Jaff ransomware se propagan a través de la red de bots Necurs, que antes de distribuía al ransomware Locky
Como la mayoría de las familias ransomware, Jaff cambia el nombre de los archivos que cifra, añadiendo la extensión «.jaff«. Al infectar un sistema, también agrega las notas de rescate basadas en imágenes, HTML y Texto respectivamente: ReadMe.bmp, ReadMe.htm, ReadMe.txt