RANSOM_RUSSENGER.THBBOAH

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It encrypts files with specific file extensions.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware adds the following mutexes to ensure that only one of its copies runs at any one time:

• 2111143252160967372

Other Details

This Ransomware does the following:

• It encrypts files in all fixed, removable, and network drives and shares.
• It drops a ransom note in every directory that the malware had successfully encrypted.
  
  • 

Ransomware Routine

This Ransomware encrypts files with the following extensions:

• .zip
• .rar
• .7z
• .tar
• .gzip
• .gz
• .tgz
• .arj
• .jpg
• .jpeg
• .psd
• .cdr
• .dwg
• .max
• .bmp
• .gif
• .png
• .doc
• .docx
• .xls
• .xlsx
• .ppt
• .pptx
• .rtf
• .pdf
• .djvu
• .htm
• .html
• .efd
• .txt
• .mdb
• .cer
• .p12
• .pfx
• .kwm
• .pwm
• .md
• .mdf
• .iso
• .tib
• .nrg
• .gho
• .ghost
• .ghs
• .bak
• .bkp
• .bkf
• .1cd
• .2cd
• .1cd2
• .dbf
• .dd
• .ert
• .cf
• .cfu
• .erf
• .epf
• .dt
• .cdx
• .pfl
• .lst
• .gdb
• .gbk
• .fdb
• .fbk
• .ldf
• .sql
• .odt
• .rn
• .ifo
• .lnk
• .cbu
• .mov
• .m2v
• .dbx
• .bln
• .dic
• .tpl
• .a2u
• .mcx
• .key
• .mkd
• .bkc
• .wav
• .tbh
• .tbc
• .tbb
• .tbn
• .rst
• .sel
• .pas
• .ib
• .zrb
• .eif
• .pgd
• .trn
• .nbi
• .res
• .hbk
• .eps
• .indd
• .ods
• .ppd
• .pln
• .plan
• .bpn
• .blf
• .ldw
• .box
• .frw
• .pst
• .mxl
• .xml
• .idf
• .war
• .tab
• .nbr
• .hdf
• .rcf
• .lgp
• .lgf
• .elf
• .pgp
• .frf
• .vhd
• .frp
• .gsh
• .eet
• .gdoc
• .hbi
• .svc
• .dmp
• .accdb
• .csv
• .arc
• .mb
• .px
• .xg0
• .yg0
• .db.
• .abd
• .flx
• .srx
• .tbi
• .his
• .dfp
• .packed
• .backup
• .map
• .vmem
• .vmdk
• .zsp
• .bpl
• .1cl
• .bac
• .tbk
• .lzh
• .udb
• .7zip
• .mxlz
• .bls
• .rbf
• .bdf
• .bde
• .vbe
• .vbk
• .dbk
• .bks
• .frm
• .myd
• .myi
• .php
• .vrd
• .nbk
• .bip
• .qib
• .cbf
• .info
• .export
• .wbverify
• .wbcat
• .cdb
• .ima
• .imh
• .vbx
• .jbc
• .sqm
• .cfl
• .tmp
• .mig
• .apc
• .vhdx
• .ldb
• .lgd
• .edb
• .vsv
• .avhd
• .wim
• .cuc
• .mft
• .tbl
• .adb
• .car
• .ver
• .nvram
• .vmx
• .vmxf
• .vmss
• .tmf
• .dump
• .eml
• .msf
• .ndf
• .dcm
• .stm
• .vdi
• .bz2
• .xlsb
• .old
• .pf
• .pml
• .idx
• .lbl
• .lvd
• .prv
• .tmp0
• .pak
• .local
• .rec
• .ifs
• .xsd
• .dpr
• .dproj
• .dcu
• .fpf
• .ps1
• .saved
• .save
• .cpr
• .bf
• .bf3
• .rep
• .apk
• .sct
• .fxp
• .vct
• .fpt
• .prg
• .vcx
• .xxx
• .ora
• .sfpe
• .svp
• .ogd
• .rdf
• .frx
• .dot
• .rpt
• .pm
• .pl
• .ctl
• .gbp
• .sfpz
• .scn
• .ord
• .fil
• .ect
• .ava
• .1ey
• .mde
• .wnw
• .vvr
• .dfb
• .dff
• .rsu
• .gsn
• .pdt
• .vdb
• .ddt
• .6tr
• .pkg
• .trc
• .lg
• .ddf
• .str
• .9tr
• .8tr
• .8t0
• .upd
• .ndt
• .pbf
• .one
• .onetoc2
• .rpb
• .dg
• .dat
• .fkc
• .dbt
• .eso
• .esl
• .mac
• .sgn
• .pbd
• .sst
• .shd
• .bco
• .vib
• .vbm
• .prb
• .als
• .sqx
• .nag
• .vpc
• .pkr
• .skr
• .mdx
• .prk
• .rvs
• .iv2i
• .sv2i
• .v2i
• .gfo
• .gfr
• .gfd
• .tst
• .sdf
• .qst
• .nef
• .gpd
• .dsus
• .psl
• .pfm
• .xsc
• .xstk
• .oxps
• .qrp
• .xlsm
• .ai
• .grd
• .bcp
• .mod
• .mdmp
• .esbak
• .mbox
• .shs
• .viprof
• .sbk
• .dis
• .dcf
• .xch
• .utf
• .sbp
• .sqlite
• .ost
• .vmp
• .arch
• .ans
• .twd
• .cbm
• .rez
• .mdt
• .mdw
• .blk
• .vmsn
• .vmsd
• .vmpl
• .kdc
• .sob
• .sobx
• .sac
• .sacx
• .smf
• .smfx
• .ssd
• .sln
• .tdb
• .dbs
• .diff
• .plb
• .vswp
• .q1c
• .out
• .scx
• .tnx
• .klt
• .~klt~2
• .nsf
• .adi
• .md5
• .gd
• .ctlg
• .sdl
• .lky
• .burn
• .sem
• .hive
• .ntx
• .bz
• .fld
• .imm
• .vrfs
• .ldif
• .req
• .pwd
• .meb
• .laccdb
• .kmn
• .pka
• .img
• .fbf
• .nc
• .bck
• .ssf
• .jrs
• .drs
• .dtz
• .fob
• .pfi
• .wrk
• .vsd
• .sbin
• .last
• .atc
• .atg
• .py
• .~ini
• .shdb
• .shdl
• .sdb
• .new
• .rk6
• .mak
• .v8i
• .1txt
• .mtl
• .pro
• .file
• .amr
• .ppsx
• .irsi
• .irsf
• .irss
• .fi
• .snp
• .pck
• .ips
• .xz
• .tps
• .avhdx
• .vmcx
• .vmrs
• .awr
• .unf
• .ok
• .okk
• .lic
• .lis
• .dz
• .vvv
• .apx
• .cmt
• .obf
• .afd
• .pnl
• .nif
• .cnc
• .lay6
• .tid
• .a3d
• .custom
• .cui
• .cuix
• .vlx
• .lsp
• .dcl
• .mnc
• .mns
• .mnr
• .lrv
• .thm
• .ssp
• .spr
• .ovf
• .repx
• .keg
• .ifm
• .efm
• .btr
• .sna
• .blb
• .amp
• .rgt
• .bg
• .dafile
• .arh
• .cr2
• .$$$
• .[0-9]+
• .n[0-9]
• .nd[0-9]
• .6t[0-9]
• .st[0-9]
• .fdb[0-9]
• .db[0-9]
• .dt[0-9]
• .nx[0-9]
• .gopaymeb
• .stop
• .lock
• .granit
• .ua_
• .enc
• .crypt
• .cripted
• .criptfiles
• .wallet
• .vault
• .en

It appends the following extension to the file name of the encrypted files:

• .messenger-{random letters and numbers}