Ransom.MSIL.CRYPONY.THBOHAI

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It encrypts files found in specific folders.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware adds the following processes:

• {malware directory}\{malware file name}.exe

Process Termination

This Ransomware terminates the following processes if found running in the affected system's memory:

• OllyDbg
• SbieCtrl
• mbam
• taskmgr
• HijackThis
• Virtual PC
• TEMemoryScanner

Other Details

This Ransomware encrypts files with the following extensions:

• .rd4
• .rd5
• .rdb
• .rdl
• .rdx
• .rec
• .rgb
• .rle
• .rmi
• .rpb
• .rpd
• .rpm
• .rpt
• .rtf
• .aac
• .a3w
• .abk
• .abr
• .ace
• .acr
• .act
• .adf
• .adm
• .adp
• .adr
• .aif
• .ani
• .ans
• .ape
• .apk
• .arc
• .arj
• .asc
• .asf
• .asp
• .ato
• .aty
• .avi
• .axx
• .b3d
• .b64
• .bak
• .bas
• .bat
• .bfc
• .bin
• .bk2
• .bmp
• .bnk
• .bps
• .bpt
• .brk
• .btoa
• .bv1
• .bwp
• .bz2
• .cab
• .cal
• .cam
• .cas
• .cbl
• .cbt
• .cda
• .cdr
• .cdt
• .cfb
• .cfg
• .cfl
• .cfm
• .cgm
• .chk
• .cl3
• .cl4
• .cla
• .clg
• .clk
• .cll
• .clo
• .clp
• .clr
• .cls
• .cmd
• .cmv
• .cnt
• .cpl
• .cne
• .cnf
• .cnv
• .cob
• .cod
• .com
• .cpe
• .cpi
• .cpp
• .cpt
• .cr2
• .crd
• .crt
• .crw
• .csv
• .css
• .cue
• .cur
• .cv5
• .cvi
• .cvs
• .cvx
• .cxf
• .cxx
• .daa
• .daf
• .dat
• .db2
• .dbc
• .dbf
• .dbk
• .dbm
• .dbo
• .dbq
• .dbt
• .dbv
• .dbw
• .dbx
• .dcm
• .dcr
• .dcx
• .dds
• .deb
• .dev
• .dib
• .dif
• .djvu
• .dll
• .dmo
• .dmp
• .dmd
• .dmf
• .dms
• .dne
• .dng
• .doc
• .docx
• .dos
• .dot
• .drv
• .drw
• .dt_
• .dta
• .dtd
• .dtf
• .dtm
• .dun
• .dxf
• .dxn
• .dxr
• .dyn
• .dwf
• .dwg
• .ecw
• .eeb
• .eef
• .eft
• .ega
• .elg
• .emf
• .eml
• .emu
• .enc
• .end
• .eng
• .env
• .epg
• .eps
• .eqn
• .erd
• .erm
• .err
• .esh
• .evt
• .ex3
• .exc
• .exd
• .ext
• .fcp
• .fdf
• .fes
• .ffa
• .fff
• .ffl
• .ffo
• .fft
• .ffx
• .fits
• .flac
• .flv
• .fnd
• .fon
• .fpb
• .fpr
• .fpx
• .fqy
• .fr3
• .frc
• .frm
• .fro
• .frp
• .frs
• .frt
• .frx
• .frz
• .fsc
• .fsh
• .gho
• .gif
• .gr2
• .gr3
• .gra
• .grb
• .grf
• .grp
• .hbk
• .hdl
• .hdr
• .hdx
• .hex
• .hfi
• .hgl
• .hhh
• .hhp
• .hlp
• .hpgl
• .hqx
• .hsq
• .hss
• .hst
• .hta
• .htm
• .html
• .htt
• .k2p
• .ica
• .icb
• .icc
• .ice
• .icl
• .icm
• .icn
• .ico
• .ics
• .idb
• .idd
• .ide
• .idf
• .idq
• .idx
• .iff
• .ifo
• .ima
• .img
• .inf
• .ini
• .ins
• .ipd
• .ipf
• .iso
• .iw44
• .iwa
• .j2k
• .jar
• .jas
• .jef
• .jng
• .jp2
• .jpg
• .jpc
• .jpeg
• .jpm
• .jsb
• .jsd
• .jse
• .jsh
• .jsl
• .jsm
• .jsp
• .jss
• .json
• .jtf
• .jtk
• .jtp
• .jwl
• .jzz
• .kar
• .kbc
• .kdc
• .kdp
• .kfx
• .kye
• .lbm
• .ldf
• .lgc
• .lha
• .lib
• .log
• .lnk
• .lwf
• .lwp
• .lzh
• .mac
• .mbx
• .mcd
• .mda
• .mdb
• .mde
• .mdf
• .mdl
• .mdm
• .mdn
• .mdp
• .mdt
• .mdw
• .mdx
• .mdz
• .meb
• .med
• .mem
• .mht
• .mid
• .mim
• .mix
• .mk3d
• .mka
• .mks
• .mkv
• .mme
• .mng
• .mod
• .mov
• .mp1
• .mp2
• .mp3
• .mpp
• .mpg
• .mrw
• .msc
• .msi
• .msn
• .msp
• .mtf
• .mtm
• .mtv
• .mtw
• .mul
• .mup
• .mus
• .mvb
• .mve
• .mvf
• .mwp
• .mxd
• .mxt
• .myd
• .n64
• .na2
• .nab
• .nap
• .ndf
• .nds
• .ndx
• .nef
• .nes
• .neta
• .nfo
• .nil
• .ngf
• .ngg
• .nhf
• .nil
• .nlb
• .nld
• .nlm
• .nmi
• .nol
• .now
• .nra
• .nrb
• .nrg
• .ns2
• .ns5
• .nso
• .num
• .nzb
• .oca
• .ocx
• .ogg
• .ogm
• .olb
• .old
• .ole
• .oli
• .orf
• .ori
• .qtif
• .otl
• .pab
• .pak
• .pbd
• .pbf
• .pbk
• .pbl
• .pbm
• .pbr
• .pbi
• .pbo
• .pbt
• .pcd
• .pcx
• .pda
• .pdb
• .pdd
• .pdf
• .pdl
• .pds
• .pdv
• .pdw
• .pef
• .pgm
• .php
• .pic
• .pict
• .pif
• .pjf
• .pkg
• .plb
• .plc
• .pld
• .plg
• .pli
• .pll
• .plm
• .pln
• .plr
• .pls
• .plt
• .ply
• .png
• .pot
• .pp4
• .pp5
• .ppa
• .ppb
• .ppd
• .ppf
• .ppi
• .ppl
• .ppm
• .ppo
• .pps
• .ppt
• .ppz
• .ps2
• .psd
• .psp
• .pst
• .pwa
• .pwd
• .pwf
• .pwl
• .pwp
• .pwz
• .pxl
• .pyc
• .pyd
• .pyw
• .pza
• .pzd
• .pzl
• .pzo
• .pzp
• .pzs
• .pzt
• .pzx
• .qic
• .qxd
• .qxl
• .qxt
• .raf
• .ram
• .rar
• .ras
• .rd1
• .rd3
• .rwz

Ransomware Routine

This Ransomware encrypts files found in the following folders:

• C:\Program Data
• C:\Users

It appends the following extension to the file name of the encrypted files:

• .crypted_pony_test_build_xxx_xxx_xxx_xxx_xxx

It leaves text files that serve as ransom notes containing the following text:

• {Encrypted Directory}\IF_YOU_WANT_TO_GET_ALL_YOUR_FILES_BACK_PLEASE_READ_THIS.HTML