Ransom.Win32.AURORA.THHOAAI

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It encrypts files with specific file extensions. It drops files as ransom note.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Autostart Technique

This Ransomware adds the following registry entries to enable its automatic execution at every system startup:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MSFEEditor = "{malware path and file name}.exe e"

Dropping Routine

This Ransomware drops the following files:

• %Application Data%\000000000.key

(Note: %Application Data% is the current user's Application Data folder, which is usually C:\Documents and Settings\{user name}\Application Data on Windows 2000(32-bit), XP, and Server 2003(32-bit), or C:\Users\{user name}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) and 10(64-bit).)

Ransomware Routine

This Ransomware encrypts files with the following extensions:

• 1c
• 1CD
• 3dm
• 3ds
• 3fr
• 3g2
• 3gp
• 7z
• 123
• 602
• _MS
• _ms
• ABD
• accdb
• accde
• accdr
• accdt
• ace
• aes
• ai
• alg
• allet
• AMS
• apk
• CRA
• arch00
• arm
• art
• arw
• arz
• asc
• asf
• asm
• asp
• asset
• avhdx
• avi
• CAB
• backup
• BAK
• bak
• bar
• bat
• bay
• bc6
• bc7
• bck
• BDB
• big
• bik
• bkf
• BKP
• bkp
• BKUP
• blob
• bmp
• BPN
• brd
• bsa
• bsm
• bxl
• bz2
• c
• cad
• cam
• cas
• CBK
• cbu
• cdr
• cdr3
• cdr4
• cdr5
• cel
• cer
• cert
• cf
• cfg
• cfr
• cgm
• CHG
• ckt
• class
• classpath
• cmd
• cnf
• con
• config
• cpa
• cpp
• cr2
• crt
• crw
• cs
• csa
• csr
• css
• csv
• cwz
• d
• d3dbsp
• das
• dat
• data
• dazip
• db
• db0
• db3
• db5
• dba
• dbc
• DBF
• dbf
• dbs
• dbx
• dch
• dcr
• ddb
• der
• desc
• DFT
• dif
• dip
• djvu
• DMP
• dmp
• dng
• doc
• docb
• docm
• docx
• dot
• dotm
• dotx
• dra
• drl
• dru
• dsn
• dsnwrk
• dt
• dwg
• dxf
• dxg
• edb
• edf
• elt
• eml
• epk
• eps
• erf
• esm
• ewprj
• fdb
• ff
• fla
• flv
• fods
• fodt
• forge
• fos
• fp7
• fpd
• fpk
• frm
• fsh
• g1
• g2
• g3
• g4
• gbl
• gbo
• gbp
• gbr
• gbs
• gbx
• gdb
• GDF-BACKUP
• GHO
• gho
• gif
• gko
• gml
• gp
• gp1
• gp2
• gp3
• gp4
• gpb
• gpg
• gpt
• grb
• gtl
• gto
• gtp
• gts
• gwk
• gz
• h
• hkdb
• hkx
• hplg
• hvpl
• hwp
• ibank
• ibd
• ibz
• icxs
• idb
• idc
• idx
• indd
• info
• ip
• ipc
• ism
• iso
• itdb
• itl
• itm
• iwd
• iwi
• IX
• jar
• java
• jnt
• jpe
• jpeg
• jpg
• jrl
• js
• jsp
• kdb
• kdc
• kf
• kicad
• lay
• lay6
• layout
• lbf
• lbr
• LC
• LCK
• ldb
• ldf
• lg
• lgc
• lia
• lib
• libprj
• LICENSE
• licz
• litemod
• llx
• lmc
• lrf
• ltx
• lua
• lvl
• lyt
• lzh
• lzma
• m2
• m3u
• m4a
• m4u
• map
• max
• mcmeta
• mdb
• mdbackup
• mddata
• mdf
• mef
• menu
• mid
• mkv
• mlx
• mml
• mov
• mp3
• mp4
• mpeg
• mpg
• mpqge
• mrg
• mrwref
• msg
• myd
• myi
• mysql
• mysqli
• NBD
• nc
• ncf
• ndf
• nef
• nrw
• ntl
• OBK
• odb
• odc
• odg
• odm
• odp
• ods
• odt
• OEB
• olb
• one
• onetoc2
• opj
• opt
• ORA
• orf
• ost
• otg
• otp
• ots
• ott
• p
• p7b
• p7c
• p12
• pad
• pak
• PAQ
• par
• pas
• pbd
• pc
• pcb
• pcbdoc
• pdb
• pdblib
• pdd
• pdf
• pef
• pem
• pfx
• phj
• phl
• pho
• php
• pkpass
• pl
• png
• pot
• potm
• potx
• ppam
• ppc
• pps
• ppsm
• ppsx
• ppt
• pptm
• pptx
• prj
• prjcor
• prjemb
• prjpcb
• pro
• project
• prt
• ps1
• psd
• psk
• psm
• pst
• ptx
• py
• Q99
• QB1
• QBA
• QBB
• QBK
• QBM
• QBMB
• QBMD
• qbquery
• QBW
• QBX
• qdf
• QFD
• QFX
• qic
• QIF
• QMD
• qry
• QUICKEN
• QUICKEN2015BACKUP
• QUICKEN2016BACKUP
• QUICKEN2017BACKUP
• QW5
• r3d
• raf
• rar
• raw
• rb
• re4
• reu
• rgss3a
• rim
• rofl
• rou
• rtf
• rul
• rw2
• rwl
• s3db
• sal
• sav
• sb
• sch
• schdoc
• schlib
• SDF
• sdf
• sh
• sid
• sidd
• sidn
• sie
• sis
• sl2
• sl3
• sldm
• sldx
• slk
• slm
• sln
• snt
• snx
• SQB
• sql
• sqlite
• sqlite3
• sqlitedb
• sqr
• sr2
• srf
• srw
• ssq
• stc
• std
• sti
• stw
• sum
• suo
• svg
• swf
• sxc
• sxd
• sxi
• sxm
• sxw
• syncdb
• t12
• t13
• tar
• tax
• tbk
• tcf
• tgz
• tib
• tif
• tiff
• tmd
• TMP
• tor
• trn
• txt
• ub
• uop
• uot
• upk
• vb
• vbs
• vcd
• vcf
• vdf
• vdi
• vfs0
• vhd
• vhdx
• vmdk
• vmx
• vob
• vpk
• vpp_pc
• vsd
• vsdx
• vtf
• w3x
• wab
• wav
• wb2
• WBK
• wdb
• wk1
• wks
• wma
• wmo
• wmv
• wotreplay
• wpd
• wps
• x3f
• xf
• XG3
• XGO
• xlc
• XLK
• xlk
• xlm
• xls
• xls
• xlsb
• xlsm
• xlsx
• xlt
• xltm
• xltx
• xlw
• xml
• xslt
• xxx
• ydk
• zip
• zpd
• ztmp

It renames encrypted files using the following names:

• {encrypted file}.infected

It drops the following file(s) as ransom note:

• 
• @@_FILES_ARE_ENCRYPTED_@@.txt
• @@_HOW_TO_RETURN_DATA_@@.txt
• @@_RECOVERY_INSTRUCTIONS_@@.txt