Ransom.Win32.ERICA.A

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It encrypts files with specific file extensions. It encrypts files found in specific folders.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Other Details

This Ransomware does the following:

• It does not drop a ransom note but this string was found in its process memory.
• 

Ransomware Routine

This Ransomware encrypts files with the following extensions:

• .rar
• .zip
• .png
• .lnk
• .ini
• .jpg
• .rtf
• .jpeg
• .doc
• .docx
• .txt
• .a
• .aac
• .a3w
• .abk
• .abr
• .ace
• .ace
• .acr
• .act
• .ad
• .adf
• .adm
• .adp
• .adr
• .ai
• .aif
• .ani
• .ans
• .ape
• .apk
• .arc
• .arj
• .as
• .asc
• .asf
• .asp
• .ato
• .aty
• .au
• .avi
• .axx
• .b3d
• .b64
• .bak
• .bas
• .bat
• .bfc
• .bg
• .bin
• .bk2
• .k2p
• .bmp
• .bnk
• .bps
• .bpt
• .brk
• .btoa
• .bv1
• .bwp
• .bz
• .bz2
• .c
• .cab
• .cal
• .cam
• .cas
• .cbl
• .cbt
• .cda
• .cdr
• .cdt
• .cfb
• .cfg
• .cfl
• .cfm
• .cgm
• .chk
• .cl
• .cl3
• .cl4
• .cla
• .clg
• .clk
• .cll
• .clo
• .clp
• .clr
• .cls
• .cmd
• .cmv
• .cnt
• .cpl
• .cne
• .cnf
• .cnv
• .cob
• .cod
• .com
• .cpe
• .cpi
• .cpp
• .cpt
• .cr2
• .crw
• .crt
• .csv
• .css
• .cue
• .cur
• .cv5
• .cvi
• .cvs
• .cvx
• .cxf
• .cxx
• .d
• .daa
• .daf
• .dat
• .db
• .db2
• .dbc
• .dbf
• .dbk
• .dbm
• .dbo
• .dbq
• .dbt
• .dbv
• .dbw
• .dbx
• .dcm
• .dcr
• .dcx
• .dds
• .deb
• .dev
• .dib
• .dif
• .djvu
• .dll
• .dmo
• .dmp
• .dmd
• .dmf
• .dms
• .dne
• .dng
• .dos
• .dot
• .drv
• .drw
• .dt_
• .dta
• .dtd
• .dtf
• .dtm
• .dun
• .dx
• .dxf
• .dxn
• .dxr
• .dyn
• .dwf
• .dwg
• .ecw
• .eeb
• .eef
• .eft
• .ega
• .elg
• .emf
• .eml
• .emu
• .enc
• .end
• .eng
• .env
• .epg
• .eps
• .eqn
• .erd
• .erm
• .err
• .esh
• .evt
• .ex3
• .exc
• .exd
• .exe
• .ext
• .fcp
• .fdf
• .fes
• .ff
• .ffa
• .fff
• .ffl
• .ffo
• .fft
• .ffx
• .fits
• .flac
• .flv
• .fnd
• .fon
• .fpb
• .fpr
• .fpx
• .fqy
• .fr3
• .frc
• .frf
• .frg
• .frk
• .frm
• .fro
• .frp
• .frs
• .frt
• .frx
• .frz
• .fsc
• .fsh
• .g3
• .gho
• .gif
• .gr2
• .gr3
• .gra
• .grb
• .grf
• .grp
• .gz
• .hbk
• .hdl
• .hdr
• .hdx
• .hex
• .hfi
• .hgl
• .hh
• .hhh
• .hhp
• .hlp
• .hpgl
• .hqx
• .hsq
• .hss
• .hst
• .hta
• .htm
• .html
• .htt
• .ica
• .icb
• .icc
• .ice
• .icl
• .icm
• .icn
• .ico
• .ics
• .id
• .idb
• .idd
• .ide
• .idf
• .idq
• .idx
• .iff
• .ifo
• .ima
• .img
• .inf
• .ins
• .ipd
• .ipf
• .iso
• .iw44
• .iwa
• .j2k
• .jar
• .jas
• .jef
• .jng
• .jp2
• .jpc
• .jpm
• .js
• .jsb
• .jsd
• .jse
• .jsh
• .jsl
• .jsm
• .jsp
• .jss
• .json
• .jt
• .jtf
• .jtk
• .jtp
• .jw
• .jwl
• .jzz
• .kar
• .kbc
• .kdc
• .kdp
• .kfx
• .kye
• .lbm
• .ldf
• .lgc
• .lgo
• .lha
• .lib
• .log
• .lnk
• .lwf
• .lwp
• .lzh
• .mac
• .mbx
• .mcd
• .md
• .mda
• .mdb
• .mde
• .mdf
• .mdl
• .mdm
• .mdn
• .mdp
• .mdt
• .mdw
• .mdx
• .mdz
• .meb
• .med
• .mem
• .mht
• .mid
• .mim
• .mix
• .mk3d
• .mka
• .mks
• .mkv
• .mme
• .mng
• .mod
• .mov
• .mp1
• .mp2
• .mp3
• .mpp
• .mpg
• .mrw
• .msc
• .msi
• .msn
• .msp
• .mtf
• .mtm
• .mtv
• .mtw
• .mu
• .mul
• .mup
• .mus
• .mvb
• .mve
• .mvf
• .mwp
• .mxd
• .mxt
• .myd
• .n64
• .na2
• .nab
• .nap
• .ndf
• .nds
• .ndx
• .nef
• .nes
• .neta
• .nfo
• .nil
• .ngf
• .ngg
• .nhf
• .nlb
• .nld
• .nlm
• .nmi
• .nol
• .now
• .nra
• .nrb
• .ngr
• .ns2
• .ns5
• .nso
• .nt
• .num
• .nzb
• .oca
• .ocx
• .ogg
• .ogm
• .olb
• .old
• .ole
• .oli
• .orf
• .ori
• .qtif
• .otl
• .pab
• .pak
• .pb
• .pbd
• .pbf
• .pbk
• .pbl
• .pbm
• .pbr
• .pbi
• .pbo
• .pbt
• .pcd
• .pcx
• .pda
• .pdb
• .pdd
• .pdl
• .pds
• .pdv
• .pdw
• .pef
• .pf
• .pgm
• .php
• .pic
• .pict
• .pif
• .pjf
• .pkg
• .pl
• .plb
• .plc
• .pld
• .plg
• .pli
• .pll
• .plm
• .pln
• .plr
• .pls
• .plt
• .ply
• .pot
• .pp
• .pp4
• .pp5
• .ppa
• .ppb
• .ppd
• .ppf
• .ppi
• .ppl
• .ppm
• .ppo
• .pps
• .ppt
• .ppz
• .ps2
• .psd
• .psp
• .pst
• .pwa
• .pwd
• .pwf
• .pwl
• .pwp
• .pwz
• .px
• .pxl
• .py
• .pyc
• .pyd
• .pyw
• .pza
• .pzd
• .pzl
• .pzo
• .pzp
• .pzs
• .pzt
• .pzx
• .qic
• .qt
• .qxd
• .qxl
• .qxt
• .ra
• .raf
• .ram
• .ras
• .rc
• .rd1
• .rd3
• .rd4
• .rd5
• .rdb
• .rdl
• .rdx
• .rec
• .rgb
• .rle
• .rmi
• .rpb
• .rpd
• .rpm
• .rpt
• .rwz
• .sav
• .sc2
• .scp
• .scr
• .sct
• .sd
• .sd2
• .sda
• .sdc
• .sdd
• .sdf
• .sdk
• .sdl
• .sdn
• .sdr
• .sds
• .sdt
• .sdw
• .sdx
• .se
• .sea
• .sff
• .sfw
• .sgi
• .sh
• .sh3
• .shb
• .shg
• .shk
• .shm
• .shp
• .shr
• .shw
• .sid
• .sit
• .sitx
• .slk
• .smil
• .snd
• .sng
• .snm
• .sno
• .snp
• .spd
• .srf
• .sum
• .sun
• .svg
• .swf
• .swp
• .sxc
• .sys
• .tar
• .tar.gz
• .tbz
• .tbz2
• .tdf
• .tga
• .tgz
• .tif
• .tlb
• .tld
• .tle
• .tlp
• .tlt
• .tlx
• .tmp
• .topc
• .trm
• .trs
• .uni
• .unk
• .unx
• .url
• .uu
• .uue
• .vb
• .vba
• .vbd
• .vbe
• .vbg
• .vbk
• .vbl
• .vbp
• .vbr
• .vbs
• .vbw
• .vbx
• .vbz
• .vc
• .vcd
• .vce
• .vcf
• .vcs
• .vct
• .vcw
• .vcx
• .vda
• .vdd
• .vdo
• .vls
• .vm
• .vmm
• .vmf
• .vmh
• .vob
• .vs2
• .vsd
• .vsl
• .vss
• .vst
• .vsw
• .vxd
• .wab
• .wad
• .wal
• .wav
• .wb1
• .wb2
• .wbf
• .wbk
• .wbmp
• .wbt
• .wcd
• .wcm
• .wcp
• .wdb
• .web
• .wfm
• .wfn
• .wfx
• .wg1
• .wg2
• .wid
• .win
• .wiz
• .wk1
• .wk3
• .wlg
• .wma
• .wmf
• .wmv
• .wmz
• .wpd
• .wpg
• .wpm
• .wps
• .wri
• .wrk
• .wsc
• .wsf
• .x3f
• .xap
• .xbm
• .xif
• .xlb
• .xlr
• .xls
• .xm
• .xml
• .xnk
• .xot
• .xpm
• .xqt
• .xrf
• .xr1
• .xsl
• .xsm
• .xtb
• .xwd
• .xwf
• .xxe
• .xy
• .xy3
• .xy4
• .xyp
• .xyw
• .y
• .y01
• .yaml
• .yuv
• .yz
• .z
• .zoo

It encrypts files found in the following folders:

• %All Users Profile%
• C:\Users

(Note: %All Users Profile% is the common user's profile folder, which is usually C:\Documents and Settings\All Users on Windows 2000(32-bit), XP, and Server 2003(32-bit), or C:\ProgramData on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) and 10(64-bit). )

It appends the following extension to the file name of the encrypted files:

• {Random Characters}