El ransomware está listo para empezar a codificar archivos y directorios del directorio raíz web del servidor y sólo dentro del directorio de raíces web del servidor.

El ransomware se autodestruirá al correr, lo que significa que sólo tienes una oportunidad de descifrar tus datos.

Tenga también en cuenta que cada archivo de descifrado tiene una sal generada exclusivamente utilizada en el cifrado y como tal no puede ser reemplazada con otro archivo de descifrado.

Probada en XAMPP para Windows v7. 4.3 (64-bits) con PHP v7. 4.3.

Hecho con fines educativos. Espero que ayude!

Fuente: https://github.com/ivan-sincek/php-ransomware