JAFF y JAFF DECRYPTOR son evoluciones del ransomware Wannacry, solo que con características más avanzadas.

 

Ambos se distribuyen a través de correos electrónicos no deseados (con archivos adjuntos maliciosos).

Cada correo electrónico contiene un archivo HTA que, cuando se ejecuta, extrae un archivo JavaScript ("closed.js") y lo coloca en el sistema en la carpeta "% temp%". El archivo Javascript extrae un ejecutable con un nombre aleatorio y lo ejecuta. Luego, el ejecutable comienza a cifrar archivos mediante el cifrado RSA.

 El archivo HTA anterior también extrae un archivo DOCX.

 

Este archivo está dañado y, por lo tanto, obtendrá un error cuando lo abra. Esto se crea para engañar a las víctimas haciéndoles creer que la descarga de los archivos adjuntos de correo electrónico ha fallado.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

​

 

Después del cifrado, JAFF genera .txt_files  (ambos nombrados con caracteres aleatorios), colocándolos en todas las carpetas que contienen archivos cifrados.

​

JAFF también agrega .WLU o .SVN al final de cada archivo.

​

Una de las principales características de Jaff y Jaff Decryptor es la capacidad de trabajar sin conexión (sin conexión a Internet).

 

 

 

 

 

 

 

 

 

 

 

​

​

​

​

​

​

​

​

​

​

​

​

​

​

 

Como se mencionó anteriormente, los archivos se cifran mediante RSA (un algoritmo de cifrado asimétrico) y, por lo tanto, se genera una clave pública (cifrado) y privada (descifrado) durante el proceso de cifrado. El descifrado sin la clave privada es imposible. Además, la clave privada también se cifra mediante el cifrado AES, lo que empeora aún más la situación. Al igual que con el cifrado de archivos, Jaff desactiva la reparación de inicio de Windows, borra las instantáneas de volumen y cambia BootStatusPolicy.

 

​​

El usuario puede encontrar en la PC un archivo, !!!!README_FOR_SAVE FILES.txt o !!!!README_FOR_SAVE FILES.bmp o !!!!README_FOR_SAVE FILES.html que contiene un mensaje dirigido a_cc781905- 5cde -3194-bb3b-136bad5cf58d_a una página web para comprar la clave y luego descargar un descifrador.

 

​

​​

​

​

​

​

​​

​

​

​

​

​

​

​

​

​

​

​

​

​

​

​​

​

​

​

​

​

¿Cómo descifrar archivos cifrados por Jaff / Jaff Decryptor? 

¿Puedes recuperar mis datos?

​

¡Sí, podemos recuperar todos sus archivos! 

​

Escríbanos un correo electrónico ainfo@eliminacryptolocker.com adjuntar archivos cifrados y su número de teléfono móvil;

 

¡Te responderemos lo más pronto posible!

​

​