Ransom.Win32.SUNCRYPT.A

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It encrypts files with specific file extensions. It drops files as ransom note.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware adds the following mutexes to ensure that only one of its copies runs at any one time:

• ts)&w'p"w"'(wr!ss$!%u$$rws('"!&w)&s"!!&&)rr&!r%wu%u'(#)$s " %%" !p%&sw(pu$ru($t'

Information Theft

This Ransomware gathers the following data:

• Username
• Computer Name

Stolen Information

This Ransomware sends the gathered information via HTTP POST to the following URL:

• http://{BLOCKED}.{BLOCKED}.114.30
• http://{BLOCKED}.{BLOCKED}.114.31

Other Details

This Ransomware does the following:

• It accepts the following arguments:
  • -noreport → Will not send information to its servers
  • -path {filepath} → Encrypt only the indicated path
• It only encrypts files that has a file size that is greater than 512 bytes.
• It avoids encrypting files with extensions that have more than 16 characters
• It encrypts fixed, removable and network drives.

Ransomware Routine

This Ransomware encrypts files with the following extensions:

• .1st
• .3dm
• .3ds
• .3fr
• .4db
• .4dd
• .602
• .7-zip
• .7z
• .7zip
• .a
• .a4p
• .a5w
• .aac
• .aae
• .abr
• .abw
• .accdb
• .accdt
• .act
• .ada
• .ade
• .adoc
• .adr
• .aep
• .aes
• .aex
• .ai
• .aiff
• .aim
• .alx
• .an
• .ans
• .ap
• .ape
• .apk
• .apkg
• .appcache
• .apt
• .ar
• .arch00
• .arg
• .arj
• .aro
• .arw
• .asa
• .asax
• .asc
• .ascii
• .ascx
• .ase
• .ashx
• .asm
• .asmx
• .asp
• .aspx
• .asr
• .asset
• .atl
• .atom
• .att
• .aty
• .au
• .au3
• .avi
• .awk
• .awm
• .awp
• .awt
• .aww
• .axd
• .backup
• .bak
• .bar
• .bas
• .bat
• .bay
• .bc6
• .bc7
• .bck
• .big
• .bik
• .bin
• .bit
• .bkf
• .bkp
• .blob
• .bml
• .bmp
• .bok
• .bpw
• .br
• .browser
• .bsa
• .btapp
• .bwp
• .bz2
• .bzip2
• .c
• .c++
• .cab
• .cas
• .cbl
• .cc
• .ccbjs
• .cdb
• .cdf
• .cdr
• .cer
• .cert
• .cfg
• .cfm
• .cfml
• .cfr
• .cgi
• .cha
• .chat
• .chm
• .class
• .clj
• .cmd
• .cms
• .codasite
• .compressed
• .con
• .conf
• .config
• .cow
• .cpg
• .cphd
• .cpio
• .cpp
• .cr2
• .crl
• .crp
• .crt
• .crw
• .crx
• .crypt
• .cs
• .cshtml
• .csp
• .csr
• .css
• .csv
• .cxx
• .d
• .d3dbsp
• .dap
• .das
• .dat
• .dazip
• .db
• .db0
• .dba
• .dbf
• .dbm
• .dbx
• .dcf
• .dcr
• .dds
• .deb
• .def
• .der
• .desc
• .dhtml
• .diff
• .disco
• .discomap
• .djvu
• .dll
• .dmg
• .dml
• .dmp
• .dng
• .do
• .doc
• .docb
• .dochtml
• .docm
• .docmhtml
• .docx
• .dot
• .dothtml
• .dotm
• .dotx
• .download
• .dpk
• .dpr
• .dwfx
• .dwg
• .dwk
• .dwt
• .dxf
• .dxg
• .ece
• .edge
• .efx
• .egg
• .el
• .email
• .eml
• .emp
• .enc
• .epibrw
• .epk
• .eps
• .erf
• .esm
• .esproj
• .ewp
• .fcgi
• .fdb
• .ff
• .flac
• .flv
• .fmp
• .forge
• .fos
• .fpk
• .freeway
• .frm
• .fs
• .fsh
• .fwp
• .fwtb
• .fwtemplate
• .fwtemplateb
• .gdb
• .gho
• .gif
• .gne
• .go
• .gpg
• .gpx
• .gsm
• .gsp
• .gxk
• .gz
• .gzip
• .h
• .hdm
• .hdml
• .hex
• .hkdb
• .hkx
• .hplg
• .hpp
• .htaccess
• .htc
• .htm
• .html
• .htx
• .hvpl
• .hxs
• .hxx
• .hype
• .hyperesources
• .hypesymbol
• .hypetemplate
• .ibank
• .ics
• .icxs
• .idc
• .idl
• .idx
• .ifx
• .img
• .inc
• .indd
• .inf
• .ini
• .inl
• .iqy
• .iso
• .it
• .itdb
• .itl
• .itm
• .itms
• .itpc
• .iwd
• .iwdgt
• .iwi
• .jad
• .jar
• .java
• .jbc
• .jcz
• .jhtml
• .jnl
• .jnlp
• .jpe
• .jpeg
• .jpg
• .js
• .json
• .jsp
• .jspa
• .jspx
• .jss
• .jst
• .jsx
• .jvs
• .jws
• .kdb
• .kdbx
• .kdc
• .key
• .kf
• .kit
• .kml
• .kmz
• .ksd
• .kwm
• .l
• .lasso
• .latex
• .layout
• .lbc
• .lbf
• .ldf
• .less
• .lha
• .lib
• .lic
• .litemod
• .ll
• .log
• .lrf
• .lsp
• .ltx
• .lua
• .lvl
• .lzh
• .lzma
• .m
• .m2
• .m3u
• .m4
• .m4a
• .maff
• .map
• .mapx
• .mar
• .master
• .max
• .mcmeta
• .md
• .mdb
• .mdbackup
• .mddata
• .mdf
• .mef
• .menu
• .mht
• .mhtml
• .mjs
• .mlx
• .mod
• .mov
• .moz
• .mp3
• .mp4
• .mpa
• .mpd
• .mpp
• .mpqge
• .mrwref
• .msg
• .mspx
• .muse
• .mvc
• .mvr
• .mxf
• .myo
• .nba
• .nbf
• .ncf
• .nod
• .nrw
• .nsf
• .ntl
• .nv2
• .nxg
• .nzb
• .oam
• .obj
• .obml
• .obml15
• .obml16
• .odb
• .odc
• .odf
• .odm
• .odp
• .ods
• .odt
• .oft
• .ofx
• .ognc
• .olp
• .one
• .opml
• .orf
• .org
• .ost
• .oth
• .out
• .ova
• .ovf
• .p
• .p12
• .p7
• .p7b
• .p7c
• .p7m
• .pac
• .page
• .pages
• .pak
• .pas
• .patch
• .pcap
• .pcapng
• .pdb
• .pdd
• .pdf
• .pea
• .pef
• .pem
• .pfx
• .pgp
• .php
• .php2
• .php3
• .php4
• .php5
• .phtm
• .phtml
• .pkg
• .pkpass
• .pl
• .pls
• .png
• .po
• .pot
• .potm
• .potx
• .ppam
• .ppj
• .pps
• .ppsm
• .ppsx
• .ppt
• .ppthtml
• .pptm
• .pptmhtml
• .pptx
• .prf
• .pro
• .proto
• .prproj
• .ps
• .psd
• .psk
• .psp
• .pst
• .psw
• .ptw
• .ptx
• .pub
• .py
• .pyc
• .pyd
• .qba
• .qbb
• .qbo
• .qbw
• .qbx
• .qcow
• .qcow2
• .qdf
• .qed
• .qf
• .qfx
• .qic
• .qif
• .qrm
• .r3d
• .raf
• .rar
• .raw
• .rb
• .re4
• .rflw
• .rgss3a
• .rhtml
• .rim
• .rjs
• .rofl
• .rpm
• .rs
• .rss
• .rst
• .rt
• .rtf
• .rw2
• .rw3
• .rwl
• .rwp
• .rwsw
• .rwtheme
• .s
• .s3m
• .s7z
• .saj
• .sass
• .sav
• .saveddeck
• .sb
• .scss
• .sdb
• .sdc
• .sdf
• .seam
• .sh
• .shar
• .sht
• .shtm
• .shtml
• .sid
• .sidd
• .sidn
• .sie
• .sis
• .site
• .sitemap
• .sites
• .sites2
• .sko
• .skp
• .sldm
• .sldx
• .slm
• .sln
• .snb
• .snx
• .sparkle
• .spc
• .spi
• .sql
• .sqlite
• .sr2
• .src
• .srf
• .srw
• .ssp
• .stc
• .stl
• .stm
• .stml
• .stp
• .suck
• .sum
• .svc
• .svg
• .svr
• .swift
• .swz
• .sxc
• .syncdb
• .t12
• .t13
• .tag
• .tar
• .tax
• .tbl
• .tbz2
• .tc
• .tcl
• .tex
• .tga
• .tgz
• .thm
• .tib
• .tif
• .tiff
• .tlz
• .tor
• .tpl
• .tvpi
• .tvvi
• .txt
• .ucf
• .uhtml
• .upk
• .url
• .vb
• .vbd
• .vbhtml
• .vbo
• .vbox
• .vcf
• .vcs
• .vcxproj
• .vdf
• .vdi
• .vdw
• .vfs0
• .vhd
• .vhdx
• .vlp
• .vmdk
• .vmem
• .vmtm
• .vmx
• .vpc
• .vpk
• .vpp_pc
• .vrml
• .vrt
• .vsdisco
• .vtf
• .w3x
• .wallet
• .war
• .wasm
• .wav
• .wb2
• .wbs
• .wbxml
• .wdb
• .wdgt
• .web
• .webarchive
• .webarchivexml
• .webbookmark
• .webhistory
• .webloc
• .website
• .wgp
• .wgt
• .whl
• .whtt
• .widget
• .wma
• .wml
• .wmo
• .wmv
• .wn
• .woa
• .wotreplay
• .wpd
• .wpp
• .wps
• .wpx
• .wrf
• .wsdl
• .x3f
• .xbel
• .xbl
• .xbm
• .xcf
• .xcodeproj
• .xf
• .xfdl
• .xht
• .xhtm
• .xhtml
• .xla
• .xlam
• .xlk
• .xll
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xm
• .xml
• .xpd
• .xpi
• .xpm
• .xps
• .xss
• .xul
• .xwd
• .xws
• .xx
• .xxx
• .xz
• .yml
• .yuv
• .z
• .zfo
• .zhtml
• .zip
• .zipx
• .ztmp
• .zul
• .zvz

It avoids encrypting files found in the following folders:

• Windows
• Program Files
• Program Files (x86)
• System Volume Information
• $Recycle.bin

It appends the following extension to the file name of the encrypted files:

• .{64 Random Characters}

It drops the following file(s) as ransom note:

• {Encrypted Directory}\YOUR_FILES_ARE_ENCRYPTED.HTML