RANSOM_CRYPAURA.RVGA

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware drops a copy of itself in the following folders using different file names:

• %ProgramData%\Microsofts\Windows NT\svchost.exe

(Note: %ProgramData% is the Program Data folder, where it usually is C:\Program Files in Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\ProgramData in Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

It adds the following mutexes to ensure that only one of its copies runs at any one time:

• {16 Character ID}_Windows_Defender

Autostart Technique

This Ransomware adds the following registry entries to enable its automatic execution at every system startup:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MS Common User Interface = "%ProgramData%\Microsofts\Windows NT\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*MS Common User Interface = "%ProgramData%\Microsofts\Windows NT\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MS Common User Interface Updater = "{malware path}\{malware filename}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*MS Common User Interface Updater = "{malware path}\{malware filename}.exe"

Process Termination

This Ransomware terminates the following processes if found running in the affected system's memory:

• These are database related programs:
  • msftesql.exe
  • sqlagent.exe
  • sqlbrowser.exe
  • sqlservr.exe
  • sqlwriter.exe
  • oracle.exe
  • ocssd.exe
  • dbsnmp.exe
  • synctime.exe
  • mydesktopqos.exe
  • agntsvc.exe
  • isqlplussvc.exe
  • xfssvccon.exe
  • mydesktopservice.exe
  • ocautoupds.exe
  • agntsvc.exe
  • agntsvc.exe
  • agntsvc.exe
  • encsvc.exe
  • firefoxconfig.exe
  • tbirdconfig.exe
  • ocomm.exe
  • mysqld.exe
  • mysqld-nt.exe
  • mysqld-opt.exe
  • dbeng50.exe
  • sqbcoreservice.exe

Dropping Routine

This Ransomware drops the following files:

• {folder of encrypted files}\# !!!HELP_FILE!!! #.TXT - Ransom Note
• %Application Data%\Microsoft\MSDN\windowsidx.prftmp

(Note: %Application Data% is the Application Data folder, where it usually is C:\Documents and Settings\{user name}\Application Data on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Roaming on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

Download Routine

This Ransomware accesses the following websites to download files:

• http://{BLOCKED}.{BLOCKED}.87.201/js/other_scripts/get.php

Other Details

This Ransomware encrypts files with the following extensions:

• .3G2
• .3GP
• .7Z
• .AB4
• .ACH
• .ADB
• .ADS
• .AIT
• .AL
• .APJ
• .ASF
• .ASM
• .ASP
• .ASX
• .BACK
• .BANK
• .BGT
• .BIK
• .BKF
• .BKP
• .BPW
• .C
• .CDF
• .CDR
• .CDX
• .CE1
• .CE2
• .ODF
• .ODG
• .ODP
• .ODS
• .OIL
• .ONE
• .OTH
• .OTP
• .OTS
• .P12
• .P7B
• .P7C
• .PAS
• .PAT
• .PBO
• .PCT
• .PHP
• .PIP
• .PLC
• .POT
• .POTM
• .POTX
• .PPAM
• .PPS
• .PPSM
• .PPSX
• .PRF
• .PSAFE3
• .PSPIMAGE
• .PUB
• .PUZ
• .PY
• .QBA
• .QBW
• .R3D
• .RAF
• .RAR
• .RAT
• .RM
• .RWZ
• .SAS7BDAT
• .SAY
• .SD0
• .SDA
• .SNP
• .SRF
• .SRT
• .ST4
• .ST5
• .ST6
• .ST7
• .ST8
• .STC
• .STD
• .STI
• .STX
• .SXC
• .SXI
• .SXM
• .VOB
• .VSX
• .VTX
• .WAV
• .WB2
• .WLL
• .WMV
• .WPD
• .X11
• .XLA
• .XLAM
• .XLB
• .XLL
• .XLM
• .XLR
• .XLSB
• .XLT
• .XLTM
• .XLTX
• .M4A
• .WMA
• .D3DBSP
• .XLW
• .XPP
• .XSN
• .YUV
• .ZIP
• .SIE
• .UNREC
• .SCAN
• .SUM
• .T13
• .T12
• .QDF
• .TAX
• .PKPASS
• .BC6
• .BC7
• .SIDN
• .SIDD
• .MDDATA
• .ITL
• .ICXS
• .HVPL
• .HPLG
• .HKDB
• .MDBACKUP
• .SYNCDB
• .GHO
• .CAS
• .WMO
• .ITM
• .SB
• .FOS
• .MOV
• .VDF
• .ZTMP
• .SIS
• .SID
• .NCF
• .MENU
• .LAYOUT
• .DMP
• .BLOB
• .ESM
• .VCF
• .VTF
• .DAZIP
• .FPK
• .MLX
• .KF
• .IWD
• .VPK
• .TOR
• .PSK
• .RIM
• .W3X
• .FSH
• .NTL
• .ARCH00
• .LVL
• .SNX
• .CFR
• .FF
• .VPP_PC
• .LRF
• .M2
• .MCMETA
• .VFS0
• .MPQGE
• .DB0
• .DBA
• .ROFL
• .HKX
• .BAR
• .UPK
• .DAS
• .LITEMOD
• .ASSET
• .FORGE
• .BSA
• .APK
• .RE4
• .LBF
• .SLM
• .EPK
• .RGSS3A
• .PAK
• .BIG
• .WALLET
• .WOTREPLAY
• .XXX
• .DESC
• .M3U
• .JS
• .RB
• .1CD
• .DBF
• .DT
• .CF
• .CFU
• .MXL
• .EPF
• .KDBX
• .VRP
• .GRS
• .GEO
• .ST
• .PFF
• .MFT
• .EFD
• .3DM
• .3DS
• .RIB
• .MA
• .SLDASM
• .SLDPRT
• .MAX
• .BLEND
• .LWO
• .LWS
• .M3D
• .MB
• .OBJ
• .X
• .X3D
• .MOVIE
• .BYU
• .C4D
• .FBX
• .DGN
• .DWG
• .4DB
• .4DL
• .4MP
• .ABS
• .ACCDB
• .ACCDC
• .ACCDE
• .ACCDR
• .ACCDT
• .ACCDW
• .ACCFT
• .ADN
• .A3D
• .ADP
• .AFT
• .AHD
• .ALF
• .ASK
• .AWDB
• .AZZ
• .BDB
• .BND
• .BOK
• .THUMB
• .TJP
• .TM2
• .TN
• .TPI
• .UFO
• .UGA
• .USERTILE-MS
• .VDA
• .VFF
• .VPE
• .VST
• .WB1
• .WBC
• .WBD
• .WBM
• .WBMP
• .WBZ
• .WDP
• .WEBP
• .WPB
• .WPE
• .WVL
• .X3F
• .Y
• .YSP
• .ZIF
• .CDR4
• .CDR6
• .CDRW
• .JPEG
• .DJVU
• .PDF
• .DDOC
• .CSS
• .PPTM
• .RAW
• .CPT
• .JPG
• .JPE
• .JP2
• .PCX
• .PDN
• .PNG
• .PSD
• .TGA
• .TIFF
• .TIF
• .HDP
• .XPM
• .AI
• .PS
• .WMF
• .EMF
• .ANI
• .APNG
• .FLC
• .FB2
• .FB3
• .FLI
• .MNG
• .SMIL
• .SVG
• .MOBI
• .SWF
• .HTML
• .XLS
• .XLSX
• .XLSM
• .XHTM
• .MRWREF
• .XF
• .PST
• .BD
• .GZ
• .MKV
• .XML
• .XMLX
• .DAT
• .MCL
• .MTE
• .CFG
• .MP3
• .BTR
• .BAK
• .BACKUP
• .CDB
• .CKP
• .CLKW
• .CMA
• .DACONNECTIONS
• .DACPAC
• .DAD
• .DADIAGRAMS
• .DAF
• .DASCHEMA
• .DB
• .DB-SHM
• .DB-WAL
• .DB2
• .DB3
• .DBC
• .DBK
• .DBS
• .DBT
• .DBV
• .DBX
• .DCB
• .DCT
• .DCX
• .DDL
• .DF1
• .DMO
• .DNC
• .DP1
• .DQY
• .DSK
• .DSN
• .DTA
• .DTSX
• .DXL
• .ECO
• .ECX
• .EDB
• .EMD
• .EQL
• .FCD
• .FDB
• .FIC
• .FID
• .FM5
• .FMP
• .FMP12
• .FMPSL
• .FOL
• .FP3
• .FP4
• .FP5
• .FP7
• .FPT
• .FZB
• .FZV
• .GDB
• .GWI
• .HDB
• .HIS
• .IB
• .IDC
• .IHX
• .ITDB
• .ITW
• .JTX
• .KDB
• .LGC
• .MAQ
• .MDB
• .MDBHTML
• .MDF
• .MDN
• .MDT
• .MRG
• .MUD
• .MWB
• .S3M
• .MYD
• .NDF
• .NS2
• .NS3
• .NS4
• .NSF
• .NV2
• .NYF
• .OCE
• .ODB
• .OQY
• .ORA
• .ORX
• .OWC
• .OWG
• .OYX
• .P96
• .P97
• .PAN
• .PDB
• .PDM
• .PHM
• .PNZ
• .PTH
• .PWA
• .QPX
• .QRY
• .QVD
• .RCTD
• .RDB
• .RPD
• .CER
• .CFP
• .CLASS
• .CLS
• .CMT
• .CPI
• .CPP
• .CRAW
• .CRT
• .CRW
• .CS
• .CSH
• .CSL
• .CSV
• .DAC
• .DBR
• .DDD
• .DER
• .DES
• .DGC
• .DNG
• .DRF
• .K2P
• .DTD
• .DXG
• .EBD
• .EML
• .EXF
• .FFD
• .FFF
• .FH
• .FHD
• .FLA
• .FLAC
• .FLV
• .FM
• .GRAY
• .GREY
• .GRW
• .GRY
• .H
• .HPP
• .IBD
• .IIF
• .INDD
• .JAVA
• .KEY
• .LACCDB
• .LUA
• .M
• .M4V
• .MAF
• .MAM
• .MAR
• .MAW
• .MDC
• .MDE
• .MFW
• .MMW
• .MP4
• .MPG
• .MPP
• .MRW
• .MSO
• .NDD
• .NEF
• .NK2
• .NSD
• .NSG
• .NSH
• .NWB
• .NX1
• .NX2
• .ODC
• .RSD
• .SBF
• .SDB
• .SDF
• .SPQ
• .SQB
• .STP
• .SQL
• .SQLITE
• .SQLITE3
• .SQLITEDB
• .STR
• .TCX
• .TDT
• .TE
• .TEACHER
• .TRM
• .UDB
• .USR
• .V12
• .VDB
• .VPD
• .WDB
• .WMDB
• .XDB
• .XLD
• .XLGC
• .ZDB
• .ZDC
• .CDR3
• .PPT
• .PPTX
• .1ST
• .ABW
• .ACT
• .AIM
• .ANS
• .APT
• .ASCII
• .ASE
• .ATY
• .AWP
• .AWT
• .AWW
• .BBS
• .BDP
• .BDR
• .BEAN
• .BIB
• .BNA
• .BOC
• .BTD
• .BZABW
• .CHART
• .CHORD
• .CNM
• .CRD
• .CRWL
• .CYI
• .DCA
• .DGS
• .DIZ
• .DNE
• .DOC
• .DOCM
• .DOCX
• .DOCXML
• .DOCZ
• .DOT
• .DOTM
• .DOTX
• .DSV
• .DVI
• .DX
• .EIO
• .EIT
• .EMAIL
• .EMLX
• .EPP
• .ERR
• .ETF
• .ETX
• .EUC
• .FADEIN
• .FAQ
• .FBL
• .FCF
• .FDF
• .FDR
• .FDS
• .FDT
• .FDX
• .FDXT
• .FES
• .FFT
• .FLR
• .FODT
• .FOUNTAIN
• .GTP
• .FRT
• .FWDN
• .FXC
• .GDOC
• .GIO
• .GPN
• .GTHR
• .GV
• .HBK
• .HHT
• .HS
• .HTC
• .HWP
• .HZ
• .IDX
• .IIL
• .IPF
• .JARVIS
• .JIS
• .JOE
• .JP1
• .JRTF
• .KES
• .KLG
• .KNT
• .KON
• .KWD
• .LATEX
• .LBT
• .LIS
• .LIT
• .LNT
• .LP2
• .LRC
• .LST
• .LTR
• .LTX
• .LUE
• .LUF
• .LWP
• .LXFML
• .LYT
• .LYX
• .MAN
• .MAP
• .MBOX
• .MD5TXT
• .ME
• .MELL
• .MIN
• .MNT
• .MSG
• .MWP
• .NFO
• .NJX
• .NOTES
• .NOW
• .NWCTXT
• .NZB
• .OCR
• .ODM
• .ODO
• .ODT
• .OFL
• .OFT
• .OPENBSD
• .ORT
• .OTT
• .P7S
• .PAGES
• .PFS
• .PFX
• .PJT
• .PLANTUML
• .PRT
• .PSW
• .PU
• .PVJ
• .PVM
• .PWI
• .PWR
• .QDL
• .RAD
• .README
• .RFT
• .RIS
• .RNG
• .RPT
• .RST
• .RT
• .RTD
• .RTF
• .RTX
• .RUN
• .RZK
• .RZN
• .SAF
• .SAFETEXT
• .SAM
• .SCC
• .SCM
• .SCRIV
• .SCRIVX
• .SCW
• .SDM
• .SDOC
• .SDW
• .SGM
• .SIG
• .SKCARD
• .SLA
• .SLAGZ
• .SLS
• .SMF
• .SMS
• .SSA
• .STRINGS
• .STW
• .STY
• .SUB
• .SXG
• .SXW
• .TAB
• .TDF
• .TEXT
• .THP
• .TLB
• .TM
• .TMD
• .TMV
• .TMX
• .TPC
• .TRELBY
• .TVJ
• .TXT
• .U3D
• .U3I
• .UNAUTH
• .UNX
• .UOF
• .UOT
• .UPD
• .UTF8
• .UNITY
• .UTXT
• .VCT
• .VNT
• .VW
• .WBK
• .WCF
• .WEBDOC
• .WGZ
• .WN
• .WP
• .WP4
• .WP5
• .WP6
• .WP7
• .WPA
• .WPL
• .WPS
• .WPT
• .WPW
• .WRI
• .WSC
• .DXF
• .EGC
• .EP
• .EPS
• .EPSF
• .FH10
• .FH11
• .FH3
• .FH4
• .FH5
• .FH6
• .FH7
• .FH8
• .FIF
• .FIG
• .FMV
• .FT10
• .FT11
• .FT7
• .FT8
• .FT9
• .FTN
• .FXG
• .GDRAW
• .GEM
• .GLOX
• .GSD
• .HPG
• .HPGL
• .HPL
• .IDEA
• .IGT
• .IGX
• .IMD
• .INK
• .LMK
• .MGCB
• .MGMF
• .MGMT
• .MT9
• .MGMX
• .MGTX
• .MMAT
• .MAT
• .OTG
• .OVP
• .OVR
• .PCS
• .PFD
• .PFV
• .PL
• .PLT
• .VRML
• .POBJ
• .PSID
• .RDL
• .SCV
• .SK1
• .SK2
• .SLDDRT
• .SNAGITSTAMPS
• .SNAGSTYLES
• .SSK
• .STN
• .SVF
• .SVGZ
• .SXD
• .TLC
• .TNE
• .UFR
• .VBR
• .VEC
• .VML
• .VSD
• .VSDM
• .VSDX
• .VSTM
• .STM
• .VSTX
• .WPG
• .VSM
• .VAULT
• .XAR
• .XMIND
• .XMMAP
• .YAL
• .ORF
• .OTA
• .OTI
• .OZB
• .OZJ
• .OZT
• .PAL
• .PANO
• .PAP
• .PBM
• .PC1
• .PC2
• .PC3
• .PCD
• .PDD
• .PE4
• .PEF
• .PFI
• .PGF
• .PGM
• .PI1
• .PI2
• .PI3
• .PIC
• .PICT
• .PIX
• .PJPEG
• .PJPG
• .PM
• .PMG
• .PNI
• .PNM
• .PNTG
• .POP
• .PP4
• .PP5
• .PPM
• .PRW
• .PSDX
• .PSE
• .PSP
• .PSPBRUSH
• .PTG
• .PTX
• .PVR
• .PX
• .PXR
• .PZ3
• .PZA
• .PZP
• .PZS
• .Z3D
• .QMG
• .RAS
• .RCU
• .RGB
• .RGF
• .RIC
• .RIFF
• .RIX
• .RLE
• .RLI
• .RPF
• .RRI
• .RS
• .RSB
• .RSR
• .RW2
• .RWL
• .S2MV
• .SAI
• .SCI
• .SCT
• .SEP
• .SFC
• .SFERA
• .SFW
• .SKM
• .SLD
• .SOB
• .SPA
• .SPE
• .SPH
• .SPJ
• .SPP
• .SR2
• .SRW
• .STE
• .SUMO
• .SVA
• .SAVE
• .SSFN
• .T2B
• .TB0
• .TBN
• .TEX
• .TFC
• .TG4
• .THM
• .QBI
• .QBR
• .CNT
• .V30
• .QBO
• .LGB
• .QWC
• .QBP
• .AIF
• .QBY
• .1PA
• .QPD
• .SET
• .ND
• .RTP
• .QBWIN
• .LOG
• .QBBACKUP
• .TMP
• .TEMP1234
• .QBT
• .QBSDK
• .SYNCMANAGERLOGGER
• .ECML
• .QSM
• .QSS
• .QST
• .FX0
• .FX1
• .MX0
• .FPX
• .FXR
• .FIM
• .BETTER_CALL_SAUL
• .BREAKINGBAD
• .HEISENBERG
• .YTBL
• .WSD
• .WSH
• .WTX
• .XBDOC
• .XBPLATE
• .XDL
• .XLF
• .XPS
• .XWP
• .XY3
• .XYP
• .XYW
• .YBK
• .YML
• .ZABW
• .ZW
• .2BP
• .0
• .36
• .3FR
• .411
• .73I
• .8XI
• .9PNG
• .ABM
• .AFX
• .AGIF
• .AGP
• .AIC
• .ALBM
• .APD
• .APM
• .APS
• .APX
• .ARTWORK
• .ARW
• .ASW
• .AVATAR
• .BAY
• .BLKRT
• .BM2
• .BMP
• .BMX
• .BMZ
• .BRK
• .BRN
• .BRT
• .BSS
• .BTI
• .C4
• .CAL
• .CALS
• .CAN
• .CD5
• .CDC
• .CDG
• .CIMG
• .CIN
• .CIT
• .COLZ
• .CPC
• .CPD
• .CPG
• .CPS
• .CPX
• .CR2
• .CT
• .DC2
• .DCR
• .DDS
• .DGT
• .DIB
• .DM3
• .DMI
• .VUE
• .DPX
• .WIRE
• .DRZ
• .DT2
• .DTW
• .DVL
• .ECW
• .EIP
• .ERF
• .EXR
• .FAL
• .FAX
• .FIL
• .FPOS
• .G3
• .GCDP
• .GFB
• .GFIE
• .GGR
• .GIF
• .GIH
• .GIM
• .GMBCK
• .GMSPR
• .SPR
• .SCAD
• .GPD
• .GRO
• .GROB
• .HDR
• .HPI
• .I3D
• .ICN
• .ICPR
• .IIQ
• .INFO
• .INT
• .IPX
• .ITC2
• .IWI
• .J
• .J2C
• .J2K
• .JAS
• .JB2
• .JBIG
• .JBIG2
• .JBMP
• .JBR
• .JFIF
• .JIA
• .JNG
• .JPG2
• .JPS
• .JPX
• .JTF
• .JWL
• .JXR
• .KDC
• .KDI
• .KDK
• .KIC
• .KPG
• .LBM
• .LJP
• .MAC
• .MBM
• .MEF
• .MNR
• .MOS
• .MPF
• .MPO
• .MRXS
• .MYL
• .NCR
• .NCT
• .NLM
• .NRW
• .OC3
• .WALLET
• .OC4
• .OC5
• .OCI
• .OMF
• .OPLC
• .AF2
• .AF3
• .AI
• .ART
• .ASY
• .CDMM
• .CDMT
• .CDMTZ
• .CDMZ
• .CDT
• .CGM
• .CMX
• .CNV
• .CSY
• .CV5
• .CVG
• .CVI
• .CVS
• .CVX
• .CWT
• .CXF
• .DCS
• .DED
• .DESIGN
• .DHS
• .DPP
• .DRW
• .DXB
• .AFS
• .GPG
• .AES
• .ARC
• .PAQ
• .TAR
• .BZ2
• .TGZ
• .DJV
• .CMD
• .BAT
• .BRD
• .SCH
• .DCH
• .DIP
• .VBS
• .MYI
• .FRM
• .ASC
• .LAY6
• .LAY
• .MSLL
• .DOCB
• .MML
• .UOP
• .WKS
• .SLK
• .XLC
• .DIF
• .HWP
• .UOT
• .PEM
• .CSR

It renames encrypted files using the following names:

• {16 Character ID}{Random 16 Characters}.REVENGE

It does the following:

• It deletes shadow copies using the following commands:
  • /C vssadmin Delete Shadows /All /Quiet
• It disables Volume Shadow Service using the following command:
  • net stop vss
• It disables Startup Repair from running using the following command:
  • /bcedit /set {default} recoveryenabled No
• It disables or turns off Windows Error Recovery Screen on Startup using the following command:
  • bcdedit /set {default} bootstatuspolicy ignoreallfailures

NOTES:

This ransomware displays the following ransom note: