Новый инсталлятор распространяется через фишинговые письма, содержащие ссылку на облачный сервис наподобие MagentaCloud. Ссылка ведет на фотографию предполагаемого претендента на работу и исполняемый файл, замаскированный под резюме в формате PDF. После того, как запускается исполняемый файл с именем наподобие PDFBewerbungsmappe.exe, инсталлятор пытается получить права администратора для изменения главной загрузочной записи. Если это невозможно, устанавливается не требующее подобных прав вымогательское ПО Mischa.
Инфицировав систему, вредонос сканирует компьютер, шифрует хранящиеся на нем файлы с помощью алгоритма AES и добавляет к их имени четырехзначное расширение. К примеру, test.jpg может стать test.jpg.7GP3. Помимо стандартных типов файлов (PNG, JPG, DOCX и пр), Mischa также шифрует файлы .EXE. Вредонос не шифрует файлы, находящиеся в паках \Windows, \$Recycle.Bin, \Microsoft, \Mozilla Firefox, \Opera, \Internet Explorer, \Temp, \Local, \LocalLow и \Chrome.
За восстановление файлов злоумышленник требует от жертвы выплатить выкуп в размере 1,93 биткойна (порядка $875). В настоящее время инструментов, позволяющих расшифровать их без необходимости платить, не существует.
.jpg)
.jpg)