RANSOM_BTCWARE.F117DQ

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware drops the following copies of itself into the affected system:

• %Application Data%\mfskSkfkls.exe

(Note: %Application Data% is the Application Data folder, where it usually is C:\Documents and Settings\{user name}\Application Data on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Roaming on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

It drops the following files:

• %Application Data%\1.bmp
• %Desktop%\key.dat
• %Desktop%\#_HOW_TO_FIX.inf ← Ransom Note
• {Encrypted files directory}\#_HOW_TO_FIX.inf ← Ransom Note
• %Application Data%\#_HOW_TO_FIX.inf ← Ransom Note

(Note: %Application Data% is the Application Data folder, where it usually is C:\Documents and Settings\{user name}\Application Data on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Roaming on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.. %Desktop% is the desktop folder, where it usually is C:\Documents and Settings\{user name}\Desktop in Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\Desktop in Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

Autostart Technique

This Ransomware adds the following registry entries to enable its automatic execution at every system startup:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
btq = %Application Data%\mfskSkfkls.exe

Other System Modifications

This Ransomware adds the following registry entries:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
insbtq = %Application Data%\#_HOW_TO_FIX.inf

It changes the desktop wallpaper by modifying the following registry entries:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\1.bmp

It sets the system's desktop wallpaper to the following image:

Other Details

This Ransomware encrypts files with the following extensions:

• .owl
• .oxt
• .p7s
• .p7x
• .pab
• .pack
• .pak
• .paq
• .part00000
• .patran
• .paw
• .pbb
• .pbd
• .pbf
• .pbj
• .pbk
• .pbp
• .pbs
• .pcap
• .pcapng
• .pcb
• .pcr
• .pcv
• .pd4
• .pd5
• .pdas
• .pdc
• .pdfig
• .pdo
• .pds
• .pdx
• .peb
• .pec
• .pep
• .pex
• .pez
• .pfc
• .pfl
• .pfs
• .pgpf
• .phb
• .phd
• .phl
• .phr
• .pis
• .pjt
• .pjx
• .pka
• .pkb
• .pkey
• .pkh
• .pkpass
• .pks
• .pkt
• .planner
• .plantuml
• .plb
• .pli
• .pln
• .plw
• .pmatrix
• .pmd
• .pml
• .pmlz
• .pmm
• .pmo
• .pmr
• .pmv
• .pnproj
• .pnpt
• .pns
• .pobi
• .pod
• .poi
• .por
• .pos
• .postal
• .pp2
• .ppd
• .ppf
• .ppj
• .ppr
• .prc
• .prd
• .pre
• .prel
• .printcd2
• .prj
• .prnx
• .pro4
• .pro4pl
• .pro4plx
• .pro4x
• .pro5
• .pro5pl
• .pro5plx
• .pro5x
• .props
• .prp
• .prproj
• .prs
• .prt
• .prz
• .psa
• .psf
• .psflib
• .psflib2
• .psk
• .psm
• .pspd
• .psw
• .psw6
• .pswx
• .ptb
• .ptf
• .ptk
• .ptn
• .ptz
• .puz
• .pvj
• .pvl
• .pvm
• .pwf
• .pwi
• .pwm
• .pwr
• .pxa
• .pxc
• .pxf
• .pxj
• .pxl
• .pxp
• .q07
• .q08
• .q09
• .q3d
• .qb2005
• .qb2006
• .qb2007
• .qb2009
• .qb2010
• .qbk
• .qbmb
• .qbmd
• .qcow
• .qcow2
• .qdat
• .qdb
• .qdf
• .qdf-backup
• .qdl
• .qdt
• .qed
• .qel
• .qfx
• .qic
• .qif
• .qmk
• .qpb
• .qpf
• .qph
• .qpm
• .qpw
• .qpx
• .qrc
• .qrp
• .qsd
• .qsf
• .qtq
• .qtr
• .qualsoftcode
• .quiz
• .quox
• .qv~
• .qvp
• .qvw
• .qxf
• .r00
• .r01
• .r02
• .r03
• .ra2
• .rad
• .ral
• .ram
• .rbc
• .rbf
• .rbk
• .rbs
• .rbt
• .rcd
• .rcg
• .rcx
• .rda
• .rdata
• .rdf
• .rdi
• .rdlx
• .rdx
• .re4
• .readme
• .ref
• .reference
• .rel
• .res
• .result
• .ret
• .rev
• .rf1
• .rfa
• .rfo
• .rft
• .rgmb
• .rgmc
• .rgn
• .rgo
• .rgss3a
• .rhistory
• .rim
• .ris
• .rll
• .rmbak
• .rmuf
• .rng
• .rnq
• .roca
• .rod
• .rofl
• .rog
• .roi
• .rou
• .roxio
• .rpa
• .rpd
• .rpf
• .rpp
• .rpprj
• .rpyb
• .rrr
• .rrt
• .rsc
• .rsdf
• .rsf
• .rsp
• .rsrc
• .rst
• .rsv
• .rsw
• .rta
• .rtd
• .rte
• .rts
• .rtstn
• .rtwsh
• .rtx
• .rum
• .run
• .rvt
• .rwd
• .rwg
• .rwl
• .rws
• .rzb
• .rzk
• .rzn
• .rzx
• .s2e
• .s85
• .sad
• .saf
• .safe
• .safetext
• .sah
• .sam
• .sam07
• .sar
• .sav
• .save
• .savedstate
• .sbb
• .sbd
• .sbf
• .sbq
• .sbs
• .sbt
• .sbu
• .sbw
• .sbx
• .sc2save
• .sca
• .scc
• .scf
• .sch
• .scm
• .scn
• .scriv
• .scrivx
• .sct
• .scw
• .scx
• .scz
• .sd1
• .sdb
• .sdc
• .sdinstall
• .sdlxliff
• .sdm
• .sdn
• .sdo
• .sdoc
• .sdp
• .sdq
• .sdt
• .sdw
• .sdz
• .search-ms
• .sef
• .sel
• .sen
• .seo
• .seq
• .ser
• .ses
• .sfs
• .sfx
• .sgm
• .sgml
• .sgr
• .sgz
• .shar
• .shc
• .show
• .shr
• .shw
• .shy
• .sid
• .sidd
• .sidn
• .sidx
• .sie
• .sig
• .sis
• .skb
• .skc
• .skcard
• .skv
• .skx
• .sla
• .sld
• .sldtm
• .sle
• .slk
• .slm
• .slp
• .sls
• .slt
• .slx
• .smd
• .sme
• .smf
• .smpkg
• .sms
• .smx
• .smz
• .sn1
• .sn2
• .sna
• .snag
• .snapfireshow
• .snapshot
• .snb
• .snk
• .snp
• .sns
• .snx
• .sonic
• .soundpack
• .sp3
• .spb
• .spd
• .spf
• .spg
• .spi
• .spk
• .spo
• .spr
• .sps
• .spv
• .spvchain
• .sqd
• .sqf
• .sqllite
• .sqr
• .squashfs
• .sqx
• .srr
• .ssa
• .ssii
• .ssp
• .ssv
• .sta
• .stdl
• .stf
• .stg
• .stk
• .stl
• .stm
• .stproj
• .strings
• .strm
• .stt
• .sttpl
• .stu
• .sty
• .styk
• .stykz
• .sub
• .sud
• .suf
• .sum
• .sv$
• .sv2i
• .svc
• .svd
• .svf
• .svi
• .svr
• .svw
• .swd
• .switch
• .swk
• .sy3
• .sylk
• .syncdb
• .sys
• .szs
• .t01
• .t02
• .t03
• .t04
• .t05
• .t06
• .t07
• .t08
• .t09
• .t10
• .t11
• .t12
• .t13
• .t2k
• .t2ks
• .t2kt
• .tab
• .tac
• .tar
• .tax
• .tax08
• .tax09
• .tax10
• .tax11
• .tax12
• .tax13
• .tax2008
• .tax2009
• .tax2010
• .tax2011
• .tax2012
• .tax2013
• .tax2014
• .tbd
• .tbk
• .tbl
• .tbz2
• .tcc
• .tch
• .tcx
• .tda
• .tdb
• .tde
• .tdf
• .tdl
• .tdm
• .tdt
• .te3
• .tef
• .ter
• .tet
• .text
• .tfa
• .tfd
• .tgc
• .tgd
• .tgf
• .tgz
• .thmx
• .thp
• .tif
• .tiff
• .tig
• .tis
• .tjp
• .tk3
• .tkfl
• .tl5
• .tlb
• .tlp
• .tlx
• .tlz
• .tmd
• .tmp
• .tmr
• .tmv
• .tmvt
• .tmw
• .tmx
• .tmzip
• .toast
• .tol
• .topc
• .tor
• .torrent
• .tpc
• .tpf
• .tps
• .tpu
• .tpx
• .tpz
• .tr3
• .tra
• .tray
• .trd
• .trelby
• .trk
• .trm
• .trn
• .trp
• .trs
• .trx
• .tst
• .tsv
• .tt10
• .tt11
• .tt12
• .tt13
• .tt2012state
• .tt2013state
• .ttbk
• .ttk
• .tur
• .tvc
• .tvj
• .twb
• .twbx
• .twm
• .twz
• .twzip
• .txa
• .txd
• .txf
• .txn
• .txtrpt
• .u10
• .u11
• .u12
• .u3i
• .uax
• .ubj
• .ubox
• .uccapilog
• .uci
• .udc
• .udf
• .udl
• .uds
• .uea
• .ulf
• .ulz
• .umf
• .umx
• .unauth
• .unity3d
• .unitypackage
• .unr
• .unx
• .uof
• .uop
• .uos
• .uot
• .upd
• .update
• .upk
• .upoi
• .upr
• .url
• .usa
• .useq
• .ustar
• .usx
• .ut2
• .ut3
• .utc
• .utf8
• .utx
• .utxt
• .uud
• .uue
• .uvf
• .uvw
• .uvx
• .uwl
• .uxx
• .v2i
• .val
• .vault
• .vbm
• .vbox
• .vbox-prev
• .vbpf1
• .vbs
• .vbw
• .vcd
• .vce
• .vcf
• .vcrd
• .vcs
• .vct
• .vdf
• .vdi
• .vdo
• .vdx
• .vec
• .ver
• .vfs0
• .vip
• .vlc
• .vle
• .vlg
• .vlt
• .vmdk
• .vmf
• .vmsd
• .vmsn
• .vmss
• .vmt
• .vmx
• .vmxf
• .vnt
• .voi
• .vok
• .voxb
• .vpcbackup
• .vpk
• .vpol
• .vpp
• .vpp_pc
• .vpx
• .vrb
• .vrd
• .vsch
• .vscontent
• .vsi
• .vssm
• .vssx
• .vsv
• .vsx
• .vtf
• .vtx
• .vud
• .vxml
• .vym
• .w02
• .w3g
• .w3x
• .wab
• .wad
• .war
• .wave
• .waw
• .wb1
• .wb3
• .wbb
• .wbcat
• .wbk
• .wcat
• .wcd
• .wcf
• .wcp_settings
• .wd3
• .wdf
• .wdgt
• .wdq
• .wea
• .webdoc
• .wfm
• .wgp
• .wgt
• .wgz
• .wid
• .win
• .wjf
• .wjr
• .wk1
• .wk2
• .wk3
• .wk4
• .wk5
• .wke
• .wki
• .wks
• .wku
• .wlmp
• .wma
• .wmd
• .wmdb
• .wmmp
• .wmo
• .wmx
• .wotreplay
• .wow
• .wp4
• .wp5
• .wp6
• .wp7
• .wpa
• .wpb
• .wpc
• .wpe
• .wpf
• .wpk
• .wpl
• .wpo
• .wpost
• .wpt
• .wpw
• .wq1
• .wq2
• .wri
• .wsc
• .wsd
• .wsh
• .wsi
• .wsm
• .wspak
• .wtb
• .wtd
• .wtf
• .wtr
• .wtx
• .1CD
• .1cd
• .3dm
• .3ds
• .3fr
• .3g2
• .3gp
• .3pr
• .ab4
• .accdb
• .accde
• .accdr
• .accdt
• .ach
• .acr
• .act
• .adb
• .agd
• .ait
• .AVI
• .apj
• .arw
• .asf
• .asm
• .asp
• .asx
• .avi
• .awg
• .back
• .backup
• .backupdb
• .bak
• .bank
• .bay
• .bdb
• .bgt
• .bik
• .bkp
• .blend
• .bpw
• .cdf
• .cdr
• .cdr3
• .cdr4
• .wvp
• .wvx
• .xappl
• .xas
• .xbc
• .xbdoc
• .xbk
• .xbplate
• .xbrl
• .xbt
• .xcsl
• .xdl
• .xdp
• .xds
• .xef
• .xem
• .xer
• .xfd
• .xfdf
• .xfo
• .xfr
• .xft
• .xgml
• .xgmml
• .xgp
• .xlc
• .xlf
• .xliff
• .xll
• .xlshtml
• .xlsmhtml
• .xlthtml
• .xlv
• .xlwx
• .xmap
• .xmcd
• .xmct
• .xmlper
• .xmpz
• .xpdl
• .xpg
• .xpi
• .xpj
• .xpm
• .cdr5
• .cdr6
• .cdrw
• .cdx
• .ce2
• .cer
• .cfp
• .cgm
• .cib
• .class
• .cls
• .cpi
• .cpp
• .cr2
• .craw
• .crt
• .crw
• .epf
• .csh
• .csv
• .dac
• .db_journa
• .db3
• .dbf
• .dc2
• .dcr
• .ddd
• .ddoc
• .ddrw
• .dds
• .der
• .des
• .design
• .dgc
• .djvu
• .dng
• .doc
• .docm
• .docx
• .dot
• .dotx
• .drf
• .drw
• .dtd
• .xps
• .xpt
• .xqx
• .xrff
• .xrp
• .xry
• .xsc
• .xsl
• .xslt
• .xsn
• .xsvf
• .xtbl
• .xtg
• .xtm
• .xtp
• .xvid
• .xwd
• .xwp
• .xxd
• .xxe
• .xxx
• .xy3
• .xyp
• .xyw
• .xyz
• .xyzv
• .yab
• .yam
• .ybk
• .yenc
• .ygf
• .yka
• .yml
• .ync
• .yps
• .yrcbck
• .yrcbkm
• .yrcdat
• .z02
• .z04
• .zabw
• .zap
• .zdb
• .zdct
• .dwg
• .dxb
• .dxf
• .dxg
• .eps
• .erbsq
• .erf
• .exf
• .fdb
• .ffd
• .fff
• .fhd
• .fla
• .flac
• .fpx
• .fxg
• .gray
• .grey
• .gry
• .hbk
• .hpp
• .ibank
• .ibd
• .ibz
• .idx
• .iif
• .iiq
• .incpas
• .indd
• .java
• .jpe
• .jpeg
• .jpg
• .JPG
• .kc2
• .kdbx
• .kdc
• .key
• .kpdx
• .lua
• .m4v
• .max
• .mdb
• .mdc
• .zim
• .zipx
• .zix
• .zma
• .zmc
• .zoo
• .zpl
• .zps
• .ztmp
• .d3p
• .VU4
• .ALL
• .PGM
• .DLG
• .HSY
• .IOP
• .GTW
• .GXW
• .DSN
• .D2N
• .D1N
• .DT1
• .DS1
• .DTL
• .MFD
• .IBK
• .XSD
• .FR3
• .ETF
• .CFL
• .LGD
• .1CL
• .DC6
• .EFD
• .MFT
• .HDR
• .ESI
• .CFU
• .MXL
• .900
• .TSF
• .TIB
• .005
• .cop
• .mdf
• .mef
• .mfw
• .mmw
• .moneywel
• .mos
• .mp3
• .mp4
• .mpg
• .mrw
• .myd
• .ndd
• .nef
• .nk2
• .nop
• .nrw
• .ns2
• .ns3
• .ns4
• .nsd
• .nsf
• .nsg
• .nsh
• .nwb
• .nx2
• .nyf
• .obj
• .ods
• .p7c
• .r3d
• .mov
• .flv
• .wav
• .dcs
• .cmt
• .ce1
• .odb
• .odf
• .odg
• .bmp
• .odm
• .odp
• .ads
• .odt
• .orf
• .otg
• .oth
• .otp
• .ots
• .ott
• .p12
• .p7b
• .pages
• .pas
• .pat
• .pcd
• .pct
• .pdb
• .pdd
• .pdf
• .PDF
• .pef
• .pem
• .pfx
• .php
• .plus_muhd
• .plc
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .png
• .PNG
• .pptm
• .pptx
• .prf
• .pst
• .psafe3
• .psd
• .pspimage
• .ptx
• .qba
• .qbb
• .qbm
• .qbr
• .qbw
• .qbx
• .qby
• .raf
• .rar
• .rat
• .raw
• .rdb
• .rtf
• .rw2
• .rwz
• .s3db
• .sas7bdat
• .say
• .sd0
• .sda
• .sdf
• .sldm
• .sldx
• .sql
• .sqlite
• .sqlite3
• .sqlitedb
• .sr2
• .srf
• .srt
• .srw
• .st4
• .st5
• .st6
• .st7
• .st8
• .stc
• .std
• .sti
• .stw
• .stx
• .svg
• .swf
• .sxc
• .sxd
• .sxg
• .sxi
• .sxm
• .sxw
• .tex
• .tga
• .thm
• .tlg
• .txt
• .vob
• .vhd
• .wallet
• .wb2
• .wmv
• .wpd
• .wps
• .x11
• .x3f
• .xis
• .xla
• .xlam
• .xlk
• .xlm
• .xlr
• .xls
• .xlsb
• .xlsm
• .xml
• .xlsx
• .xlt
• .xltm
• .html
• .xltx
• .xlw
• .ycbcra
• .yuv
• .zip
• .frm
• .MYD
• .MYI
• .CAB
• .log
• .SAI
• .tib
• .vbk
• .vib
• .rpt
• .vhdx
• .letter
• .label
• .DTA
• .COA
• .coa
• .dta.tar
• .TST
• .RSP
• .DAT
• .msg
• .x12
• .Identifier
• .PRT
• .XLS
• .dll
• .exe
• .PSD
• .PDD
• .taxform
• .pub
• .pvc
• .sds
• .vrb$$$
• .$db
• .__a
• .__b
• .{pb
• .~cw
• .~hm
• .001
• .002
• .113
• .123
• .1pe
• .1ph
• .1st
• .3d4
• .3df8
• .3dp
• .3dr
• .3dt
• .3ga
• .3gp2
• .3me
• .3mm
• .3pe
• .4dv
• .73b
• .73c
• .73l
• .7zip
• .8ba
• .8bc
• .8be
• .8bf
• .8bi8
• .8bl
• .8bs
• .8bx
• .8by
• .8li
• .8xg
• .8xk
• .8xs
• .8xv
• .a1wish
• .a2c
• .a3l
• .a3m
• .a3w
• .a4l
• .a4m
• .a4w
• .a5l
• .a5rpt
• .a5w
• .a5wcmp
• .a65
• .aa3
• .aac
• .aaf
• .aam
• .aao
• .ab1
• .ab2
• .ab3
• .aba
• .abcd
• .abdata
• .abf
• .abi
• .abk
• .abkprj
• .abp
• .abt
• .abw
• .aby
• .ac2
• .ac3
• .aca
• .acc
• .ace
• .acf
• .acg
• .acp
• .adcp
• .ade
• .adi
• .adobebridge
• .adp
• .adpb
• .adr
• .adt
• .adu
• .adv
• .advs
• .adx
• .aep
• .aepx
• .aes
• .aet
• .afe
• .afp
• .agd1
• .agdl
• .aggr
• .aif
• .aifb
• .aiff
• .aim
• .aip
• .ais
• .aiv
• .alc
• .ald
• .ali
• .allet
• .amb
• .amc
• .amf
• .amm
• .amr
• .amsorm
• .amu
• .amx
• .amxx
• .an1
• .anme
• .ans
• .ansym
• .anx
• .aoi
• .ape
• .aph
• .api
• .apk
• .apnx
• .apt
• .arc
• .arch00
• .arff
• .arh
• .ari
• .arj
• .aro
• .arr
• .as3
• .as4
• .asa
• .asc
• .ascii
• .ascx
• .asd
• .ase
• .ashbak
• .ashprj
• .ashx
• .asmx
• .asnd
• .aspx
• .asr
• .asset
• .ast
• .asvx
• .ate
• .ati
• .ats
• .aty
• .automaticdestinations-ms
• .ava
• .avc
• .avj
• .avs
• .awp
• .awt
• .aww
• .azf
• .azs
• .azw
• .azw1
• .azw3
• .azw4
• .azzx
• .b2a
• .bac
• .bad
• .bafl
• .bak~
• .bak2
• .bak3
• .bakx
• .bar
• .lnk
• .ico
• .baserproj
• .bat
• .bbb
• .bbs
• .bbz
• .bc6
• .bc7
• .bcc
• .bci
• .bck
• .bckp
• .bcl
• .bcm
• .bcp
• .bct
• .bdc
• .bdf
• .bdic
• .bdp
• .bdr
• .bean
• .bed
• .bfa
• .bfx
• .bgl
• .bho
• .bi8
• .bib
• .bic
• .big
• .bim
• .bin
• .bionix
• .bjo
• .bk1
• .bkc
• .bkf
• .bkk
• .bks
• .bkup
• .blb
• .bld
• .blend1
• .blend2
• .blg
• .bln
• .blob
• .blockplt
• .bco
• .stbox
• .blogthis
• .blp
• .bm2
• .bm3
• .bmc
• .bmf
• .bml
• .bna
• .boc
• .book
• .box
• .bp2
• .bp3
• .bpa
• .bpb
• .bpd
• .bpdx
• .bpk
• .bpl
• .bpm
• .bpn
• .bpnueb
• .bps
• .brain
• .brd
• .brf
• .bridgecache
• .brl
• .brn
• .brs
• .brw
• .bsa
• .bsd
• .bsdl
• .bsk
• .bsp
• .btd
• .btif
• .btinstall
• .btm
• .btoa
• .bup
• .bvd
• .bvp
• .bzabw
• .c3d
• .cab
• .cadc
• .caf
• .cag
• .cam
• .camm
• .camproj
• .cap
• .capx
• .car
• .cas
• .cat
• .cat4d
• .cav
• .cawr
• .cbc
• .cbf
• .cbg
• .cbk
• .cbmap
• .cbr
• .cbu
• .cbz
• .cca
• .ccd
• .ccf
• .cch
• .ccp
• .ccr
• .cct
• .cdd
• .cdi
• .cdp
• .cdpx
• .cdpz
• .cdxml
• .cef
• .celtx
• .cert
• .cfg
• .cfr
• .cgf
• .cgi
• .cgp
• .chart
• .chc
• .chg
• .chk
• .chml
• .chn
• .chord
• .chv
• .ck9
• .ckt
• .cl2
• .cl4
• .classlist
• .clb
• .clg
• .clk
• .clm
• .clp
• .clr
• .clx
• .cm10
• .cmap
• .cmbl
• .cmf
• .cml
• .cms
• .cn1
• .cna
• .cnf
• .cng
• .cnm
• .cod
• .col
• .collection
• .con
• .conf
• .config
• .contact
• .cor
• .cpf
• .cpio
• .cpk
• .cpmz
• .cptl
• .cptx
• .crd
• .crds
• .crev
• .crtx
• .crwl
• .cry
• .crypt
• .crypted
• .cryptra
• .csa
• .csi
• .csl
• .cso
• .csr
• .css
• .ctf
• .ctm
• .ctproject
• .ctt
• .ctv
• .ctv3
• .cty
• .cub
• .cue
• .cursorfx
• .curxptheme
• .cvd
• .cvn
• .cwf
• .cwk
• .cws
• .cww
• .cwz
• .cxd
• .cxf
• .cxt
• .cyi
• .cyo
• .cys
• .czi
• .czp
• .d3dbsp
• .da0
• .da2
• .dal
• .dam
• .dap
• .das
• .dash
• .dat
• .data
• .database
• .dayzprofile
• .dazip
• .db-
• .db_journal
• .db0
• .dba
• .dbb
• .dbd
• .dbfv
• .dbgsym
• .db-journal
• .dbk
• .dbx
• .dc4
• .dca
• .dch
• .dcl
• .dco
• .dcp
• .dcpf
• .dcpr
• .dcu
• .ddc
• .ddcx
• .ddt
• .default
• .dem
• .deproj
• .desc
• .desklink
• .det
• .dev
• .develve
• .deviceinfo
• .dex
• .dfg
• .dfm
• .dfproj
• .dgs
• .dhcd
• .dht
• .dia
• .dic
• .dict
• .dif
• .dii
• .dim
• .dime
• .dip
• .dir
• .directory
• .dis
• .disc
• .disk
• .dit
• .dita
• .ditamap
• .ditaval
• .divx
• .diy
• .diz
• .djm
• .djv
• .dkt
• .dlc
• .dlt
• .dm2
• .dmg
• .dmm
• .dmmx
• .dmo
• .dmp
• .dmr
• .dmsk
• .dmsp
• .dmt
• .dna
• .dne
• .dob
• .docb
• .dockzip
• .docxml
• .docz
• .dotm
• .dov
• .dox
• .dpk
• .dpl
• .dpn
• .dpr
• .dpt
• .drl
• .drz
• .dsb
• .dsd
• .dsk
• .dsp
• .dsv
• .dsx
• .dsy
• .dsz
• .dtr
• .dvc
• .dvd
• .dvdproj
• .dvds
• .dvi
• .dvo
• .dvx
• .dwi
• .dwp
• .dws
• .dwz
• .dxe
• .e4a
• .eap
• .eas
• .ec0
• .ec3
• .ec4
• .ecc
• .ecl
• .ect
• .edat2
• .edb
• .edf
• .edfx
• .edg
• .edi
• .edn
• .edx
• .edxz
• .eep
• .efl
• .efp
• .efr
• .efu
• .efx
• .eglib
• .egp
• .eio
• .eip
• .eit
• .ekb
• .elf
• .email
• .emb
• .emc
• .emf
• .eml
• .emlx
• .emrg
• .emrg2
• .enc
• .enex
• .enl
• .enlx
• .enq
• .enw
• .enx
• .epk
• .epp
• .epub
• .epw
• .eql
• .er1
• .erbsql
• .err
• .ersx
• .es2
• .esb
• .ese
• .esf
• .esm
• .esp
• .esq
• .ess
• .esx
• .etd
• .etf
• .etl
• .ett
• .etx
• .euc
• .ev3
• .ev3p
• .ev3s
• .evo
• .evt
• .evy
• .ews
• .exif
• .exl
• .exm
• .exp
• .exx
• .ezlog
• .f04
• .f06
• .f90
• .fadein
• .faq
• .fasta
• .fb2
• .fbc
• .fbf
• .fbk
• .fbl
• .fbq
• .fbu
• .fbw
• .fcd
• .fcf
• .fcs
• .fct
• .fdf
• .fdm
• .fdr
• .fds
• .fdt
• .fdx
• .fdxt
• .fes
• .ffindex
• .fft
• .ffwp
• .fg3
• .fhc
• .fhf
• .fit
• .flam3
• .flame
• .flf
• .flipchart
• .flk
• .flka
• .flkb
• .fll
• .flm
• .flo
• .flow
• .flp
• .flr
• .flt
• .flvv
• .flwa
• .fnbk
• .fnrecipes
• .fob
• .fodp
• .fods
• .fodt
• .fop
• .for
• .forge
• .fos
• .fountain
• .fox
• .fpenc
• .fpk
• .fpp
• .fpsl
• .fpsx
• .fqc
• .frd
• .frl
• .fro
• .frt
• .frx
• .fsb
• .fsc
• .fsh
• .fsif
• .fss
• .ftl
• .ftm
• .ftmb
• .ftw
• .ful
• .fwdn
• .fxc
• .fxf
• .fza
• .gadgeprj
• .gal
• .gallery
• .galleryitem
• .gam
• .gan
• .gb1
• .gb2
• .gbk
• .gbl
• .gbo
• .gbp
• .gbr
• .gcg
• .gcw
• .gcx
• .gdb
• .gdf
• .gdoc
• .ged
• .gedata
• .gedcom
• .gen
• .geojson
• .gexf
• .gfe
• .gform
• .gfs
• .gfx
• .ggb
• .gho
• .ghs
• .gif
• .gio
• .gis
• .gla
• .glb
• .gld
• .glo
• .gmap
• .gms
• .gno
• .gnutar
• .gp3
• .gpf
• .gpg
• .gpi
• .gpj
• .gpn
• .gpp
• .gpr
• .gra
• .grade
• .graphml
• .graphmlz
• .grf
• .grib
• .grk
• .groups
• .grr
• .grt
• .grv
• .gsd
• .gsheet
• .gsi
• .gslides
• .gtable
• .gtar
• .gthr
• .gtl
• .gtm
• .gto
• .gtp
• .gui
• .gwk
• .gwp
• .gxk
• .gxl
• .gzig
• .gzip
• .h10
• .h11
• .h12
• .h3m
• .h4r
• .hbx
• .hcc
• .hce
• .hci
• .hcl
• .hcr
• .hcu
• .hda
• .hdd
• .hdf
• .hdi
• .hdl
• .hdpmx
• .hds
• .hdumx
• .hex
• .hht
• .hif
• .hjt
• .hkdb
• .hkx
• .hml
• .hmt
• .hmxp
• .hmxz
• .hol
• .hplg
• .hqx
• .hrd
• .hs2
• .hsk
• .hst
• .htb
• .htc
• .htg
• .htm
• .html0
• .htmlz
• .htpasswd
• .htxt
• .htz5
• .huh
• .hvc
• .hvpl
• .hwp
• .hyv
• .i5z
• .ias
• .ibcd
• .icf
• .icg
• .icr
• .ics
• .icxs
• .id2
• .idl
• .idml
• .ie5
• .ie6
• .ie7
• .ie8
• .ie9
• .ies
• .ifaith
• .iff
• .ifs
• .igc
• .igma
• .ign
• .iil
• .img
• .imr
• .incp
• .indb
• .indl
• .indt
• .inf
• .ini
• .ink
• .inp
• .inx
• .ipa
• .ipd
• .ipf
• .iproject
• .irock
• .irp
• .irr
• .irx
• .is1
• .isf
• .ish1
• .ish2
• .ish3
• .iso
• .ispc
• .ist
• .isu
• .isz
• .itdb
• .ite
• .itl
• .itlp
• .itm
• .itn
• .itx
• .iup
• .iv2i
• .ivc
• .ivd
• .ivt
• .iwd
• .iwi
• .iwxdata
• .ix2
• .ixb
• .jac
• .jar
• .jarvis
• .jasper
• .jav
• .jbc
• .jbi
• .jbk
• .jclic
• .jdb
• .jdc
• .jef
• .jfif
• .jgcscs
• .jge
• .jgz
• .jif
• .jiff
• .jis
• .jmp
• .jnt
• .joboptions
• .joe
• .joined
• .jou
• .jp1
• .jpc
• .jpf
• .jph
• .jpw
• .jrprint
• .jrtf
• .jrxml
• .jsd
• .jsda
• .json
• .jsp
• .jude
• .just
• .k25
• .kap
• .kb2
• .kbs
• .kdb
• .kde
• .kdz
• .keb
• .kes
• .kid
• .klg
• .klq
• .kmz
• .knt
• .kon
• .koob
• .kpf
• .kpp
• .kpr
• .kpx
• .kpz
• .ksm
• .kwd
• .kwm
• .l6t
• .laccdb
• .las
• .lastlogin
• .latex
• .lay
• .lay6
• .layout
• .lbf
• .lbi
• .lbl
• .lbt
• .lbx
• .lcb
• .lcd
• .lcf
• .lcm
• .lcn
• .ld2
• .ldb
• .ldf
• .ldif
• .lef
• .lex
• .lfp
• .lgf
• .lgh
• .lgi
• .lgp
• .lib
• .lib4d
• .lif
• .lis
• .lit
• .litemod
• .livereg
• .liveupdate
• .lix
• .llb
• .llx
• .lms
• .lmx
• .lngttarch2
• .lnt
• .localstorage
• .lp2
• .lp7
• .lpa
• .lpdb
• .lpp
• .lrc
• .lrcat
• .lrdata
• .lrf
• .lrs
• .lrx
• .ls3
• .lsf
• .lsl
• .lsp
• .lsr
• .lst
• .lsu
• .ltm
• .ltr
• .ltx
• .lue
• .luf
• .lut
• .lutx
• .lvivt
• .lvl
• .lvm
• .lvw
• .lw4
• .lwd
• .lwp
• .lxfml
• .lyt
• .lyx
• .m12
• .m2ts
• .m3u
• .m3u8
• .m4a
• .m4p
• .m4u
• .macbin
• .mag
• .mai
• .man
• .map
• .mapimail
• .marshal
• .mart
• .mat
• .mbb
• .mbd
• .mbf
• .mbg
• .mbk
• .mbl
• .mbox
• .mbp
• .mbsa
• .mbt
• .mbw
• .mbx
• .mc1
• .mcd
• .mcdx
• .mcgame
• .mcmeta
• .mcp
• .mcrp
• .mct
• .mcusw
• .mcxe
• .md0
• .md1
• .md2
• .md3
• .md5
• .md8
• .mdbackup
• .mdd
• .mddata
• .mdinfo
• .mdl
• .mdm
• .mdn
• .mds
• .mdx
• .mdz
• .meg
• .mega
• .mell
• .mem
• .menc
• .menu
• .meo
• .met
• .mex
• .mfe
• .mfl
• .mfo
• .mfp
• .mfu
• .mfv
• .mgc
• .mhp
• .mic
• .mid
• .mig
• .mim
• .mime
• .min
• .mip
• .mit
• .mjd
• .mjk
• .mk4
• .mkv
• .mlb
• .mls
• .mlx
• .mm6
• .mm7
• .mm8
• .mmap
• .mmc
• .mmcollection
• .mme
• .mml
• .mmp
• .mmu
• .mmz
• .mnc
• .mnk
• .mno
• .mnt
• .mny
• .mobi
• .mod
• .modd
• .moho
• .mol
• .moneywell
• .mosaic
• .movie
• .mox
• .moz
• .mp1
• .mp2
• .mp4v
• .mpa
• .mpb
• .mpe
• .mpeg
• .mpi
• .mpj
• .mpkt
• .mpp
• .mppz
• .mpq
• .mpqe
• .mpqge
• .mpt
• .mpv2
• .mpx
• .mpz
• .mpzip
• .mq4
• .mrwref
• .ms10
• .ms8
• .msb
• .msct
• .mse
• .msi
• .msif
• .msp
• .mth
• .mts
• .mtt
• .mtw
• .mtxt
• .muf
• .mui
• .mup
• .mv_
• .mwf
• .mwp
• .mws
• .mwx
• .mxad
• .mxc2
• .mxdic
• .mxi
• .mxp
• .myi
• .nam
• .nas
• .nav
• .nb7
• .nba
• .nbak
• .nbd
• .nbe
• .nbf
• .nbi
• .nbk
• .nbp
• .nbs
• .nbu
• .ncd
• .ncf
• .nco
• .ncorx
• .ndb
• .ndf
• .ndif
• .ndk
• .nds
• .ndx
• .nessus
• .net
• .neta
• .nfb
• .nfc
• .nfl
• .nfo
• .nitf
• .njx
• .nlogo
• .nlogo3d
• .nmap
• .nmind
• .nmp
• .nni
• .nnp
• .not
• .notebook
• .notes
• .now
• .npf
• .npl
• .npr
• .nps
• .npt
• .nrb
• .nrbak
• .nrc
• .nrd
• .nrf
• .nrg
• .nri
• .nrl
• .nrm
• .nrs
• .nru
• .nrx
• .nsq
• .nsr
• .ntl
• .number
• .nv2
• .nvdl
• .nvm
• .nvram
• .nwbak
• .nwctxt
• .nws
• .nx1
• .nxl
• .nzb
• .oab
• .obd
• .obk
• .occ
• .ocd
• .ocr
• .odc
• .odi
• .odo
• .odx
• .oeaccount
• .oeb
• .ofc
• .ofl
• .ofm
• .oft
• .ofx
• .oga
• .ogg
• .ogs
• .oil
• .old
• .olk
• .olt
• .omcs
• .omp
• .ond
• .one
• .onepkg
• .ont
• .ontx
• .op2
• .op4
• .opal
• .opax
• .opd
• .openbsd
• .opf
• .opx
• .or2
• .or3
• .or4
• .or5
• .or6
• .org
• .ori
• .orig
• .ort
• .ost
• .otf
• .otl
• .otln
• .otx
• .out
• .ova
• .ovf
• .ovl

It renames encrypted files using the following names:

• {Original File Name and Extension}.[no.btc@protonmail.ch].cryptobyte

It does the following:

• Execute the following commands:
  • vssadmin.exe delete shadows /all /quiet
  • bcdedit.exe /set {default} recoveryenabled No
  • bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• Avoids encrypting filepaths containing the following strings:
  • $recycle.bin
  • program files
  • program files (x86)
  • programdata
  • windows
  • nvidia
  • intel
  • appdata
  • temp
• Display the following Ransom Note: