RANSOM_SAWORSED.A

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

However, as of this writing, the said sites are inaccessible.

It encrypts files with specific file extensions.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware leaves text files that serve as ransom notes containing the following:

• {directory}\READ_ME_NOW!!!!!!.TXT
  

Other Details

This Ransomware attempts to access the following websites to download files, which are possibly malicious:

• https://{BLOCKED}.{BLOCKED}x.com/sh/wn8x35r9l9wsitn/XSwafOFh9E/powershell.exe?dl=1

It does the following:

• Adds the following salt during encryption:
  • "BMCODE hack your system"

However, as of this writing, the said sites are inaccessible.

Ransomware Routine

This Ransomware encrypts files with the following extensions:

• .java
• .jc
• .jgz
• .jif
• .jiff
• .jpc
• .jpeg
• .jpf
• .jpg
• .jpw
• .js
• .kmz
• .kwd
• .lbi
• .lcd
• .lcf
• .ldb
• .lgp
• .lnk
• .lp2
• .ltm
• .ltr
• .lvl
• .mag
• .man
• .1cd
• .3d
• .3d4
• .3df8
• .3g2
• .3gp
• .3gp2
• .3mm
• .7z
• .8ba
• .8bc
• .8be
• .8bf
• .8bi8
• .8bl
• .8bs
• .8bx
• .8by
• .8li
• .aac
• .abk
• .abw
• .ac3
• .ace
• .act
• .ade
• .adi
• .adpb
• .adr
• .adt
• .aim
• .aip
• .ais
• .amf
• .amr
• .amu
• .amx
• .amxx
• .ans
• .ap
• .ape
• .api
• .arc
• .ari
• .arj
• .aro
• .arr
• .asa
• .asc
• .ascx
• .ase
• .ashx
• .asmx
• .asp
• .aspx
• .asr
• .atom
• .avi
• .avs
• .bdp
• .bdr
• .bi8
• .bib
• .bic
• .big
• .bik
• .bin
• .bkf
• .blp
• .bmc
• .bmf
• .bml
• .bmp
• .boc
• .bp2
• .bp3
• .bpl
• .bsp
• .cag
• .cam
• .cap
• .car
• .cbr
• .cbz
• .cc
• .ccd
• .cch
• .cd
• .cdr
• .cer
• .cfg
• .cgf
• .chk
• .clr
• .cms
• .cod
• .col
• .cp
• .cpp
• .crd
• .crt
• .cs
• .csi
• .cso
• .css
• .ctt
• .cty
• .cwf
• .dal
• .dap
• .db
• .dbb
• .dbx
• .dcp
• .dcu
• .ddc
• .ddcx
• .dem
• .dev
• .dex
• .dic
• .dif
• .dii
• .dir
• .disk
• .divx
• .diz
• .djvu
• .dmg
• .dng
• .dob
• .doc
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .dox
• .dpk
• .dpl
• .dpr
• .dsk
• .dsp
• .dvd
• .dvi
• .dvx
• .dxe
• .elf
• .eps
• .eql
• .err
• .euc
• .evo
• .ex
• .f90
• .faq
• .fcd
• .fdr
• .fds
• .ff
• .fla
• .flp
• .flv
• .for
• .fpp
• .gam
• .gif
• .grf
• .gthr
• .gz
• .gzig
• .h3m
• .h4r
• .htm
• .html
• .idx
• .img
• .ink
• .ipa
• .iso
• .isu
• .isz
• .itdb
• .itl
• .iwd
• .jar
• .jav
• .map
• .max
• .mbox
• .mbx
• .mcd
• .md0
• .md1
• .md2
• .md3
• .md3
• .mdf
• .mdl
• .mdn
• .mds
• .mic
• .mid
• .midi
• .mip
• .mlx
• .mm6
• .mm7
• .mm8
• .mmf
• .mod
• .moz
• .mp1
• .mp3
• .mp4
• .mpa
• .mpga
• .mpu
• .msg
• .msi
• .msp
• .mxp
• .nav
• .ncd
• .nds
• .nfo
• .now
• .nrg
• .nri
• .nrt
• .odc
• .odf
• .odi
• .odm
• .odp
• .ods
• .oft
• .oga
• .ogg
• .opf
• .owl
• .oxt
• .pab
• .pak
• .pbf
• .pbp
• .pbs
• .pcv
• .pdd
• .pdf
• .php
• .pkb
• .pkh
• .pl
• .plc
• .pli
• .pm
• .png
• .pot
• .potm
• .potx
• .ppd
• .ppf
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .prc
• .prt
• .psa
• .psd
• .puz
• .pwf
• .pwi
• .pxp
• .qdf
• .qel
• .qif
• .qpx
• .qtiq
• .qtq
• .qtr
• .r00
• .r01
• .r02
• .r03
• .ra
• .ram
• .rar
• .raw
• .res
• .rev
• .rgn
• .rnc
• .rng
• .rrt
• .rsrc
• .rsw
• .rte
• .rtf
• .rts
• .rtx
• .rum
• .run
• .rv
• .sad
• .saf
• .sav
• .scm
• .scn
• .scx
• .sdb
• .sdc
• .sdn
• .sds
• .sdt
• .sen
• .sfs
• .sfx
• .sh
• .shar
• .shr
• .shw
• .slt
• .snp
• .so
• .spr
• .sql
• .sqx
• .srf
• .srt
• .ssa
• .std
• .stt
• .stx
• .sud
• .svi
• .svr
• .swd
• .swf
• .t01
• .t03
• .t05
• .tbz2
• .tch
• .tcx
• .text
• .tg
• .thmx
• .tif
• .tiff
• .tlz
• .tpu
• .tpx
• .trp
• .tu
• .tur
• .txd
• .txf
• .txt
• .uax
• .udf
• .umx
• .unr
• .unx
• .uop
• .upoi
• .url
• .usa
• .usx
• .ut2
• .ut3
• .utc
• .utx
• .uvx
• .uxx
• .val
• .vc
• .vcd
• .vdo
• .ver
• .vhd
• .vmf
• .vmt
• .vsi
• .vtf
• .w3g
• .w3x
• .wad
• .war
• .wav
• .wave
• .waw
• .wbk
• .wdgt
• .wks
• .wm
• .wma
• .wmd
• .wmdb
• .wmmp
• .wmv
• .wmx
• .wow
• .wpk
• .wpl
• .wsh
• .wtd
• .wtf
• .wvx
• .xl
• .xla
• .xlam
• .xlc
• .xll
• .xlm
• .xlr
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xltx
• .xlv
• .xlwx
• .xml
• .xpi
• .xpt
• .xvid
• .xwd
• .yab
• .yps
• .z02
• .z04
• .zap
• .zip
• .zipx
• .zoo

It appends the following extension to the file name of the encrypted files:

• .BMCODE