Ransom.Win32.RADAMCRYPT.A

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It connects to a website to send and receive information.

However, as of this writing, the said sites are inaccessible.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware drops the following component file(s):

• aaa.bat = used to delete original copy

It adds the following mutexes to ensure that only one of its copies runs at any one time:

• Radamant_v1_Klitschko_number_one

Autostart Technique

This Ransomware adds the following registry entries to enable its automatic execution at every system startup:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svchost = {full malware path and filename}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
svchost = {full malware path and filename}

Other System Modifications

This Ransomware uses Windows Management Instrumentation (WMI) to delete volume shadow copies:

• cmd.exe /c vssadmin delete shadows /all /quiet

Backdoor Routine

This Ransomware connects to the following websites to send and receive information:

• {BLOCKED}.{BLOCKED}.202.192
• {BLOCKED}.{BLOCKED}.80.28
• {BLOCKED}.{BLOCKED}.97.93

Other Details

This Ransomware connects to the following URL(s) to get the affected system's IP address:

• checkip.dyndns.org

It connects to the following possibly malicious URL:

• {BLOCKED}d.pw/ld/id=2d302105104a17b023f118c20f22758c - contains the ransomnote

It encrypts files with the following extensions:

• 1cd
• dbf
• dt
• cf
• cfu
• mxl
• epf
• kdbx
• erf
• vrp
• grs
• geo
• st
• pff
• mft
• efd
• 3dm
• 3ds
• rib
• ma
• sldasm
• sldprt
• max
• blend
• lwo
• lws
• m3d
• mb
• obj
• x
• x3d
• movie.byu
• c4d
• fbx
• dgn
• dwg
• 4db
• 4dl
• 4mp
• abs
• accdb
• accdc
• accde
• accdr
• accdt
• accdw
• accft
• adn
• a3d
• adp
• aft
• ahd
• alf
• ask
• awdb
• azz
• bdb
• bib
• bnd
• bok
• btr
• bak
• backup
• cdb
• ckp
• clkw
• cma
• crd
• daconnections
• dacpac
• dad
• dadiagrams
• daf
• daschema
• db
• db-shm
• db-wal
• db2
• db3
• dbc
• dbk
• dbs
• dbt
• dbv
• dbx
• dcb
• dct
• dcx
• ddl
• df1
• dmo
• dnc
• dp1
• dqy
• dsk
• dsn
• dta
• dtsx
• dxl
• eco
• ecx
• edb
• emd
• eql
• fcd
• fdb
• fic
• fid
• fil
• fm5
• fmp
• fmp12
• fmpsl
• fol
• fp3
• fp4
• fp5
• fp7
• fpt
• fpt
• fzb
• fzv
• gdb
• gwi
• hdb
• his
• ib
• idc
• ihx
• itdb
• itw
• jtx
• kdb
• lgc
• maq
• mdb
• mdbhtml
• mdf
• mdn
• mdt
• mrg
• mud
• mwb
• s3m
• myd
• ndf
• ns2
• ns3
• ns4
• nsf
• nsf
• nv2
• nyf
• oce
• odb
• oqy
• ora
• orx
• owc
• owg
• oyx
• p96
• p97
• pan
• pdb
• pdb
• pdb
• pdm
• phm
• pnz
• pth
• pwa
• qpx
• qry
• qvd
• rctd
• rdb
• rpd
• rsd
• sbf
• sdb
• sdb
• sdb
• sdf
• spq
• sqb
• stp
• sql
• sqlite
• sqlite3
• sqlitedb
• str
• tcx
• tdt
• te
• teacher
• tmd
• trm
• udb
• usr
• v12
• vdb
• vpd
• wdb
• wmdb
• xdb
• xld
• xlgc
• zdb
• zdc
• cdr
• cdr3
• ppt
• pptx
• 1st
• abw
• act
• aim
• ans
• apt
• asc
• ascii
• ase
• aty
• awp
• awt
• aww
• bad
• bbs
• bdp
• bdr
• bean
• bib
• bna
• boc
• btd
• bzabw
• chart
• chord
• cnm
• crd
• crwl
• cyi
• dca
• dgs
• diz
• dne
• doc
• doc
• docm
• docx
• docxml
• docz
• dot
• dotm
• dotx
• dsv
• dvi
• dx
• eio
• eit
• email
• emlx
• epp
• err
• err
• etf
• etx
• euc
• fadein
• faq
• fb2
• fbl
• fcf
• fdf
• fdr
• fds
• fdt
• fdx
• fdxt
• fes
• fft
• flr
• fodt
• fountain
• gtp
• frt
• fwdn
• fxc
• gdoc
• gio
• gio
• gpn
• gsd
• gthr
• gv
• hbk
• hht
• hs
• htc
• hwp
• hz
• idx
• iil
• ipf
• jarvis
• jis
• joe
• jp1
• jrtf
• kes
• klg
• klg
• knt
• kon
• kwd
• latex
• lbt
• lis
• lit
• lnt
• lp2
• lrc
• lst
• lst
• ltr
• ltx
• lue
• luf
• lwp
• lxfml
• lyt
• lyx
• man
• map
• mbox
• md5txt
• me
• mell
• min
• mnt
• msg
• mwp
• nfo
• njx
• notes
• now
• nwctxt
• nzb
• ocr
• odm
• odo
• odt
• ofl
• oft
• openbsd
• ort
• ott
• p7s
• pages
• pfs
• pfx
• pjt
• plantuml
• prt
• psw
• pu
• pvj
• pvm
• pwi
• pwr
• qdl
• rad
• readme
• rft
• ris
• rng
• rpt
• rst
• rt
• rtd
• rtf
• rtx
• run
• rzk
• rzn
• saf
• safetext
• sam
• scc
• scm
• scriv
• scrivx
• sct
• scw
• sdm
• sdoc
• sdw
• sgm
• sig
• skcard
• sla
• slagz
• sls
• smf
• sms
• ssa
• strings
• stw
• sty
• sub
• sxg
• sxw
• tab
• tdf
• tdf
• tex
• text
• thp
• tlb
• tm
• tmd
• tmv
• tmx
• tpc
• trelby
• tvj
• txt
• u3d
• u3i
• unauth
• unx
• uof
• uot
• upd
• utf8
• unity
• utxt
• vct
• vnt
• vw
• wbk
• wbk
• wcf
• webdoc
• wgz
• wn
• wp
• wp4
• wp5
• wp6
• wp7
• wpa
• wpd
• wpd
• wpl
• wps
• wps
• wpt
• wpw
• wri
• wsc
• wsd
• wsh
• wtx
• xbdoc
• xbplate
• xdl
• xdl
• xlf
• xps
• xwp
• xwp
• xwp
• xy3
• xyp
• xyw
• ybk
• yml
• zabw
• zw
• 2bp
• 0,36
• 3fr
• 0,411
• 73i
• 8xi
• 9png
• abm
• afx
• agif
• agp
• aic
• albm
• apd
• apm
• apng
• aps
• apx
• art
• artwork
• arw
• arw
• asw
• avatar
• bay
• blkrt
• bm2
• bmp
• bmx
• bmz
• brk
• brn
• brt
• bss
• bti
• c4
• cal
• cals
• can
• cd5
• cdc
• cdg
• cimg
• cin
• cit
• colz
• cpc
• cpd
• cpg
• cps
• cpx
• cr2
• ct
• dc2
• dcr
• dds
• dgt
• dib
• dicom
• djv
• djvu
• dm3
• dmi
• vue
• dpx
• wire
• drz
• dt2
• dtw
• dvl
• ecw
• eip
• erf
• exr
• fal
• fax
• fil
• fpos
• fpx
• g3
• gcdp
• gfb
• gfie
• ggr
• gif
• gih
• gim
• gmbck
• gmspr
• spr
• scad
• gpd
• gro
• grob
• hdp
• hdr
• hpi
• i3d
• icn
• icon
• icpr
• iiq
• info
• int
• ipx
• itc2
• iwi
• j
• j2c
• j2k
• jas
• jb2
• jbig
• jbig2
• jbmp
• jbr
• jfif
• jia
• jng
• jp2
• jpe
• jpeg
• jpg
• jpg2
• jps
• jpx
• jtf
• jwl
• jxr
• kdc
• kdi
• kdk
• kic
• kpg
• lbm
• ljp
• mac
• mbm
• mef
• mnr
• mos
• mpf
• mpo
• mrxs
• myl
• ncr
• nct
• nlm
• nrw
• oc3
• oc4
• oc5
• oci
• omf
• oplc
• af2
• af3
• ai
• art
• asy
• cdmm
• cdmt
• cdmtz
• cdmz
• cdt
• cgm
• cmx
• cnv
• csy
• cv5
• cvg
• cvi
• cvs
• cvx
• cwt
• cxf
• dcs
• ded
• design
• dhs
• dpp
• drw
• drw
• dxb
• dxf
• egc
• emf
• ep
• eps
• epsf
• fh10
• fh11
• fh3
• fh4
• fh5
• fh6
• fh7
• fh8
• fif
• fig
• fmv
• ft10
• ft11
• ft7
• ft8
• ft9
• ftn
• fxg
• gdraw
• gem
• glox
• gsd
• hpg
• hpgl
• hpl
• idea
• igt
• igx
• imd
• ink
• lmk
• mgcb
• mgmf
• mgmt
• mt9
• mgmx
• mgtx
• mmat
• mat
• otg
• ovp
• ovr
• pcs
• pfd
• pfv
• pl
• plt
• pm
• vrml
• pmg
• pobj
• ps
• psid
• rdl
• scv
• sk1
• sk2
• slddrt
• snagitstamps
• snagstyles
• ssk
• stn
• svf
• svg
• svgz
• sxd
• tlc
• tne
• ufr
• vbr
• vec
• vml
• vsd
• vsdm
• vsdx
• vstm
• stm
• vstx
• wmf
• wpg
• vsm
• vault
• xar
• xmind
• xmmap
• yal
• orf
• ota
• oti
• ozb
• ozj
• ozt
• pal
• pano
• pap
• pbm
• pc1
• pc2
• pc3
• pcd
• pcx
• pdd
• pdn
• pe4
• pe4
• pef
• pfi
• pgf
• pgm
• pi1
• pi2
• pi3
• pic
• pict
• pix
• pjpeg
• pjpg
• pm
• pmg
• png
• pni
• pnm
• pntg
• pop
• pp4
• pp5
• ppm
• prw
• psd
• psdx
• pse
• psp
• pspbrush
• ptg
• ptx
• ptx
• pvr
• px
• pxr
• pz3
• pza
• pzp
• pzs
• z3d
• qmg
• ras
• rcu
• rgb
• rgb
• rgf
• ric
• riff
• rix
• rle
• rli
• rpf
• rri
• rs
• rsb
• rsr
• rw2
• rwl
• s2mv
• sai
• sci
• sct
• sep
• sfc
• sfera
• sfw
• skm
• sld
• sob
• spa
• spe
• sph
• spj
• spp
• sr2
• srw
• ste
• sumo
• sva
• save
• ssfn
• t2b
• tb0
• tbn
• tex
• tfc
• tg4
• thm
• thumb
• tif
• tiff
• tjp
• tm2
• tn
• tpi
• ufo
• uga
• usertile-ms
• vda
• vff
• vpe
• vst
• wb1
• wbc
• wbd
• wbm
• wbmp
• wbz
• wdp
• webp
• wpb
• wpe
• wvl
• x3f
• y
• ysp
• zif
• cdr4
• cdr6
• rtf
• cdrw
• jpeg
• djvu
• pdf
• ddoc
• css
• pptm
• raw
• cpt
• gif
• jpeg
• jpg
• jpe
• jp2
• pcx
• pdn
• png
• psd
• tga
• tiff
• tif
• hdp
• xpm
• ai
• cdr
• ps
• svg
• sai
• wmf
• emf
• ani
• apng
• djv
• flc
• fb2
• fb3
• fli
• mng
• smil
• svg
• mobi
• swf
• html
• xls
• xlsx
• csv
• xlsm
• ods
• xhtm

It does the following:

• Encrypt files in all drives.
• After payment it shows the following:
  
  
  
  
  

However, as of this writing, the said sites are inaccessible.