RANSOM_HIDDENTEARTHREE.A

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It connects to certain websites to send and receive information.

It encrypts files with specific file extensions. It encrypts files found in specific folders.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware drops the following files:

• %Application Data%\iekAewe.exe
• {Folder containing encrypted files}\DECRYPT_MY_FILES.HTML - ransom note
• {Folder containing encrypted files}\DECRYPT_MY_FILES.vbs
• {Folder containing encrypted files}\ID.txt
• %Application Data%\wl.bmp - set as desktop wallpaper

(Note: %Application Data% is the Application Data folder, where it usually is C:\Documents and Settings\{user name}\Application Data on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Roaming on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

Other System Modifications

This Ransomware modifies the following registry entries:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\wl.bmp

Other Details

This Ransomware connects to the following website to send and receive information:

• http://{BLOCKED}trdbsp4ccs.onion/data.php?id={id+key+password}

It does the following:

• It executes the dropped VBS component which is responsible for speaking the following message:
  • "Attention! Attention! Attention! Your documents, photos, databases and other important files have been encrypted! We are 3301"
• It terminates itself if found running in any of the following countries:
  • Azerbaijan
  • Belarus
  • Kazakhstan
  • Lithuania
  • Russia
  • Slovakia
  • Ukraine

Ransomware Routine

This Ransomware encrypts files with the following extensions:

• .$$$
• .$db
• .$er
• .000
• .001
• .002
• .113
• .123c
• .123d
• .123dx
• .1ph
• .2d
• .2mg
• .360
• .3d
• .3d2
• .3d4
• .3da
• .3dc
• .3df
• .3dl
• .3dm
• .3dmf
• .3dmk
• .3don
• .3dp
• .3dr
• .3ds
• .3dt
• .3dv
• .3dw
• .3dx
• .3dxml
• .3fr
• .3g2
• .3ga
• .3gp
• .3gp2
• .3gpp
• .3gpp2
• .3mm
• .3p2
• .4db
• .4dd
• .4dl
• .4dv
• .4mp
• .4th
• .4ui
• .60d
• .6cm
• .73b
• .787
• .7z
• .7z.001
• .7z.002
• .8cm
• .8pbs
• .8svx
• .8xi
• .9.png
• .__b
• ._eml
• .a00
• .a01
• .a02
• .a2c
• .a2m
• .a3w
• .a4m
• .a4p
• .a4w
• .a52
• .a5rpt
• .a5w
• .a65
• .aa
• .aa3
• .aac
• .aam
• .aao
• .aax
• .ab3
• .aba
• .abcd
• .abdata
• .abf
• .abk
• .abm
• .abs
• .abw
• .abx
• .aby
• .ac3
• .ac5
• .ac6
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdw
• .accft
• .acd-zip
• .ace
• .acm
• .acp
• .acr
• .act
• .adc
• .adcp
• .ade
• .adf
• .adn
• .adp
• .adts
• .adz
• .aep
• .aepx
• .aes
• .aet
• .aetx
• .af2
• .af3
• .afc
• .afd
• .aff
• .afp
• .afs
• .aft
• .afx
• .agd
• .aggr
• .agi
• .agp
• .ahd
• .ai
• .aic
• .aif
• .aifb
• .aifc
• .aiff
• .aim
• .aimppl
• .ain
• .ais
• .aiv
• .ajp
• .akp
• .al
• .alac
• .alaw
• .albm
• .alf
• .all
• .alp
• .als
• .alz
• .am4
• .am5
• .am6
• .am7
• .amc
• .amf
• .amr
• .ams
• .amu
• .amv
• .amx
• .amz
• .an
• .an8
• .anh
• .anim
• .anm
• .anme
• .ans
• .aob
• .aof
• .ap
• .apd
• .ape
• .aph
• .apm
• .apng
• .aps
• .apt
• .apx
• .apz
• .arc
• .ard
• .arff
• .arh
• .ari
• .aria
• .ariax
• .arj
• .ark
• .aro
• .arr
• .arsc
• .art
• .artproj
• .artwork
• .arw
• .as
• .as2proj
• .as3proj
• .as4
• .asat
• .asc
• .ascii
• .ascs
• .asd
• .ase
• .ashbak
• .ashprj
• .ashx
• .ask
• .asm
• .asnd
• .asp
• .aspx
• .asvx
• .asw
• .at3
• .ate
• .ati
• .atl
• .atm
• .atr
• .atrac
• .au
• .au3
• .aud
• .aup
• .aut
• .ava
• .avchd
• .avhd
• .avi
• .avp
• .awb
• .awd
• .awdb
• .awm
• .aww
• .axx
• .ay
• .azf
• .azs
• .azw
• .azw1
• .azw3
• .azw4
• .azz
• .b1
• .b2a
• .b3d
• .b4s
• .b5i
• .b64
• .b6i
• .ba
• .bac
• .bak
• .bak2
• .bak3
• .inds
• .ink
• .inl
• .inm
• .ino
• .int
• .ipd
• .ipf
• .ipj
• .ipk
• .ipn
• .ipt
• .ipx
• .ircp
• .irf
• .irock
• .irp
• .irx
• .mpc
• .mpdp
• .mpe
• .mpeg
• .mpeg1
• .mpeg4
• .mpf
• .mpg
• .mpg2
• .mpga
• .mpi
• .mpj
• .mpo
• .mpp
• .mppz
• .mpu
• .mpv
• .mpv2
• .mpz
• .mpzip
• .mqo
• .mqv
• .mrb
• .mrg
• .mrml
• .mrw
• .mrxs
• .ms11
• .ms3d
• .ms7
• .ms8
• .ms9
• .mscx
• .msdvd
• .msg
• .msh
• .msif
• .msp
• .msv
• .mswmm
• .mt9
• .mth
• .mts
• .mtv
• .mtx
• .mtz
• .mud
• .muf
• .muz
• .mv
• .mv_
• .nap
• .nb
• .nb7
• .nba
• .nbak
• .nbc
• .nbd
• .nbf
• .nbi
• .nbk
• .nbp
• .nbs
• .nbu
• .nc
• .ncd
• .nco
• .ncor
• .ncorx
• .ncr
• .nct
• .ndf
• .nef
• .neko
• .neo
• .neu
• .nfb
• .nfc
• .nff
• .nfi
• .ngc
• .ngd
• .nim
• .njx
• .nmp
• .nmsv
• .nni
• .nnp
• .npf
• .npp
• .npr
• .nps
• .nqc
• .nrbak
• .nrg
• .nri
• .nrs
• .nrt
• .nrw
• .ns2
• .ns3
• .ns4
• .nsa
• .nsf
• .nsv
• .ntf
• .nut
• .nuv
• .nv2
• .nvc
• .nvf
• .nvram
• .nwbak
• .nwc
• .nwctxt
• .nwd
• .nwf
• .nxc
• .nyf
• .nzb
• .oab
• .oar
• .obd
• .obk
• .occ
• .oce
• .oci
• .ocr
• .odb
• .odc
• .odf
• .odg
• .odi
• .odm
• .odp
• .ods
• .odt
• .oeb
• .ofc
• .off
• .ofr
• .oga
• .ogg
• .ogm
• .ogv
• .ogx
• .old
• .olk
• .oma
• .omf
• .omg
• .one
• .onepkg
• .ontx
• .opd
• .opf
• .opj
• .opus
• .oqy
• .or3
• .or4
• .or5
• .or6
• .ora
• .orf
• .ori
• .orig
• .ort
• .orv
• .orx
• .ot
• .ota
• .otb
• .otg
• .otl
• .otrkey
• .otx
• .ovf
• .ovl
• .ovw
• .owc
• .owg
• .oxps
• .oyx
• .p
• .p01
• .p19
• .p21
• .p2g
• .p2i
• .p2z
• .p3
• .p3d
• .p6
• .p65
• .p7
• .p7b
• .p7c
• .p7m
• .p7s
• .p96
• .p97
• .pab
• .pac
• .pack.gz
• .package
• .pae
• .pak
• .pakm
• .pan
• .pano
• .pap
• .paq
• .paq6
• .paq7
• .paq8
• .paq8f
• .par
• .pas
• .pat
• .pax
• .pbb
• .pbj
• .pbk
• .pbm
• .pbproj
• .pc1
• .pc2
• .pc3
• .pc6
• .pca
• .pcd
• .pcm
• .pct
• .pcv
• .pcx
• .pdb
• .pdc
• .pdd
• .pder
• .pdf
• .pdfxml
• .pdg
• .pdi
• .pdl
• .pdm
• .pdn
• .pdp
• .pds
• .pdwr
• .pe4
• .pea
• .pef
• .pem
• .pep
• .pex
• .pez
• .pf
• .pfc
• .pfd
• .pfi
• .pfl
• .pfv
• .pfx
• .pgd
• .pgf
• .pgi
• .pgm
• .pgp
• .pgpf
• .pgx
• .phb
• .phj
• .phl
• .phm
• .photoshow
• .php
• .php3
• .php4
• .php5
• .phtm
• .phtml
• .pi1
• .pi2
• .pi3
• .pi4
• .pi5
• .pi6
• .pic
• .picnc
• .pict
• .pigs
• .pika
• .pim
• .pis
• .pit
• .pix
• .piz
• .pjpeg
• .pjpg
• .pjx
• .pkey
• .pkg
• .pl1
• .pl2
• .pla
• .pln
• .plproj
• .plt
• .ply
• .pm3
• .pm4
• .pm5
• .pm6
• .pmatrix
• .pmd
• .pmf
• .pmg
• .pmlz
• .pmm
• .pmo
• .pna
• .pni
• .pnm
• .pnproj
• .pnpt
• .pnt
• .pntg
• .pnz
• .pobi
• .pobj
• .pod
• .pop
• .pov
• .pp2
• .pp4
• .pp5
• .ppc
• .ppcx
• .ppf
• .ppj
• .ppk
• .ppm
• .ppr
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .ppz
• .pqi
• .prc
• .prd
• .prefab
• .prel
• .prg
• .prj
• .prn
• .pro4
• .pro4dvd
• .pro5
• .pro5dvd
• .project
• .proqc
• .prproj
• .prs
• .prt
• .prz
• .psa
• .psb
• .psd
• .psdx
• .pse
• .psf
• .psh
• .psm
• .psm1
• .psp
• .pspd
• .psr
• .pss
• .pssd
• .pst
• .psu
• .psw
• .psw6
• .psz
• .pt
• .ptcop
• .ptg
• .pth
• .ptr
• .ptw
• .ptx
• .pub
• .puz
• .pva
• .pvc
• .pvk
• .pvm
• .pvr
• .pwa
• .pwd
• .pwi
• .pwn
• .pwp
• .pwr
• .pwrep
• .pws
• .px
• .pxf
• .pxi
• .pxj
• .pxr
• .pxv
• .py
• .pyw
• .pyx
• .pz2
• .pz3
• .pza
• .pzp
• .pzs
• .pzz
• .q07
• .q08
• .q09
• .q3c
• .q3d
• .qba
• .qba.tlg
• .qbb
• .qbk
• .qbm
• .qbmb
• .qbmd
• .qbw
• .qbx
• .qby
• .qcow
• .qcow2
• .qcp
• .qda
• .qdb
• .qdf
• .qdl
• .qdt
• .qel
• .qic
• .qif
• .qml
• .qpb
• .qpf
• .qpw
• .qpx
• .qrp
• .qry
• .qsd
• .qsf
• .qt
• .qti
• .qtif
• .qtm
• .qtz
• .qualsoftcode
• .quiz
• .quox
• .qvd
• .qvp
• .qvw
• .qv~
• .qx
• .qxb
• .qxd
• .qxf
• .qxp
• .r0
• .r00
• .r01
• .r02
• .r03
• .r1
• .r2
• .r21
• .r30
• .r3d
• .ra
• .rad
• .raf
• .ral
• .ram
• .rar
• .rar5
• .ras
• .ratdvd
• .raw
• .rax
• .ray
• .rb
• .rbc
• .rbf
• .rbk
• .rbp
• .rbs
• .rbw
• .rcd
• .rcl
• .rctd
• .rcx
• .rcy
• .rdb
• .rdi
• .rdl
• .rdlx
• .rds
• .rdx
• .rec
• .record
• .rev
• .rex
• .rfp
• .rgb
• .rgf
• .rgmb
• .rgmc
• .rgo
• .ric
• .rif
• .riff
• .rix
• .rk
• .rle
• .rli
• .rm
• .rmbak
• .rmd
• .rmf
• .rmi
• .rms
• .rmuf
• .rmvb
• .rmx
• .rnc
• .rnq
• .rns
• .roca
• .roxio
• .rp9
• .rpa
• .rpd
• .rpf
• .rpmsg
• .rpp
• .rpprj
• .rpt
• .rri
• .rrr
• .rs
• .rsa
• .rsb
• .rsg
• .rsn
• .rso
• .rsp
• .rsv
• .rta
• .rte
• .rtf
• .rtx
• .rv
• .rvl
• .rvt
• .rvx
• .rw2
• .rwg
• .rwl
• .rx2
• .rxc
• .rzb
• .rzk
• .rzs
• .rzx
• .s00
• .s01
• .s02
• .s85
• .sab
• .saf
• .safe
• .safetext
• .sai
• .sam
• .sap
• .sar
• .sat
• .sb
• .sb2
• .sbb
• .sbd
• .sbg
• .sbk
• .sbp
• .sbs
• .sbu
• .sbw
• .scad
• .scg
• .sci
• .scm
• .scn
• .sco
• .scp
• .sct
• .scu
• .scv
• .scw
• .scx
• .scz
• .sd
• .sd2
• .sd2f
• .sda
• .sdb
• .sdo
• .sdoc
• .sdr
• .sds
• .sdsk
• .sdv
• .sdw
• .sdx
• .sdz
• .sec
• .sedprj
• .sef
• .seg
• .sep
• .ser
• .sesx
• .sf
• .sfc
• .sfera
• .sff
• .sfpack
• .sfs
• .sfvidcap
• .sfw
• .sfx
• .sgi
• .sgml
• .sgn
• .sgp
• .sgz
• .sh3d
• .sh3f
• .shg
• .shn
• .show
• .shp
• .sht
• .shtm
• .shtml
• .shw
• .shy
• .si
• .sid
• .sig
• .sim
• .sit
• .sitx
• .siv
• .sk1
• .zz
• .~cw
• .bakx
• .bak~
• .band
• .bap
• .bas
• .bay
• .bb
• .bbb
• .bbc
• .bbcd
• .bbz
• .bcf
• .bci
• .bck
• .bckp
• .bcl
• .bcm
• .bdb
• .bdf
• .bean
• .bet
• .bfa
• .bfc
• .bfx
• .bgt
• .bh
• .bho
• .bhx
• .bib
• .bidule
• .bik
• .bim
• .bix
• .bk1
• .bkc
• .bkf
• .bkk
• .bkp
• .bks
• .bld
• .blend
• .blend1
• .blend2
• .blkrt
• .bluej
• .blz
• .bm2
• .bm3
• .bmc
• .bmf
• .bmz
• .bna
• .bnd
• .bnp
• .boc
• .bok
• .bonk
• .boo
• .book
• .box
• .bp3
• .bpa
• .sk2
• .skb
• .skc
• .skf
• .skl
• .skm
• .skp
• .skr
• .skv
• .sla
• .sla.gz
• .slb
• .sld
• .slddrw
• .sldprt
• .slf
• .slp
• .sls
• .slx
• .sme
• .smf
• .smi
• .smil
• .smk
• .sml
• .smp
• .sms
• .smv
• .smz
• .sn1
• .sn2
• .sna
• .snagproj
• .snb
• .snd
• .sng
• .snk
• .sns
• .sob
• .sonic
• .sopt
• .sou
• .spa
• .spb
• .spc
• .spd
• .spdf
• .spe
• .spf
• .spg
• .sph
• .spi
• .spiff
• .spj
• .spk
• .spl
• .spp
• .spt
• .spx
• .sqb
• .sqf
• .sql
• .sqlite
• .sqlite2
• .bpb
• .bpd
• .bpdx
• .bpf
• .bpg
• .bpk
• .bpm
• .bpn
• .bpnueb
• .bpr
• .bps
• .bpw
• .br3
• .br4
• .br5
• .br6
• .br7
• .brain
• .brd
• .brf
• .brk
• .brl
• .brn
• .bro
• .brw
• .bs2
• .bs4
• .bsd
• .bsdl
• .bsf
• .bsk
• .btd
• .btf
• .btif
• .btoa
• .btr
• .bup
• .bur
• .bvd
• .bvp
• .bwf
• .bwg
• .bwi
• .bws
• .bwt
• .bww
• .bz
• .bz2
• .bza
• .bzabw
• .bzip
• .bzip2
• .c
• .c00
• .c01
• .c02
• .c10
• .c2d
• .c3d
• .c3z
• .c4
• .c4d
• .caf
• .caff
• .sqlite3
• .sqx
• .sqz
• .sr
• .sr2
• .srep
• .srf
• .srr
• .srw
• .ssk
• .ssnd
• .ssp
• .ssv
• .std
• .ste
• .step
• .stg
• .stk
• .stn
• .sto
• .stp
• .stproj
• .stu
• .stw
• .stx
• .styk
• .stykz
• .suf
• .sumo
• .sun
• .suniff
• .sv$
• .sv2i
• .sva
• .svd
• .svf
• .svg
• .svgz
• .svi
• .svx
• .sw
• .swa
• .swi
• .swm
• .swt
• .sxd
• .sxg
• .sxi
• .sxw
• .syn
• .syw
• .t01
• .t02
• .t03
• .t04
• .t05
• .t06
• .t07
• .t08
• .t09
• .t10
• .t11
• .t12
• .t13
• .cal
• .cals
• .cam
• .camm
• .camproj
• .camrec
• .camv
• .can
• .cap
• .caproj
• .capx
• .car
• .cawr
• .cbk
• .cbl
• .cbp
• .cbr
• .cbu
• .cbz
• .cc
• .cca
• .ccb
• .ccd
• .ccf
• .cch
• .ccr
• .ccs
• .cct
• .cd
• .cd2
• .cd5
• .cdb
• .cdd
• .cdda
• .cddx
• .cdf
• .cdg
• .cdi
• .cdm
• .cdmm
• .cdmt
• .cdmtz
• .cdmz
• .cdo
• .cdpx
• .cdpz
• .cdr
• .cdt
• .cdw
• .cdz
• .ce
• .ceb
• .cedprj
• .cef
• .cel
• .celtx
• .cf2
• .cfa
• .cff
• .cfs
• .cg
• .cg3
• .cga
• .cgm
• .t2ks
• .t2kt
• .t3001
• .t3d
• .t64
• .taac
• .tab
• .tak
• .tao
• .tar.gz
• .tar.gz2
• .tar.lzma
• .tar.xz
• .tax08
• .tax09
• .tax10
• .tax11
• .tax12
• .tax13
• .taz
• .tbk
• .tbp
• .tbz2
• .tc
• .tcc
• .tcr
• .tcw
• .tcx
• .td0
• .tda3mt
• .tdb
• .tddd
• .tex
• .text
• .tg
• .tg4
• .tga
• .tgd
• .tgo
• .thl
• .thm
• .thp
• .thx
• .tib
• .tif
• .tiff
• .tig
• .tis
• .tivo
• .tjp
• .tk3
• .tl5
• .tlb
• .tlg
• .tlh
• .tli
• .tlp
• .tlz
• .tm
• .tm2
• .tm8
• .tmb
• .tmc
• .tmd
• .tme
• .tmp
• .tmr
• .tmv
• .tn1
• .tn2
• .tn3
• .tne
• .tnef
• .tny
• .toast
• .toc
• .tod
• .top
• .topc
• .topprj
• .topviw
• .tp
• .tp0
• .tpd
• .tpi
• .tpr
• .tpz
• .tr
• .tr3
• .tra
• .trif
• .trm
• .trn
• .trp
• .ts
• .tt10
• .tt11
• .tt12
• .tt13
• .tta
• .ttbk
• .ttx
• .tvl
• .tvs
• .twb
• .twbx
• .txa
• .txf
• .txt
• .txw
• .tzx
• .u10
• .u11
• .u12
• .ub
• .uc2
• .uci
• .uds
• .uea
• .ufo
• .ufr
• .uga
• .uha
• .uibak
• .uif
• .uof
• .uos
• .uot
• .cgp
• .ch3
• .chef
• .chg
• .chml
• .chn
• .cib
• .cif
• .cil
• .cimg
• .cin
• .cit
• .ck9
• .ckd
• .ckf
• .ckp
• .ckt
• .cl2
• .cl2arc
• .cl2doc
• .cl2lyt
• .cl2tpl
• .cl4
• .cl5
• .clb
• .clg
• .clk
• .clkw
• .cls
• .clx
• .cm10
• .cma
• .cmap
• .cmbl
• .cmf
• .cmmp
• .cmod
• .cmx
• .cmz
• .cna
• .cnd
• .cng
• .cnm
• .cnv
• .cob
• .colz
• .cov
• .cp9
• .cpb
• .cpc
• .cpd
• .cpe
• .cpf
• .cpg
• .cph
• .cpio
• .cpk
• .cpmz
• .cpp
• .cpr
• .cps
• .cpt
• .cptx
• .cpx
• .upf
• .ustar
• .utf8
• .utxt
• .uud
• .uw
• .uwf
• .uwl
• .v
• .v2i
• .v2m
• .v3d
• .v3o
• .val
• .vap
• .vbc
• .vbg
• .vbk
• .vbm
• .vbox - prev
• .vbp
• .vbpf1
• .vbproj
• .vbw
• .vc1
• .vc4
• .vc6
• .vc8
• .vcd
• .vce
• .vcf
• .vco
• .vcp
• .vcpf
• .vcproj
• .vcrd
• .vcv
• .vcxproj
• .vda
• .vdi
• .vdo
• .vdproj
• .vdr
• .vdw
• .vec
• .veg
• .vem
• .vep
• .vivo
• .vix
• .vlab
• .vle
• .vlg
• .vlp
• .vlt
• .vmdk
• .vml
• .vmo
• .vmsd
• .vmsn
• .vmss
• .vna
• .vnt
• .vob
• .cpy
• .cr2
• .crd
• .crds
• .crev
• .crt
• .crtr
• .crtx
• .crw
• .crypted
• .cryptra
• .crz
• .cs
• .csa
• .csd
• .csf
• .csh
• .csi
• .cso
• .csp
• .csproj
• .csr
• .csx
• .ct
• .ctm
• .cts
• .ctv
• .ctv3
• .cu
• .cub
• .cut
• .cv5
• .cvc
• .cvg
• .cvi
• .cvs
• .cvw
• .cvx
• .cwb
• .cwk
• .cwp
• .cwt
• .cwz
• .cx3
• .cxd
• .cxf
• .cxp
• .cxt
• .cxx
• .cyp
• .cys
• .czd
• .czi
• .czip
• .czp
• .d00
• .d01
• .d2v
• .d3d
• .d3v
• .d64
• .da0
• .da2
• .daa
• .voc
• .voi
• .vox
• .voxal
• .voxb
• .vp
• .vp3
• .vp6
• .vp7
• .vpcbackup
• .vpd
• .vpe
• .vpj
• .vpm
• .vpp
• .vpw
• .vqf
• .vrb
• .vrf
• .vrl
• .vrml
• .vs4
• .vsd
• .vsdm
• .vsdx
• .vse
• .vsh
• .vsmproj
• .vsp
• .vsq
• .vst
• .vstm
• .vstx
• .vtx
• .vud
• .vue
• .vvd
• .vw
• .vyf
• .w02
• .w3d
• .w64
• .wb1
• .wb2
• .wb3
• .wbb
• .wbc
• .wbcat
• .wbd
• .wbk
• .wbs
• .wcat
• .wcm
• .wcp
• .wdb
• .wdf
• .wdp
• .web
• .webm
• .webp
• .wem
• .wgp
• .wgs
• .wi
• .wic
• .win
• .wjf
• .wlmp
• .wlp
• .wma
• .wmga
• .wmmp
• .wmp
• .wmt
• .wmv
• .wn
• .wot
• .wp
• .wp3
• .wp4
• .wp5
• .wp6
• .wp7
• .wpa
• .wpb
• .wpc
• .wpd
• .wpe
• .wpg
• .wpk
• .wpl
• .wpp
• .wproj
• .wps
• .wpw
• .wq1
• .wq2
• .wrf
• .wri
• .wrk
• .wrp
• .wsd
• .wsdl
• .wspak
• .wtv
• .wtx
• .wv
• .wve
• .wvl
• .wvp
• .x3d
• .x3f
• .x64
• .x_b
• .x_t
• .xaf
• .xar
• .xbdoc
• .xbm
• .xcf
• .xdi
• .xef
• .xer
• .xesc
• .xfs
• .xif
• .xise
• .xl
• .daconnections
• .dacpac
• .dad
• .dadiagrams
• .daf
• .dal
• .dam
• .dao
• .daschema
• .dash
• .dav
• .dax
• .daz
• .db
• .db-shm
• .db-wal
• .db1
• .db2
• .db3
• .dba
• .dbc
• .dbd
• .dbf
• .dbk
• .dbo
• .dbpro
• .dbproj
• .dbr
• .dbs
• .dbt
• .dbv
• .dbx
• .dc
• .dc2
• .dc3
• .dc4
• .dca
• .dcb
• .dcd
• .dce
• .dcf
• .dcm
• .dco
• .dcpf
• .dct
• .dcx
• .dd
• .ddl
• .ddrw
• .dds
• .ddt
• .ded
• .deproj
• .des
• .design
• .det
• .dev
• .dex
• .df1
• .df2
• .dfc
• .dff
• .dfg
• .xlc
• .xld
• .xlf
• .xlk
• .xlm
• .xlmv
• .xlr
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xlw
• .xmap
• .xmcd
• .xmcdz
• .xmct
• .xmd
• .xmf
• .xmi
• .xmind
• .xmmap
• .xmpz
• .xof
• .xol
• .xpm
• .xpp
• .xps
• .xpt
• .xq
• .xql
• .xquery
• .xqy
• .xrp
• .xry
• .xsi
• .xslic
• .xtm
• .xtp
• .xv0
• .xvid
• .xwd
• .xwf
• .xwp
• .xws
• .xx
• .xxe
• .xz
• .y
• .y4m
• .yab
• .yaodl
• .ybk
• .ydl
• .ygf
• .yka
• .ym
• .yml
• .yml2
• .ync
• .yog
• .ypr
• .yrcbck
• .yuv
• .yz
• .yz1
• .z3d
• .zab
• .zabw
• .zap
• .zdc
• .zdp
• .zfx
• .zgm
• .zi
• .zif
• .zip
• .zipx
• .zix
• .zl
• .zm1
• .zm2
• .zm3
• .zmv
• .zoo
• .zpi
• .zps
• .zvr
• .zw
• .dfk
• .dfproj
• .dfs
• .dft
• .dfx
• .dgb
• .dgc
• .dgk
• .dgn
• .dgs
• .dib
• .dicom
• .dif
• .dig
• .dim
• .dime
• .dis
• .divx
• .diy
• .djr
• .djv
• .djvu
• .dke
• .dls
• .dlv
• .dlx
• .dm
• .dm3
• .dmb
• .dmf
• .dmo
• .dmr
• .dms
• .dmsa
• .dmsd
• .dmsd3d
• .dmse
• .dmsm
• .dmsm3d
• .dmsp
• .dmss
• .dmx
• .dna
• .dnc
• .dne
• .dng
• .dnl
• .dob
• .doc
• .docm
• .docx
• .docxml
• .docz
• .dot
• .dotm
• .dotx
• .dov
• .dp1
• .dpb
• .dpd
• .dpp
• .dpr
• .dproj
• .dqy
• .dra
• .drf
• .drg
• .drmx
• .drw
• .drz
• .ds2
• .dsa
• .dsd
• .dse
• .dsf
• .dsg
• .dsgm
• .dsi
• .dsk
• .dsm
• .dsn
• .dso
• .dsp
• .dss
• .dsx
• .dsy
• .dta
• .dtp
• .dtr
• .dts
• .dtshd
• .dtsx
• .dtx
• .dv
• .dv-avi
• .dv4
• .dvdproj
• .dvds
• .dvf
• .dvg
• .dvo
• .dvr
• .dvr-ms
• .dvx
• .dw
• .dwa
• .dwd
• .dwf
• .dwfx
• .dwg
• .dwp
• .dwz
• .dx
• .dxb
• .dxf
• .dxg
• .dxl
• .dxr
• .dz
• .e01
• .e4a
• .e57
• .eap
• .ear
• .ebk
• .ecm
• .eco
• .ecp
• .ecs
• .ecx
• .eda
• .edat2
• .edb
• .ede
• .edf
• .edfx
• .edg
• .edge
• .edk
• .edn
• .edq
• .edrwx
• .eds
• .edv
• .efa
• .efe
• .efk
• .efl
• .efq
• .efr
• .efs
• .efu
• .efv
• .efx
• .egc
• .egg
• .egp
• .eio
• .eip
• .ekb
• .el
• .email
• .emc
• .emd
• .eml
• .emlx
• .enc
• .enex
• .ep
• .epf
• .epi
• .epp
• .eps
• .epsf
• .epub
• .eql
• .er1
• .erf
• .erl
• .es2
• .esb
• .esf
• .eui
• .evo
• .evr
• .evy
• .ewb
• .ewd
• .ex
• .exb
• .exl
• .exm
• .exp
• .exr
• .exw
• .eye
• .ezp
• .f04
• .f06
• .f32
• .f3d
• .f4a
• .f4p
• .f4v
• .f64
• .f90
• .fac
• .face
• .facefx
• .fasta
• .fax
• .fb2
• .fbc
• .fbf
• .fbk
• .fbm
• .fbp
• .fbp7
• .fbr
• .fbu
• .fbw
• .fbz
• .fbz7
• .fcd
• .fcf
• .fcgi
• .fcstd
• .fcw
• .fdb
• .fdd
• .fdi
• .fdp
• .fdr
• .fds
• .fdx
• .fft
• .fg
• .fgl
• .fh
• .fh10
• .fh11
• .fh3
• .fh4
• .fh5
• .fh6
• .fh7
• .fh8
• .fh9
• .fhd
• .fhf
• .fic
• .fid
• .fif
• .fig
• .fil
• .fimpp
• .fits
• .fla
• .flac
• .flame
• .flb
• .flka
• .flkb
• .flo
• .flow
• .flp
• .flr
• .flt
• .flv
• .flx
• .fm
• .fm5
• .fmp
• .fmp12
• .fmpsl
• .fmv
• .fmz
• .fnbk
• .fnc
• .fodp
• .fods
• .fodt
• .fol
• .fop
• .forth
• .fox
• .fp3
• .fp4
• .fp5
• .fp7
• .fp8
• .fpa
• .fpenc
• .fpf
• .fpj
• .fpos
• .fpp
• .fpsx
• .fpt
• .fpx
• .frg
• .frj
• .frm
• .fro
• .frx
• .fry
• .fs
• .fsif
• .fsm
• .fsproj
• .fsq
• .fsx
• .ft10
• .ft11
• .ft7
• .ft8
• .ft9
• .ftl
• .ftm
• .ftmb
• .ftn
• .ftw
• .ful
• .fwdn
• .fx
• .fxa
• .fxcproj
• .fxl
• .fxm
• .fxml
• .fxs
• .fz
• .fza
• .fzb
• .fzf
• .fzp
• .fzv
• .fzz
• .g3
• .g721
• .g723
• .g726
• .gal
• .gan
• .gb1
• .gb2
• .gbap
• .gbas
• .gbi
• .gbk
• .gbp
• .gbs
• .gca
• .gcd
• .gcdp
• .gcw
• .gcx
• .gdb
• .gdf
• .gdrive
• .gds
• .ged
• .gem
• .gen
• .geo
• .gexf
• .gfar
• .gfb
• .gfe
• .gfp
• .gho
• .ghs
• .gi
• .gig
• .gih
• .gkh
• .gl
• .gla
• .glade
• .glb
• .gld
• .glox
• .gls
• .gm
• .gm6
• .gm81
• .gmd
• .gmk
• .gmspr
• .gmx
• .gmz
• .gno
• .gom
• .gp3
• .gp5
• .gpd
• .gpf
• .gpg
• .gpj
• .gpp
• .gpr
• .gra
• .grade
• .grasp
• .grf
• .grn
• .gro
• .grob
• .groove
• .groovy
• .grr
• .gry
• .gs3
• .gsd
• .gsm
• .gsproj
• .gszip
• .gtar
• .gtp
• .gts
• .gvi
• .gvy
• .gwi
• .gwp
• .gxd
• .gxk
• .gz
• .gz2
• .gza
• .gzip
• .h
• .h0
• .h11
• .h12
• .h264
• .ha
• .hal
• .haml
• .has
• .hbc
• .hbc2
• .hbe
• .hbk
• .hbx
• .hcc
• .hce
• .hci
• .hcp
• .hcr
• .hcx
• .hdb
• .hdmov
• .hdp
• .hdr
• .hdv
• .hex
• .hf
• .hfs
• .hfv
• .hh
• .hip
• .hipnc
• .his
• .hki
• .hki1
• .hki2
• .hki3
• .hkm
• .hlsl
• .hma
• .hmi
• .hmk
• .hmxp
• .hpd
• .hpi
• .hpk
• .hpl
• .hpp
• .hqx
• .hr
• .hrf
• .hrl
• .hs
• .hsf
• .html0
• .htmlz
• .htxt
• .htz4
• .htz5
• .hwp
• .hxn
• .hxx
• .hyp
• .hz
• .i00
• .i01
• .i02
• .ib
• .iba
• .ibb
• .ibcd
• .ibq
• .ic1
• .ic3
• .ic3d
• .ica
• .icap
• .icb
• .ice
• .icf
• .icml
• .icmt
• .icpr
• .ics
• .idap
• .idc
• .idea
• .idml
• .idms
• .idpk
• .idw
• .if
• .ifc
• .ifczip
• .iff
• .iges
• .igs
• .igx
• .ihx
• .iiq
• .ilbm
• .ildoc
• .ima
• .imd
• .imf
• .img
• .imj
• .imz
• .incd
• .inct
• .incx
• .ind
• .indb
• .indd
• .ish
• .ish2
• .ish3
• .isma
• .ismv
• .iso
• .isoz
• .isz
• .itdb
• .itw
• .iv
• .iv2i
• .iva
• .ive
• .ivf
• .ivr
• .iw
• .iwxdata
• .iwz
• .ix2
• .ixa
• .ixb
• .ize
• .izz
• .izzy
• .j
• .j2c
• .j2k
• .j3o
• .jac
• .jam
• .jar.pack
• .jas
• .jav
• .java
• .jb2
• .jbc
• .jbig
• .jbig2
• .jbk
• .jbmp
• .jclic
• .jcp
• .jdc
• .jed
• .jfif
• .jfsl
• .jic
• .jif
• .jiff
• .jis
• .jng
• .jo
• .jo - 7z
• .job
• .joe
• .jp1
• .jp2
• .jpc
• .jpe
• .jpeg
• .jpf
• .jpg
• .jpg2
• .jpr
• .jps
• .jpx
• .jrtf
• .jsd
• .jsda
• .jsfl
• .jt
• .jtf
• .jts
• .jtv
• .jtx
• .jude
• .jvsg
• .jwl
• .jxr
• .k25
• .k26
• .k3g
• .kar
• .kb2
• .kdb
• .kdbx
• .kdc
• .kde
• .kdk
• .key
• .kfn
• .kfx
• .kgb
• .kic
• .kin
• .kit
• .kmv
• .kodak
• .koob
• .koz
• .kpf
• .kpg
• .kpp
• .kpr
• .kpx
• .krz
• .ktp
• .ktz
• .kwd
• .kwm
• .kyr
• .kz
• .layout
• .lbm
• .lbr
• .lcb
• .lcd
• .lcn
• .ldr
• .legal
• .lgc
• .lha
• .lhs
• .lid
• .lisp
• .lit
• .ljp
• .llx
• .lnt
• .lnx
• .lp
• .lp2
• .lp7
• .lpdb
• .lpp
• .lqr
• .lqt
• .lrc
• .lrec
• .lrs
• .lrv
• .lsp
• .lsproj
• .ltr
• .luf
• .lut
• .lutx
• .lvp
• .lvw
• .lw4
• .lwd
• .lwo
• .lwp
• .lws
• .lxf
• .lxo
• .lxsproj
• .lyc
• .lyx
• .lz
• .lzh
• .lzma
• .lzo
• .lzx
• .m
• .m12
• .m15
• .m1a
• .m1pg
• .m1v
• .m21
• .m2a
• .m2t
• .m2ts
• .m2v
• .m3
• .m4a
• .m4b
• .m4e
• .m4p
• .m4r
• .m4v
• .m75
• .ma
• .ma1
• .mag
• .magik
• .mani
• .maq
• .mars
• .mart
• .mat
• .mav
• .maw
• .max
• .maxc
• .mb
• .mbb
• .mbd
• .mbf
• .mbk
• .mbm
• .mbw
• .mc2
• .mcd
• .mcdx
• .mcf
• .mcp
• .mcrp
• .mcs
• .mcsp
• .mcsx
• .mcxe
• .md
• .md0
• .md1
• .md2
• .md8
• .mdb
• .mdbackup
• .mdbhtml
• .mdc
• .mddata
• .mdf
• .mdi
• .mdinfo
• .mdl
• .mdn
• .mdt
• .mdx
• .mdzip
• .med
• .mef
• .mem
• .meo
• .mer
• .mesh
• .mfa
• .mfp
• .mga
• .mgcb
• .mgf
• .mgmt
• .mgmx
• .mgs
• .mgtx
• .mic
• .mid
• .midi
• .mig
• .mim
• .mime
• .min
• .mip
• .mix
• .mj2
• .mjp
• .mjpg
• .mk3d
• .mka
• .mkv
• .mlb
• .mlp
• .mma
• .mmat
• .mme
• .mmf
• .mml
• .mmm
• .mmp
• .mmpz
• .mmv
• .mnc
• .mng
• .mnk
• .mny
• .mo3
• .mob
• .mobi
• .mod
• .modd
• .model
• .mogg
• .moho
• .moi
• .moov
• .mos
• .mot
• .mou
• .mov
• .movie
• .mox
• .mp
• .mp1
• .mp10
• .mp11
• .mp2
• .mp21
• .mp2v
• .mp3
• .mp4
• .mp4v
• .mp7
• .mp9
• .mp_
• .mpa
• .mpb
• .mvb
• .mvd
• .mve
• .mvex
• .mvp
• .mvy
• .mwb
• .mws
• .mwx
• .mx
• .mx3
• .mx4
• .mx5
• .mxf
• .mxs
• .mxv
• .myd
• .myl
• .mys
• .mzp
• .na2
• .sdc
• .sdd
• .sdf
• .sdg
• .sdii
• .sdm
• .vet
• .vf
• .vfd
• .vff
• .vfw
• .vhd
• .vhdx
• .vic
• .vid
• .video
• .viewlet
• .viff
• .vis
• .viv

It encrypts files found in the following folders:

• %User Profile%\Documents
• %User Profile%\Videos
• %User Profile%\Pictures
• %User Profile%\Downloads
• {All Logical Drives}
• %Desktop%

(Note: %User Profile% is the current user's profile folder, which is usually C:\Documents and Settings\{user name} on Windows 2000, XP, and Server 2003, or C:\Users\{user name} on Windows Vista and 7.. %Desktop% is the desktop folder, where it usually is C:\Documents and Settings\{user name}\Desktop in Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\Desktop in Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

It avoids encrypting files found in the following folders:

• C:\Windows

It renames encrypted files using the following names:

• {original filename and extension}.3301

NOTES:
The ransom note contains the following:

It sets the desktop wallpaper to the following: