Utpressningstrojanen lägger till en av följande filändelser till de krypterade filerna:
.aes_ni
.aes256
.aes_ni_0day

I varje mapp med åtminstone en krypterad fil, kan du hitta filen ”!!! READ THIS - IMPORTANT !!!.txt”. Dessutom skapar utpressningstrojanen en nyckelfil med ett namn som liknar: [PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.aes_ni_0day i mappen C:\ProgramData.

Filen ”!!! READ THIS - IMPORTANT !!!.txt” innehåller följande utpressningsmeddelande:

Krypterade filer har tillägget ”.Alcatraz”.

När dina filer har krypterats visas ett liknande meddelande (det finns i filen ”ransomed.html” på användarens skrivbord):

Apocalypse lägger till .encrypted, .FuckYourData, .locked, .Encryptedfile eller .SecureCrypted till slutet av filnamnen. (t.ex., Thesis.doc = Thesis.doc.locked)

Om du öppnar en fil med tillägget .How_To_Decrypt.txt, .README.Txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt eller .Where_my_files.txt (t.ex., Thesis.doc.How_To_Decrypt.txt) visas en variant av det här meddelandet:

Krypterade filer kan kännas igen av en av dessa tillägg:
.ATOMSILO
.lockfile

I varje mapp med minst en krypterad fil finns det även en fil med ett utpressningsbrev, med filnamnet README-FILE-%Datornamn%-%Nummer%.hta eller LOCKFILE-README-%Datornamn%-%Nummer%.hta, t.ex.:

• README-FILE-JOHN_PC-1634717562.hta
• LOCKFILE-README-JOHN_PC-1635095048.hta

Vid kryptering av filer lägger Babuk till ett av följande tillägg i filnamnet:
.babuk
.babyk
.doydo

I varje mapp med åtminstone en krypterad fil kan du hitta filen Help Restore Your Files.txt med följande innehåll:

BadBlock döper inte om dina filer.

När dina filer har krypterats visar BadBlock ett av följande meddelanden (från en fil som kallas Help Decrypt.html):

Bart lägger till .bart.zip till slutet av filnamnen. (t.ex., Thesis.doc = Thesis.docx.bart.zip) Dessa är krypterade zipfiler som innehåller originalfilerna.

När du har krypterat dina filer ändrar Bart din skrivbordsbakgrund till någon av dem som visas nedan. Texten på den här bilden kan också användas för att identifiera Bart och den lagras på skrivbordet i filer med namnen recover.bmp och recover.txt.

Utpressningstrojanen lägger till följande ändelse: .obfuscated

foobar.doc -> foobar.doc.obfuscated
document.dat -> document.dat.obfuscated
document.xls -> document.xls.obfuscated
foobar.bmp -> foobar.bmp.obfuscated

Utpressningstrojanen skapar också textfiler med namnet ”Read Me.txt” i varje mapp. Filens innehåll följer nedan.

Krypterade filnamn har följande format:
foobar.docx.[sql772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcw@protonmail.ch].btcware
foobar.docx.onyon

Dessutom finns en av följande filer på din dator
Key.dat på %ANVÄNDARPROFIL%\Skrivbord
1.bmp i %ANVÄNDARPROFIL%\AppData\Roaming
#_README_#.inf eller !#_DECRYPT_#!.inf i varje mapp med åtminstone en krypterad fil.

Efter att dina filer har krypterats ändras din skrivbordsbakgrund till följande:

Ett av följande meddelanden kan också visas:

Crypt888 lägger till Lock. Till filnamnens början. (t.ex. Thesis.doc = Lock.Thesis.doc)

När dina filer har krypterats ändrar Bart din skrivbordsbakgrund till någon av följande:

Krypterade filer har något av följande tillägg: .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd, .rscl eller .MOLE.

Följande filer kan visas på datorn efter att filer har krypterats:

Krypterade filer har många olika tillägg, inklusive:
.johnycryptor@hackermail.com.xtbl,
.ecovector2@aol.com.xtbl,
.systemdown@india.com.xtbl,
.Vegclass@aol.com.xtbl,
.{milarepa.lotos@aol.com}.CrySiS,
.{Greg_blood@india.com}.xtbl,
.{savepanda@india.com}.xtbl,
.{arzamass7@163.com}.xtbl,
.{3angle@india.com}.dharma,
.{tombit@india.com}.dharma,
.wallet

När dina filer har krypterats visas ett av följande meddelanden (se nedan). Meddelandet finns i ”Decryption instructions.txt”, ”Decryptions instructions.txt”, ”README.txt”, ”Readme to restore your files.txt” eller ”HOW TO DECRYPT YOUR DATA.txt” på användarens skrivbord. Skrivbordsbakgrunden ändras också till en av nedanstående bilder.

Utpressningstrojanen lägger till ordet ”encrypTile” i filnamnet:

foobar.doc -> foobar.docEncrypTile.doc

foobar3 -> foobar3EncrypTile

Utpressningstrojanen skapar också fyra nya filer på användarens skrivbord. Namnet på dessa filer lokaliseras, här följer de engelska versionerna:

När utpressningstrojanen körs förhindrar den aktivt användaren från att köra verktyg som skulle kunna avlägsna den. Se bloggposten för mer detaljerade instruktioner om hur du kör du dekrypteringen om du hittar en utpressningstrojan på din dator.

Krypterade filer har tillägget .crypt.

Efter att dina filer har krypterats skapas flera filer på användarens skrivbord med namnvarianter av: DECRYPT.txt, HOW_TO_DECRYPT.txt, README.txt. De är alla identiska och innehåller följande textmeddelande:

Special: Eftersom AVAST-dekrypteringar är Windows-applikationer måste du installera ett emuleringslager på Mac (WINE, CrossOver). Läs vår bloggpost för ytterligare information.

Krypterade filer har något av följande tillägg:
.FONIX,
.XINOF

Efter att filer på offrets dator har krypterats visas följande skärm:

Utpressningstrojanen kan lägga till flera olika filändelser:
.GDCB,
.CRAB,
.KRAB,
.%RandomLetters%
foobar.doc -> foobar.doc.GDCB
document.dat -> document.dat.CRAB
document.xls -> document.xls.KRAB
foobar.bmp -> foobar.bmp.gcnbo (bokstäverna är slumpade)

Utpressningstrojanen skapar även en textfil som heter ”GDCB-DECRYPT.txt”, ”CRAB-DECRYPT.txt”, ”KRAB_DECRYPT.txt”, ”% DECRYPT.txt”, ”%RandomLetters%-DECRYPT.txt” eller ”%RandomLetters%-MANUAL.txt” i vardera mapp. Du hittar filens innehåll nedan.

Nyare versioner av utpressningstrojanen kan också visa följande bild på användarens skrivbord:

Globe lägger till ett av följande filtillägg till filnamnet: ”.ACRYPT”, ”.GSupport[0-9]”, ”.blackblock”, ”.dll555”, ”.duhust”, ”.exploit”, ”.frozen”, ”.globe”, ”.gsupport”, ”.kyra”, ”.purged”, ”.raid[0-9]”, ”.siri-down@india.com”, ”.xtbl”, ”.zendrz”, ”.zendr[0-9]”, eller ”.hnyear”. Vissa versioner krypterar även filnamnet.

När dina filer har krypterats visas ett liknande meddelande (det finns i filen ”How to restore files.hta” eller ”Read Me Please.hta”):

Krypterade filer känns igen genom filnamnstillägget .[vote2024forjb@protonmail.com].encryptedJB. En fil med namnet read_me.html placeras dessutom på användarens skrivbord (se bilden nedan).

Krypterade filer har ett av följande tillägg (ej begränsade till): .locked, .34xxx, .bloccato, .BUGSECCCC, .Hollycrypt, .lock, .saeid, .unlockit, .razy, .mecpt, .monstro, .lok, .암호화됨, .8lock8, .fucked, .flyper, .kratos, .krypted, .CAZZO, .doomed.

När filer har krypterats visas en textfil (READ_IT.txt, MSG_FROM_SITULA.txt, DECRYPT_YOUR_FILES.HTML) på användarens skrivbord. Olika varianter kan också visa ett utpressningsmeddelande:

Krypterade filer har ett av följande tillägg: .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer@sigaint.org eller .gefickt.

När dina filer har krypterats visas en av skärmarna nedan:

Utpressningstrojanen lägger till ändelsen ”.MyChemicalRomance4EVER” efter filnamnet:
foobar.doc -> foobar.doc.MyChemicalRomance4EVER
document.dat -> document.dat.MyChemicalRomance4EVER

Utpressningstrojanen skapar också en textfil som heter ”UNLOCK_guiDE.txt” på användarens skrivbord. Filens innehåll följer nedan.

Legion lägger till en variant av ._23-06-2016-20-27-23_$f_tactics@aol.com$.legion eller .$centurion_legion@aol.com$.cbf i slutet på filnamnen. (t.ex., Thesis.doc = Thesis.doc._23-06-2016-20-27-23_$f_tactics@aol.com$.legion)

När dina filer har krypterats ändrar Legion skrivbordsbakgrunden och visar följande popup-meddelande:

NoobCrypt ändrar inte filnamnet. Filer som är krypterade kan dock inte öppnas med sitt associerade program.

När dina filer har krypterats visas ett liknande meddelande (det finns i filen ”ransomed.html” på användarens skrivbord):

Krypterade filer känns igen genom något av dessa filnamnstillägg:

• .[cmd_bad@keemail.me].VIPxxx
• .[cmd_bad@keemail.me].crypt
• .[cmd_bad@keemail.me].CRYSTAL
• .[KingKong2@tuta.io].crypt
• .reofgv
• .y9sx7x
• .[black_privat@tuta.io].CRYSTAL
• .BRINKS_PWNED
• .9ten0p
• .uo8bpy
• .iml
• .locked
• .unlock
• .secure[milleni5000@qq.com]
• .secure
• .61gutq
• .hard

En fil med ett utpressningsmeddelande placeras även på användarens skrivbord med något av följande namn:

• HOW_TO_DECYPHER_FILES.txt
• UNLOCK_FILES_INFO.txt
• Инструкция.txt

Krypterade filer kan kännas igen av en av dessa tillägg:
.mallox
.exploit
.architek
.brg
.carone

I varje mapp med minst en krypterad fil finns det även en fil med ett utpressningsbrev med titeln RECOVERY INFORMATION.txt (se bilden nedan).

Stampado lägger till .locked-tillägget på de krypterade filerna. För vissa varianter krypteras också filnamnet av sig självt så att det krypterade filnamnet kan låsas som document.docx.locked eller 85451F3CCCE348256B549378804965CD8564065FC3F8.locked.

När krypteringen har slutförts visas följande skärm:

SZFLocker lägger till .szf i slutet av filnamnen. (t.ex., Thesis.doc = Thesis.doc.szf)

När du försöker öppna en krypterad fil visar SZFLocker följande meddelande (på polska):

I den senaste versionen av TeslaCryp byter den inte namn på filerna.

När dina filer har krypteras visar TeslaCrypt en variant av följande meddelande:

Krypterade filer har något av följande tillägg:
• xtbl
• ytbl
• breaking_bad
• heisenberg
• better_call_saul
• los_pollos
• da_vinci_code
• magic_software_syndicate
• windows10
• windows8
• no_more_ransom
• tyson
• crypted000007
• crypted000078
• rsa3072
• decrypt_it
• dexter
• miami_california

Efter att dina filer har krypterats skapas flera filer på skrivbordet som döps till README1.txt till README10.txt. De innehåller följande text på olika språk:

Användarens skrivbordsbakgrund ändras också och kommer att se ut som bilden nedan:

Utpressningstrojanen lägger till ändelsen ”.~xdata~” till krypterade filer.

I varje mapp med åtminstone en krypterad fil, kan du hitta filen ”HOW_CAN_I_DECRYPT_MY_FILES.txt”. Dessutom skapar utpressningstrojanen en nyckelfil med ett namn som liknar:

[PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.~xdata~ i följande mappar:

• C:\

• C:\ProgramData

•Skrivbord

Filen ”HOW_CAN_I_DECRYPT_MY_FILES.txt” innehåller följande utpressningsmeddelande: