het bureaublad van de gebruiker. Bij diverse varianten verschijnt er ook een losgeldbericht:

Versleutelde bestanden hebben een van de volgende extensies: .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer@sigaint.org of .gefickt.

Na het versleutelen van uw bestanden verschijnt een van onderstaande schermen:

De ransomware plakt de extensie ‘.MyChemicalRomance4EVER’ achter de bestandsnaam:
foobar.doc -> foobar.doc.MyChemicalRomance4EVER
document.dat -> document.dat.MyChemicalRomance4EVER

Daarnaast wordt het bureaublad van de gebruiker een tekstbestand gegenereerd met de naam ‘UNLOCK_guiDE.txt’. Hieronder vindt u de inhoud van het bestand.

Legion plakt een variant van ._23-06-2016-20-27-23_$f_tactics@aol.com$.legion of .$centurion_legion@aol.com$.cbf achter aan bestandsnamen. (Scriptie.doc wordt bijvoorbeeld Scriptie.doc._23-06-2016-20-27-23_$f_tactics@aol.com$.legion)

Na versleuteling van uw bestanden door Legion wordt de achtergrond van uw bureaublad gewijzigd en verschijnt er een pop-upmelding:

NoobCrypt wijzigt de bestandsnaam niet. Versleutelde bestanden kunnen echter niet worden geopend met de bijbehorende toepassing.

Na versleuteling van uw bestanden wordt een variant van het volgende bericht weergegeven (staat in een bestand ransomed.html op het bureaublad van de gebruiker):

U herkent versleutelde bestanden aan een van deze bestandsextensies:

• .[cmd_bad@keemail.me].VIPxxx
• .[cmd_bad@keemail.me].crypt
• .[cmd_bad@keemail.me].CRYSTAL
• .[KingKong2@tuta.io].crypt
• .reofgv
• .y9sx7x
• .[black_privat@tuta.io].CRYSTAL
• .BRINKS_PWNED
• .9ten0p
• .uo8bpy
• .iml
• .locked
• .unlock
• .secure[milleni5000@qq.com]
• .secure
• .61gutq
• .hard

Daarnaast wordt er een losgeldbericht met een van de volgende namen op het bureaublad van de gebruiker geplaatst:

• HOW_TO_DECYPHER_FILES.txt
• UNLOCK_FILES_INFO.txt
• Инструкция.txt

U herkent een versleuteld bestand aan een van deze extensies:
.mallox
.exploit
.architek
.brg
.carone

Elke map met ten minste één versleuteld bestand bevat ook een bestand met een losgeldbericht. Dit bestand heet RECOVERY INFORMATION.txt (zie de afbeelding hieronder).

Stampado voegt de extensie .locked toe aan de versleutelde bestanden. Sommige varianten versleutelen ook de bestandsnaam zelf. De versleutelde bestandsnaam kan er dus als volgt uitzien: document.docx.locked of 85451F3CCCE348256B549378804965CD8564065FC3F8.locked.

Nadat het versleutelen is voltooid, verschijnt het volgende scherm:

SZFLocker voegt .szf toe aan het einde van bestandsnamen. (Scriptie.doc wordt bijvoorbeeld Scriptie.doc.szf).

Wanneer u probeert een met SZFLocker versleuteld bestand te openen, verschijnt het volgende bericht (in het Pools):

De nieuwste versie van TeslaCrypt wijzigt de naam van uw bestanden niet.

Na versleuteling van uw bestanden door TeslaCrypt verschijnt er een variant van het volgende bericht:

Versleutelde bestanden hebben een van de volgende extensies:
• xtbl
• ytbl
• breaking_bad
• heisenberg
• better_call_saul
• los_pollos
• da_vinci_code
• magic_software_syndicate
• windows10
• windows8
• no_more_ransom
• tyson
• crypted000007
• crypted000078
• rsa3072
• decrypt_it
• dexter
• miami_california

Na versleuteling van de bestanden worden er verschillende bestanden gegenereerd op het bureaublad van de gebruiker, met de naamvarianten README1.txt tot README10.txt. In verschillende talen wordt de volgende tekst weergegeven:

Daarnaast wordt de bureaubladachtergrond als volgt gewijzigd:

De ransomware voegt de extensie ‘.~xdata~’ toe aan de versleutelde bestanden.

In elke map met ten minste één versleuteld bestand is het bestand ‘HOW_CAN_I_DECRYPT_MY_FILES.txt’ te vinden. Daarnaast wordt er een sleutelbestand gemaakt met een naam die lijkt op:

[PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.~xdata~ in de volgende mappen:

• C:\

• C:\ProgramData

• Desktop

Het bestand “HOW_CAN_I_DECRYPT_MY_FILES.txt” bevat de volgende losgeldeis: