RANSOM_CRYPJAFF.N

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It deletes itself after execution.

It encrypts files with specific file extensions. It drops files as ransom note.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Other System Modifications

This Ransomware changes the desktop wallpaper by modifying the following registry entries:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%ProgramData%\Rondo\WallpapeR.bmp"

Other Details

This Ransomware connects to the following possibly malicious URL:

• http://{BLOCKED}offde445.com
• http://{BLOCKED}.{BLOCKED}.107.213:80
• http://{BLOCKED}offde445.com/a5/

It deletes itself after execution.

Ransomware Routine

This Ransomware encrypts files with the following extensions:

• .001
• .002
• .004
• .005
• .006
• .007
• .008
• .009
• .00BE279C
• .010
• .1cd
• .3dm
• .3ds
• .3fr
• .3g2
• .3pr
• .7ZIP
• .7z
• .MPEG
• .aac
• .ab4
• .accdb
• .accde
• .accdt
• .acd
• .ach
• .acr
• .act
• .adb
• .adp
• .ads
• .agdl
• .ai
• .aif
• .aiff
• .ait
• .al
• .aoi
• .apj
• .arw
• .as4
• .asf
• .asm
• .asp
• .asx
• .avi
• .awg
• .back
• .backup
• .backupdb
• .bak
• .bank
• .bay
• .bdb
• .bgt
• .bik
• .bin
• .bkp
• .blend
• .bmp
• .bpw
• .c
• .cad
• .cbr
• .cdf
• .cdr
• .cdr3
• .cdr4
• .cdr5
• .cdr6
• .cdrw
• .cdx
• .ce1
• .ce2
• .cer
• .cfg
• .cgm
• .cib
• .class
• .cls
• .cmt
• .config
• .contact
• .cpi
• .cpp
• .cr2
• .craw
• .crt
• .crw
• .cs
• .csh
• .csl
• .css
• .csv
• .dac
• .dat
• .db
• .db3
• .db_journal
• .dbf
• .dbx
• .dc2
• .dcr
• .dcs
• .ddd
• .ddoc
• .ddrw
• .dds
• .deb
• .der
• .des
• .design
• .dgc
• .dit
• .djvu
• .dng
• .doc
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .drf
• .drw
• .dsr
• .dtd
• .dwg
• .dxb
• .dxf
• .dxg
• .edb
• .eml
• .eps
• .erbsql
• .erd
• .exf
• .fdb
• .ffd
• .fff
• .fh
• .fhd
• .fif
• .fla
• .flac
• .flv
• .flvv
• .fpx
• .fxg
• .gif
• .gray
• .grey
• .groups
• .gry
• .gz
• .h
• .hbk
• .hdd
• .hpp
• .htm
• .html
• .ibank
• .ibd
• .ibz
• .ico
• .ics
• .idf
• .idx
• .iff
• .iif
• .iiq
• .incpas
• .indd
• .java
• .jnt
• .jpe
• .jpeg
• .jpg
• .js
• .kc2
• .kdbx
• .kdc
• .key
• .kpdx
• .kwm
• .laccdb
• .lit
• .log
• .lua
• .m
• .m2ts
• .m3u
• .m4a
• .m4p
• .m4v
• .mapimail
• .max
• .mbx
• .md
• .mdb
• .mdc
• .mdf
• .mdi
• .mef
• .mfw
• .mid
• .mix
• .mkv
• .mlb
• .mmw
• .mny
• .moneywell
• .mos
• .mov
• .mp3
• .mp4
• .mpd
• .mpg
• .mrw
• .msg
• .myd
• .nd
• .ndd
• .ndf
• .nef
• .nk
• .nop
• .nrw
• .ns2
• .ns3
• .ns4
• .nsd
• .nsf
• .nsg
• .nsh
• .nvram
• .nwb
• .nx2
• .nxl
• .nyf
• .oab
• .obd
• .obj
• .obt
• .odb
• .odc
• .odf
• .odg
• .odm
• .odp
• .ods
• .odt
• .ogg
• .oil
• .ord
• .ost
• .otg
• .oth
• .otp
• .ots
• .ott
• .ova
• .p12
• .p7b
• .p7c
• .pab
• .pages
• .par
• .pas
• .pat
• .pcd
• .pct
• .pdb
• .pdd
• .pdf
• .pef
• .pem
• .pfx
• .php
• .pif
• .pl
• .plc
• .plus_muhd
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .prf
• .prn
• .ps
• .psafe3
• .psd
• .pspimage
• .pst
• .ptx
• .pub
• .pwm
• .py
• .qba
• .qbb
• .qbm
• .qbr
• .qbw
• .qbx
• .qby
• .qcow
• .qcow2
• .qed
• .r3d
• .raf
• .rar
• .rat
• .raw
• .rdb
• .rm
• .rpm
• .rtf
• .rvt
• .rw2
• .rwz
• .s3db
• .safe
• .sas7bdat
• .sav
• .save
• .say
• .sd0
• .sda
• .sdf
• .sitx
• .sldm
• .sldx
• .sql
• .sqlite
• .sqlite3
• .sqlitedb
• .sr
• .srf
• .srt
• .srw
• .st4
• .st5
• .st6
• .st7
• .st8
• .stc
• .std
• .sti
• .stl
• .stm
• .stw
• .stx
• .svg
• .swf
• .swm
• .sxc
• .sxd
• .sxg
• .sxi
• .sxm
• .sxw
• .tar
• .tex
• .tga
• .thm
• .tib
• .tlg
• .txt
• .vbox
• .vcf
• .vdi
• .veg
• .vhd
• .vhdx
• .vib
• .vmdk
• .vmsd
• .vmx
• .vmxf
• .vob
• .vsc
• .vsd
• .wab
• .wad
• .wallet
• .wav
• .waw
• .wb2
• .wbk
• .wda
• .wma
• .wmv
• .wpd
• .wps
• .x11
• .x3f
• .xis
• .xla
• .xlam
• .xlk
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xmod
• .ycbcra
• .zip
• .zipx
• .zpf

It appends the following extension to the file name of the encrypted files:

• .jaff

It drops the following file(s) as ransom note:

• {path of encrypted files}\ReadMe.bmp
• {path of encrypted files}\ReadMe.html
• {path of encrypted files}\ReadMe.txt