O especialista Malwarebytes Jerome Segura confirmou que a ameaça malicioso é baixado de sites que foram alterados pelos cibercriminosos, a fim de acolher a parte maliciosa. A ameaça é recebida através de um mecanismo de redirecionamento dinâmico conhecido como assetdigitalmarketing[.]com/redirect[.]php. A vítima do ataque recebe um arquivo que finge ser um instalador do Google Chrome. Quando este arquivo malicioso é lançado, ele inicia um processo de criptografia e, em seguida, em seguida, uma mensagem de resgate é liberado como a operação é concluída.
Os usuários podem, na verdade, recuperar dados sem pagar o resgate no caso, é uma das variantes mais antigas do que o malware. Este, porém, não exclui as cópias de sombra dos arquivos que foram criados pelo serviço Volume Shadow o Windows. Os arquivos também podem ser recuperados por programas de aplicação, tais como Sombra Explorador.
As novas versões do Critroni apresenta um período de carência estendido (96 horas contra 72 horas antes que) em que as vítimas podem fazer o pagamento bitcoin. Contudo, existe também uma alteração dos pedidos financeiras. Nas versões mais recentes, Critroni está pedindo algumas centenas de dólares que se opõem à soma de menos de 50 USD exigiu no verão de 2014. A nova mensagem versão resgate Critroni ainda vem em muitas línguas tão bem e ainda oferece a opção para a descodificação de cinco itens de boa-fé.