Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
149s -
max time network
124s -
platform
windows7_x64 -
resource
win7-20240708-en -
resource tags
arch:x64arch:x86image:win7-20240708-enlocale:en-usos:windows7-x64system -
submitted
22/08/2024, 00:12
Static task
static1
1 signatures
Behavioral task
behavioral1
Sample
b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe
Resource
win7-20240708-en
windows7-x64
9 signatures
150 seconds
Behavioral task
behavioral2
Sample
b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe
Resource
win10v2004-20240802-en
windows10-2004-x64
9 signatures
150 seconds
General
-
Target
b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe
-
Size
244KB
-
MD5
b5978f13be4a44df3d9f8dd51a17d2be
-
SHA1
99672bc361bb929bef70636bae885a14070351d2
-
SHA256
0e0cde573dda2547fb699e0c3d35448730730ba66c9212ed8830628fdb8b03f8
-
SHA512
1121223ea11fc5c2c8c1354e948c6631ac86daa88de4ddb1f7f84e9f232ca3b7df30cc65381f769e3af6f4b32f17ad7e6904347bb57f3584cfa8c363ce2742aa
-
SSDEEP
6144:gtvP3+FC9EOSApdlZaUlZxepbGIff736d/F6RQzeVIOAIONEt0CWLLnp5rW:gtH3+M9kkdlYU7xepbGIff7kVNEyCWzS
Score
10/10
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 1 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" piaidad.exe -
Executes dropped EXE 1 IoCs
pid Process 584 piaidad.exe -
Loads dropped DLL 2 IoCs
pid Process 1968 b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe 1968 b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe -
Adds Run key to start application 2 TTPs 50 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /O" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /S" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /D" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /v" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /W" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /y" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /s" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /j" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /b" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /o" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /L" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /E" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /u" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /d" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /l" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /x" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /t" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /Z" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /p" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /g" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /A" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /N" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /e" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /B" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /q" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /I" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /h" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /H" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /U" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /M" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /Y" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /z" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /n" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /K" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /G" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /f" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /w" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /F" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /J" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /Q" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /m" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /V" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /i" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /R" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /C" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /c" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /P" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /X" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /T" piaidad.exe Set value (str) \REGISTRY\USER\S-1-5-21-2958949473-3205530200-1453100116-1000\Software\Microsoft\Windows\CurrentVersion\Run\piaidad = "C:\\Users\\Admin\\piaidad.exe /k" piaidad.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
System Location Discovery: System Language Discovery 1 TTPs 2 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language piaidad.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe 584 piaidad.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
pid Process 1968 b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe 584 piaidad.exe -
Suspicious use of WriteProcessMemory 4 IoCs
description pid Process procid_target PID 1968 wrote to memory of 584 1968 b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe 31 PID 1968 wrote to memory of 584 1968 b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe 31 PID 1968 wrote to memory of 584 1968 b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe 31 PID 1968 wrote to memory of 584 1968 b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe 31
Processes
-
C:\Users\Admin\AppData\Local\Temp\b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe"C:\Users\Admin\AppData\Local\Temp\b5978f13be4a44df3d9f8dd51a17d2be_JaffaCakes118.exe"1⤵
- Loads dropped DLL
- System Location Discovery: System Language Discovery
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:1968 -
C:\Users\Admin\piaidad.exe"C:\Users\Admin\piaidad.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:584
-
Network
MITRE ATT&CK Enterprise v15
Privilege Escalation
Boot or Logon Autostart Execution
1Registry Run Keys / Startup Folder
1Defense Evasion
Hide Artifacts
1Hidden Files and Directories
1Modify Registry
2Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
244KB
MD5cd3c66adc5e6907d0788296db374bd2c
SHA1ce42c92a36ca61cf23dcdfc0e5a29efabd4fb4e2
SHA2560e7903ff83987931e46a0e06634374629d9c8b65eebd59c50b5a3bfffab156bb
SHA5120a0163f7f25a5a58877a19ffc6fd580e278e39211740baf3fa89146ee0ffcd1df6fc42704d6d2a694635d24742227a4ab0cfbd5030fb18ee914297919099772c