Phần mềm tống tiền này thêm một trong số các phần mở rộng sau đây vào tập tin bị mã hóa:
.aes_ni
.aes256
.aes_ni_0day

Trong mỗi thư mục có ít nhất một tập tin bị mã hóa, bạn có thể tìm thấy tập tin "!!! READ THIS - IMPORTANT !!!.txt". Ngoài ra, phần mềm tống tiền này còn tạo ra một tập tin khóa có tên tương tự với: [PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.aes_ni_0day trong C:\ProgramData folder.

Tập tin “!!! READ THIS - IMPORTANT !!!.txt” có chứa ghi chú đòi tiền chuộc sau đây:

Tập tin bị mã hóa có phần mở rộng ".Alcatraz".

Sau khi các tập tin của bạn bị mã hóa, màn hình sẽ hiển thị thông báo tương tự như sau (nằm trong tập tin "ransomed.html" ở màn hình nền máy tính của người dùng):

Apocalypse thêm .encrypted, .FuckYourData, .locked, .Encryptedfile hoặc .SecureCrypted vào cuối tên tập tin. (ví dụ: Thesis.doc = Thesis.doc.locked)

Khi bạn mở tập tin có phần mở rộng .How_To_Decrypt.txt, .README.Txt, .Contact_Here_To_Recover_Your_Files.txt, .How_to_Recover_Data.txt hoặc .Where_my_files.txt (ví dụ: Thesis.doc.How_To_Decrypt.txt), màn hình sẽ hiển thị thông báo tương tự như sau:

Tập tin được mã hóa có thể được nhận dạng bởi một trong số những phần mở rộng sau:
.ATOMSILO
.lockfile

Trong mỗi thư mục có ít nhất 1 tập tin được mã hóa cũng có tập tin ghi chú đòi tiền chuộc có tên README-FILE-%ComputerName%-%Number%.hta hoặc LOCKFILE-README-%ComputerName%-%Number%.hta, ví dụ:

• README-FILE-JOHN_PC-1634717562.hta
• LOCKFILE-README-JOHN_PC-1635095048.hta

Khi mã hóa tập tin, Babuk thêm một trong số những phần mở rộng sau vào tên tập tin:
.babuk
.babyk
.doydo

Trong mỗi thư mục có ít nhất 1 tập tin được mã hóa, bạn có thể tìm thấy tập tin Help Restore Your Files.txt với nội dung sau:

BadBlock không đổi tên tập tin của bạn.

Sau khi mã hóa tập tin của bạn, BadBlock hiển thị một trong những thông báo sau (từ tập tin có tên Help Decrypt.html):

Bart thêm .bart.zip vào cuối tên tập tin. (ví dụ: Thesis.doc = Thesis.docx.bart.zip) Đây là các tập tin lưu trữ ZIP mã hóa chứa các tập tin gốc.

Sau khi mã hóa tập tin của bạn, Bart đổi hình nền máy tính thành hình ảnh tương tự như bên dưới. Bạn có thể xác định Bart bằng phần văn bản trên hình ảnh này, được lưu trên màn hình nền máy tính trong các tập tin có tên recover.bmp và recover.txt.

Phần mềm tống tiền này thêm phần mở rộng sau đây: .obfuscated

foobar.doc -> foobar.doc.obfuscated
document.dat -> document.dat.obfuscated
document.xls -> document.xls.obfuscated
foobar.bmp -> foobar.bmp.obfuscated

Phần mềm tống tiền này cũng tạo một tập tin văn bản có tên là "Read Me.txt" trong mỗi thư mục. Tập tin này có nội dung như sau.

Tên tập tin bị mã hóa sẽ có định dạng như sau:
foobar.docx.[sql772@aol.com].theva
foobar.docx.[no.xop@protonmail.ch].cryptobyte
foobar.bmp.[no.btc@protonmail.ch].cryptowin
foobar.bmp.[no.btcw@protonmail.ch].btcware
foobar.docx.onyon

Ngoài ra, bạn có thể tìm thấy một trong các tập tin sau đây trên máy tính:
Key.dat trên %USERPROFILE%\Desktop
1.bmp trong %USERPROFILE%\AppData\Roaming
#_README_#.inf hoặc !#_DECRYPT_#!.inf trong mỗi thư mục có ít nhất một tập tin bị mã hóa.

Sau khi mã hóa các tập tin của bạn, hình nền máy tính sẽ bị thay đổi thành hình ảnh sau đây:

Có thể bạn cũng thấy một trong các ghi chú đòi tiền chuộc sau đây:

Crypt888 thêm Lock. vào phần đầu của tên tập tin. (ví dụ: Thesis.doc = Lock.Thesis.doc)

Sau khi mã hóa tập tin của bạn, Crypt888 đổi hình nền máy tính thành một trong những hình ảnh sau:

Các tập tin bị mã hóa sẽ có một trong các phần mở rộng sau: .CRYPTOSHIELD, .rdmk, .lesli, .scl, .code, .rmd, .rscl hoặc .MOLE.

Sau khi các tập tin bị mã hóa, có thể tìm thấy các tập tin sau trên PC:

Các tập tin bị mã hóa có phần mở rộng khác nhau, trong đó có:
.johnycryptor@hackermail.com.xtbl,
.ecovector2@aol.com.xtbl,
.systemdown@india.com.xtbl,
.Vegclass@aol.com.xtbl,
.{milarepa.lotos@aol.com}.CrySiS,
.{Greg_blood@india.com}.xtbl,
.{savepanda@india.com}.xtbl,
.{arzamass7@163.com}.xtbl,
.{3angle@india.com}.dharma,
.{tombit@india.com}.dharma,
.wallet

Sau khi các tập tin của bạn bị mã hóa, màn hình sẽ hiển thị một trong những thông báo sau (xem bên dưới). Thông báo được đặt trong tập tin "Decryption instructions.txt", "Decryptions instructions.txt", "README.txt", "Readme to restore your files.txt" hoặc "HOW TO DECRYPT YOUR DATA.txt" trên màn hình nền máy tính của người dùng. Đồng thời, hình nền máy tính bị đổi thành một trong những hình ảnh dưới đây.

Phần mềm tống tiền này thêm cụm từ “encrypTile” vào tên tập tin:

foobar.doc -> foobar.docEncrypTile.doc

foobar3 -> foobar3EncrypTile

Phần mềm tống tiền này cũng tạo 4 tập tin mới trên màn hình nền máy tính của người dùng. Tên của những tập tin này được bản địa hóa, sau đây là các phiên bản tiếng Anh:

Trong khi chạy, phần mềm tống tiền này sẽ chủ động ngăn không cho người dùng chạy bất kỳ công cụ nào có khả năng gỡ bỏ nó. Vui lòng tham khảo bài đăng blog này để xem hướng dẫn chi tiết hơn về cách chạy trình giải mã trong trường hợp phần mềm tống tiền này đang chạy trên máy tính của bạn.

Tập tin bị mã hóa sẽ có phần mở rộng .crypt.

Sau khi mã hóa các tập tin của bạn, phần mềm tống tiền này sẽ tạo một số tập tin trên màn hình nền máy tính của người dùng, với các biến thể tên của: DECRYPT.txt, HOW_TO_DECRYPT.txt, README.txt. Tất cả những tập tin này đều giống hệt nhau, có chứa thông báo văn bản sau:

Đặc biệt: Vì các trình giải mã của AVAST là ứng dụng dành cho Windows, bạn sẽ cần phải cài đặt một lớp mô phỏng trên máy Mac (WINE, CrossOver). Để biết thêm thông tin, vui lòng đọc bài đăng blog này của chúng tôi.

Các tập tin bị mã hóa sẽ có một trong các đuôi sau:
.FONIX,
.XINOF

Sau khi mã hóa tập tin trên máy của nạn nhân, phần mềm tống tiền này sẽ hiển thị màn hình sau:

Phần mềm tống tiền này có thể thêm nhiều đuôi:
.GDCB,
.CRAB,
.KRAB,
.%RandomLetters%
foobar.doc -> foobar.doc.GDCB
document.dat -> document.dat.CRAB
document.xls -> document.xls.KRAB
foobar.bmp -> foobar.bmp.gcnbo (các chữ cái là ngẫu nhiên)

Phần mềm tống tiền này cũng tạo một tập tin văn bản có tên "GDCB-DECRYPT.txt", "CRAB-DECRYPT.txt", "KRAB_DECRYPT.txt", "%ChữCáiNgẫuNhiên%-DECRYPT.txt" hoặc "%ChữCáiNgẫuNhiên%-MANUAL.txt" trong mỗi thư mục. Tập tin này có nội dung như sau.

Các phiên bản mới hơn của phần mềm tống tiền này cũng có thể đặt hình ảnh sau đây cho màn hình nền máy tính của người dùng:

Globe thêm một trong những phần mở rộng sau vào tên tập tin: ".ACRYPT", ".GSupport[0-9]", ".blackblock", ".dll555", ".duhust", ".exploit", ".frozen", ".globe", ".gsupport", ".kyra", ".purged", ".raid[0-9]", ".siri-down@india.com", ".xtbl", ".zendrz", ".zendr[0-9]" hoặc ".hnyear". Ngoài ra, một số phiên bản Globe mã hóa cả tên tập tin.

Sau khi các tập tin của bạn bị mã hóa, màn hình sẽ hiển thị thông báo tương tự như sau (nằm trong tập tin "How to restore files.hta" hoặc "Read Me Please.hta"):

Có thể nhận biết các tập tin đã mã hóa bằng phần mở rộng tập tin .[vote2024forjb@protonmail.com].encryptedJB. Ngoài ra còn có một tập tin read_me.html xuất hiện trên màn hình nền của người dùng (xem ảnh dưới đây).

Các tập tin bị mã hóa sẽ có một trong các phần mở rộng sau (nhưng không giới hạn ở): .locked, .34xxx, .bloccato, .BUGSECCCC, .Hollycrypt, .lock, .saeid, .unlockit, .razy, .mecpt, .monstro, .lok, .암호화됨, .8lock8, .fucked, .flyper, .kratos, .krypted, .CAZZO, .doomed.

Sau khi các tập tin bị mã hóa, một tập tin văn bản (READ_IT.txt, MSG_FROM_SITULA.txt, DECRYPT_YOUR_FILES.HTML) sẽ hiển thị trên màn hình nền máy tính của người dùng. Nhiều phiên bản tương tự cũng hiển thị thông báo tống tiền:

Các tập tin bị mã hóa sẽ có một trong các phần mở rộng sau: .kkk, .btc, .gws, .J, .encrypted, .porno, .payransom, .pornoransom, .epic, .xyz, .versiegelt, .encrypted, .payb, .pays, .payms, .paymds, .paymts, .paymst, .payrms, .payrmts, .paymrts, .paybtcs, .fun, .hush, .uk-dealer@sigaint.org hoặc .gefickt.

Sau khi các tập tin của bạn bị mã hóa, một trong các màn hình bên dưới sẽ hiển thị:

Phần mềm tống tiền này thêm phần mở rộng “.MyChemicalRomance4EVER” sau tên tập tin:
foobar.doc -> foobar.doc.MyChemicalRomance4EVER
document.dat -> document.dat.MyChemicalRomance4EVER

Phần mềm tống tiền này cũng tạo một tập tin văn bản có tên là "UNLOCK_guiDE.txt" trên màn hình nền máy tính của người dùng. Tập tin này có nội dung như sau.

Legion thêm một biến thể của ._23-06-2016-20-27-23_$f_tactics@aol.com$.legion hoặc .$centurion_legion@aol.com$.cbf vào cuối tên tập tin. (ví dụ: Thesis.doc = Thesis.doc._23-06-2016-20-27-23_$f_tactics@aol.com$.legion)

Sau khi mã hóa tập tin của bạn, Legion đổi ảnh màn hình nền máy tính và hiển thị một cửa sổ bật lên như thế này:

NoobCrypt không thay đổi tên tập tin. Tuy nhiên, các tập tin bị mã hóa không thể mở bằng ứng dụng liên kết.

Sau khi các tập tin của bạn bị mã hóa, màn hình sẽ hiển thị thông báo tương tự như sau (nằm trong tập tin "ransomed.html" ở màn hình nền máy tính của người dùng):

Có thể nhận biết các tập tin đã mã hóa bằng một trong những phần mở rộng tập tin sau đây:

• .[cmd_bad@keemail.me].VIPxxx
• .[cmd_bad@keemail.me].crypt
• .[cmd_bad@keemail.me].CRYSTAL
• .[KingKong2@tuta.io].crypt
• .reofgv
• .y9sx7x
• .[black_privat@tuta.io].CRYSTAL
• .BRINKS_PWNED
• .9ten0p
• .uo8bpy
• .iml
• .locked
• .unlock
• .secure[milleni5000@qq.com]
• .secure
• .61gutq
• .hard

Ngoài ra, trên màn hình nền của người dùng sẽ xuất hiện tập tin ghi chú đòi tiền chuộc với một trong những tên gọi sau đây:

• HOW_TO_DECYPHER_FILES.txt
• UNLOCK_FILES_INFO.txt
• Инструкция.txt

Tập tin được mã hóa có thể được nhận dạng bởi một trong số những phần mở rộng sau:
.mallox
.exploit
.architek
.brg
.carone

Trong mỗi thư mục có ít nhất một tệp được mã hóa, có tệp ghi chú đòi tiền chuộc, có tên là RECOVERY INFORMATION.txt (xem hình ảnh bên dưới).

Stampado thêm phần mở rộng .locked vào các tập tin bị mã hóa. Một số phiên bản cũng mã hóa tên tập tin, vì thế tên tập tin bị mã hóa có thể ở dạng document.docx.locked hoặc 85451F3CCCE348256B549378804965CD8564065FC3F8.locked.

Sau khi tập tin bị mã hóa xong, màn hình sau sẽ hiển thị:

SZFLocker thêm .szf vào cuối tên tập tin. (ví dụ: Thesis.doc = Thesis.doc.szf)

Khi bạn mở một tập tin bị nhiễm, SZFLocker hiển thị thông báo sau (bằng tiếng Ba Lan):

TeslaCrypt phiên bản mới nhất không đổi tên tập tin của bạn.

Sau khi mã hóa các tập tin của bạn, TeslaCrypt hiển thị thông báo tương tự như sau:

Các tập tin bị mã hóa sẽ có một trong các đuôi sau:
• xtbl
• ytbl
• breaking_bad
• heisenberg
• better_call_saul
• los_pollos
• da_vinci_code
• magic_software_syndicate
• windows10
• windows8
• no_more_ransom
• tyson
• crypted000007
• crypted000078
• rsa3072
• decrypt_it
• dexter
• miami_california

Sau khi mã hóa các tập tin của bạn, phần mềm tống tiền này sẽ tạo một số tập tin trên màn hình máy tính của người dùng, có tên từ README1.txt đến README10.txt. Các tập tin này hiển thị bằng nhiều ngôn ngữ và chứa nội dung như sau:

Hình nền trên máy tính của người dùng cũng thay đổi thành hình ảnh sau:

Phần mềm tống tiền này thêm phần mở rộng ".~xdata~" vào các tập tin bị mã hóa.

Trong mỗi thư mục có ít nhất một tập tin bị mã hóa, bạn có thể tìm thấy tập tin "HOW_CAN_I_DECRYPT_MY_FILES.txt". Ngoài ra, phần mềm tống tiền này còn tạo ra một tập tin khóa có tên tương tự với:

[PC_NAME]#9C43A95AC27D3A131D3E8A95F2163088-Bravo NEW-20175267812-78.key.~xdata~ trong các thư mục sau:

• C:\

• C:\ProgramData

• Desktop

Tập tin “HOW_CAN_I_DECRYPT_MY_FILES.txt” có chứa ghi chú đòi tiền chuộc sau đây: