JAFF und JAFF DECRYPTOR sind Weiterentwicklungen der Wannacry-Ransomware, nur mit erweiterten Funktionen.

 

Beide werden über Spam-E-Mails (mit schädlichen Anhängen) verbreitet.

Jede E-Mail enthält eine HTA-Datei, die bei Ausführung eine JavaScript-Datei ("closed.js") extrahiert und im Ordner "% temp%" auf dem System ablegt. Die Javascript-Datei extrahiert eine ausführbare Datei mit einem zufälligen Namen und führt sie aus. Die ausführbare Datei beginnt dann mit der Verschlüsselung von Dateien mithilfe der RSA-Verschlüsselung.

 Die obige HTA-Datei extrahiert auch eine DOCX-Datei.

 

Diese Datei ist beschädigt und daher erhalten Sie beim Öffnen eine Fehlermeldung. Dies wurde erstellt, um Opfer glauben zu machen, dass der Download von E-Mail-Anhängen fehlgeschlagen ist.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

​

 

Nach der Verschlüsselung generiert JAFF .txt_files  (beide mit zufälligen Zeichen benannt) und platziert sie in allen Ordnern, die verschlüsselte Dateien enthalten.

​

JAFF fügt außerdem .WLU oder .SVN an das Ende jeder Datei an.

​

Eines der Hauptmerkmale von Jaff und Jaff Decryptor ist die Fähigkeit, offline (ohne Internetverbindung) zu arbeiten.

 

 

 

 

 

 

 

 

 

 

 

​

​

​

​

​

​

​

​

​

​

​

​

​

​

 

Wie oben erwähnt, werden Dateien mit RSA (einem asymmetrischen Verschlüsselungsalgorithmus) verschlüsselt und daher werden während des Verschlüsselungsprozesses ein öffentlicher (Verschlüsselung) und ein privater (Entschlüsselung) Schlüssel generiert. Eine Entschlüsselung ohne den privaten Schlüssel ist nicht möglich. Darüber hinaus wird auch der private Schlüssel mit AES-Verschlüsselung verschlüsselt, was die Situation noch schlimmer macht. Wie bei der Dateiverschlüsselung deaktiviert Jaff die Windows-Starthilfe, löscht Volume-Schattenkopien und ändert die BootStatusPolicy.

 

​​

Der Benutzer kann auf dem PC eine Datei !!!!README_FOR_SAVE FILES.txt oder !!!!README_FOR_SAVE FILES.bmp oder !!!!README_FOR_SAVE FILES.html finden , die eine Nachricht mit der Adresse_cc781905-5cde enthält -3194-bb3b-136bad5cf58d_a eine Webseite zum Kauf des Schlüssels und zum anschließenden Herunterladen eines Entschlüsselers.

 

​

​​

​

​

​

​

​​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​​

​

​

​

​

​

Wie entschlüsselt man mit Jaff / Jaff Decryptor verschlüsselte Dateien? 

Können Sie meine Daten wiederherstellen?

​

Ja, wir können alle Ihre Dateien wiederherstellen!! 

​

Schreiben Sie uns eine E-Mail aninfo@eliminacryptolocker.com Anhängen verschlüsselter Dateien und Ihrer Mobiltelefonnummer;

 

Wir werden Ihnen so schnell wie möglich antworten!

​

​