Распространение началось в первой половине июля 2014 года. Распространяется под видом резюме во вложениях в электронной почте. В отличии от более ранней версии BAT.Encoder.2, рассылается исполняемый файл инсталлятора NSIS. При запуске распаковывает свое содержимое и запускает BAT-файл.
Этот троян существенно проще чем BAT.Encoder.2: он тупо убивает данные уже установленного GPG (очень зря!), добавляет в GPG свой ключ и начинает шифровать файлы, а потом их переименовывает. В отличии от второй модификации не генерирует ключи шифрования, использует ключ, который носит с собой.
Существует несколько модификаций, которые отличаются используемыми ключами и дополнительным расширением у файлов.
Описание на сайте Dr.Web