Μια τροποποιημένη έκδοση του ανοικτού κώδικα ransomware desuCrypt χρησιμοποιείται ως βασικός κώδικας για μια νέα εξάπλωση ransomware που έχει ξεκινήσει. Η νέα παραλλαγή έρχεται με δυο επεκτάσεις την “.insane” και την ”.DEUSCRYPT”.
Όταν εκτελείται το desuCrypt, θα δημιουργηθεί ένα παράθυρο που εμφανίζει την τρέχουσα κατάσταση της διαδικασίας κρυπτογράφησης. Αυτό το παράθυρο θα παραμείνει ανοικτό έως ότου ολοκληρωθεί η κρυπτογράφηση του υπολογιστή από το ransomware.
Σύμφωνα με τον Michael Gillespie, τον δημιουργό του ID-Ransomware , η παραλλαγή .Insane του desuCrypt κρυπτογραφεί αρχεία χρησιμοποιώντας κρυπτογράφηση RC4. Αυτό το κλειδί RC4 κρυπτογραφείται περαιτέρω χρησιμοποιώντας ένα ενσωματωμένο κλειδί RSA-2048 και στη συνέχεια το προσθέτει και αυτό. Ανάλογα με την έκδοση, κατά την κρυπτογράφηση ενός αρχείου το ransomware θα προσθέσει είτε την [Rememberggg@tutanota.com].DEUSCRYPT ή την [Insane@airmail.cc].insane επέκταση στο όνομα του κρυπτογραφημένου αρχείου.
Αφού όλα τα δεδομένα έχουν κρυπτογραφηθεί, στην συνέχεια δημιουργούνται 2 αρχεία .txt το (How_decrypt_files.txt για την παραλλαγή Insane) και (note.txt για την παραλλαγή DeusCrypt). Και οι δύο σημειώσεις λένε στο θύμα να έρθει σε επαφή με τις διευθύνσεις ηλεκτρονικού ταχυδρομείου που αναφέρονται και να διαβάσουν τις οδηγίες πληρωμής.
Ο Michael Gillespie κατάφερε να δημιουργήσει έναν αποκρυπτογράφο για τις δύο παραλλαγές του desuCrypt. Για να χρησιμοποιήσετε το πρόγραμμα, θα πρέπει να έχετε το ίδιο αρχείο στην κρυπτογραφημένη και μη κρυπτογραφημένη μορφή του και το αρχείο πρέπει να είναι μεγαλύτερο από 10MB. Αυτά στην συνέχεια θα χρησιμοποιηθούν για να μάθουν το κλειδί αποκρυπτογράφησης. Μόλις ανακτηθεί το κλειδί αποκρυπτογράφησης, ο αποκρυπτογράφος μπορεί να χρησιμοποιηθεί για να ανακτήσει όλα τα υπόλοιπα αρχεία.
