есть два запуска с италии, ждем

1310208 15 \ 0 \ 15 \ 0%

просто меня смущает дллка

она точно стучит?

> <@usernamegg:matrix.bestflowers247.online> sent a file.

пусть мелкор еще проверит на всякий

сек

это же от бена вчерашняя?

1310208 21 \ 0 \ 21 \ 0%

запуски идут

стопну пока

чет странно

у мелкор обычно прям за минуту отстук

```

да, сейчас проверю

пару минут

+

ща

!!! добавить в панель GG

51.222.194.213:46641

51.222.194.213:38463

+

```

1310208 28 \ 0 \ 28 \ 0%

что-то не так

проливаю от буррито

4034120 4 \ 0 \ 4 \ 0% посмотрим стукнет ли от него

ща

а там вообще новые айпишинки зашиты от пики?

или вчерашние

ну я говорил же что могут быть лоченые

`ba072dd8-ed4a-4e4d-9291-7dc5e7390c1`

просто вот с 7 утра смотрю не стучит нифига

> <@usernamegg:matrix.bestflowers247.online> там вообще новые ip зашиты ?

> <@usernamegg:matrix.bestflowers247.online> там вообще новые ip зашиты ?

4034120 9 \ 0 \ 9 \ 0%

da

novie

55к ушло

подожди

по новым(

щас

блин

тачка грузиться

ладно уже

стучит

вот щас запустил

от бена првоеряю

ща тогда js поменяю

может в них дело

бот запуен

и 53 бота в сети

где?

да, 2 бота онлайн

инфру подпили старую сильно

ревесеры сильно уебали туда

> <@cameron777:matrix.org> ```

privet vsem

блин, соксы что-то перестали работать

разбираюсь

> <@usernamegg:matrix.bestflowers247.online> длл новую сделаешь ?

все стопнулось

которые минимум 5-10 дней жить будут

все, вроде заработали

> <@usernamegg:matrix.bestflowers247.online> смысл есть слать ?

> <@usernamegg:matrix.bestflowers247.online> sent a file.

+++

окей

lf

да

ща еще 50к прошлю

запуски с нового js так-то есть

стопну еще

https://illemsauto.com/ потому что с этого домена чет никого

походу домен не везде резолвится

https://antaema.com/hEAB/{random}

давайте с этими сделаем

но что-то все равно с отстуком

KVSZ2: 1310208 40 \ 0 \ 40 \ 0%

пусть мелкор еще раз проверит

а то что-то никого

страшно, если будет потребление CPU подниматься на 20%, во время отстука на сервер?

на 4-х виртуальных ядрах

идут запуски и тишина

Ебать

https://github.com/Krypteria/AtlasLdr

с 7 утра так-то не стучит уже

shas uzhe est' vozmozhnost' zapuskat' dll v pamyati

ага

окей

сейчас вот прокси ставлю

сутчит все

не могу понять почему не стучит у вас

счас x64 exe протестил и Cortex андетект

ну и на вчерашний длл были же запуски сегодня

> <@usernamegg:matrix.bestflowers247.online> нету

сентиль и его друзья тоже

щас уже билд отдам

и вот с 7 утра отстук пропал

до 7 стучало, а после 7 нет уже

и новые дллки тоже как видим не стучат

и не в js дело видимо, так как от двух разных на выдаче поставил

boku_recoded_x64.zip

вот новый плагин только для x64, юзать тоже со слипмаском

от прошаренно 20 запусков и тоже никого

но в конфиге сервера в stage нужно сменить userwx на true

* от прошаренного 20 запусков и тоже никого

только в stage

может не ту дллку на крипт отдали

> <@cameron777:matrix.org> etot online

может вчерашнюю криптанули дллку, которая уже не стучит

* вот новый плагин только для x64, использовать тоже со слипмаском

хотя мелкор говорит, что стучит, странно

> <@cob_crypt_ward:matrix.bestflowers247.online> но в конфиге сервера в stage нужно сменить userwx на true

```

`BGR001::TDXANYWHERE:1122334455667788:f0cd46b3e8d64f7be690b30bf80138ee:0101000000000000aa234a9e2d33da019bae4316cc5d78c000000000080030003000000000000000000000000020000094a7291c1fa80713b620c98c1d0002febd4bc6e9a4fd3dad5bf58acb90ae67c50a001000000000000000000000000000000000000900240054004400580041004e005900570048004500520045005c004200470052003000300031000000000000000000`

```

результат команды

```

весь вывод мне нужен

ввод команды и все логи

```

uje vse

ya rukami zapustil

vezde

BGR001::TDXANYWHERE:1122334455667788:f0cd46b3e8d64f7be690b30bf80138ee:0101000000000000aa234a9e2d33da019bae4316cc5d78c000000000080030003000000000000000000000000020000094a7291c1fa80713b620c98c1d0002febd4bc6e9a4fd3dad5bf58acb90ae67c50a001000000000000000000000000000000000000900240054004400580041004e005900570048004500520045005c004200470052003000300031000000000000000000:bgr010415

+

сек проверяю отстук на новой длке

+

+

+

+++

да

> <@usernameyy:matrix.bestflowers247.online> для каждой архитектуры разный конфиг делать?

hi

привет

нашли в чем проблема была?

PASS: 1f38355f3f5c85ee61f62af079540bb2

dropper_GG15WE_N_f0adda360d2b4ccda11468e026526576_mFBGRWNDn.zip

++

Скинул

все првоерил

все должно быть четко

https://www.securitylab.ru/news/544732.php

https://www.securitylab.ru/news/544732.phphttps://www.securitylab.ru/news/544732.php

https://www.securitylab.ru/news/544732.php

они нас знают

хорошо

и связывают нас с другими лоадерами

что мы гурзили

трафа идет вам хорошо щас

тока вот стучит хуего

Делаю. Постораюсть пораньше выдать сегодня

с новых js 10 запусков и никого

+

`/data/www/PST/BARRACK_OST`

остешки залил

++, да опишусь потом, по сути это теже самые pst, ток с онлаин синхронизацией, а pst это статичный архив

+

* ++, да отпишись потом, по сути это теже самые pst, ток с онлаин синхронизацией, а pst это статичный архив

так то жирыные они должны быть, это лоеры у них там серьезные клиенты

да я смотрю как это распоковать еще

----

ты смтп на автомате греешь ?

из-за смтп в спам летит у меня

пока эксперементирую со спуфом и жду чтобы собрали нагрузку

я походу нашел корень всех зол

и почему боты умирали

и стучало херово

щас тестирую фикс

бен как раз вычистит стаб

+

> <@usernamegg:matrix.bestflowers247.online> из-за чего?

ВОт в этом походу проблема

как раз все проблемы начались когда я увеличил кол-во IP Для бота

причем на наекоторых билдах все окей

а на других херня

и не на каждой тачке краш

кароче дел случая

все зависит от того, что в куске памяти куда стоит указатель

кароче самая обычная сишная проблема

переполнение буфера по факту

щас вот тачку стучит норм

щас последние тесты сделаю и отпишу

+

тьа пиздец

1 ошибка а столько проблем

главное что нашли

то есть походу даже дело не в закерепе

ну касперский едр палит закереп мой, это точно

тестил

его в любом случае надо менять, но боты дохнули не из-за него походу

+

сегодня будут x64 билды на крипт?

да все четко

искоренил эту проблему

щас скину билд бену

нашел что-то, что может ost в pst перевести, взял сервер туда ставлю пока

dropper_GG15WE_N_f0adda360d2b4ccda11468e026526576_mFBGRWNDn.zip

PASS: 0302e6b70f83b147ba8d0e1053772d53

вот новый билд

вместо того?

> <@muaddib6:matrix.org> вместо того?

+

ok, жду

пока постораюсь пробоему совместимости x86 посмотреть

OST2PST (210703)

почему-то ошибка конвертации

ok

37_64.bin

38_64.bin

28D_64.bin

на крипт

счас все будет

++

чет три разных ост попробывал, нифига, ошибка такая же

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

c37_x64.bin

c38_x64.bin

c10d_x64.bin

eti toje na crypt vishe ^

FileCoAuth.exe

FileCoAuth.png

> <@cob_crypt_ward:matrix.bestflowers247.online> хотя необязательно его использовать, можно старый, со старым все тоже ок

> <@cob_crypt_ward:matrix.bestflowers247.online> хотя необязательно его использовать, можно старый, со старым все тоже ок

> <@usernamemm:matrix.bestflowers247.online> sent a file.

> <@cob_crypt_ward:matrix.bestflowers247.online> если кто-то скомпилил с новым плагином, перекомпильте пожалуйста со старым, я новый еще подредактирую, потом его использовать будем

> <@usernamemm:matrix.bestflowers247.online> sent a file.

[15:34:54] RE: пока что ни 1 внц не поднялся. таски выполнялись/, но после синка ничего не происходит

сап пишет мой

> <@ssd:matrix.bestflowers247.online> [15:34:54] RE: пока что ни 1 внц не поднялся. таски выполнялись/, но после синка ничего не происходит

щас гляну

ага, у HVNC сервера лежат

пару минут

у HVNC серваки лежат, может им написать?

а то нет коннекта

к

206.188.196.49

вот этот сервак их лежит

7zFM.exe

скажешь как новые билды, ок?

спасиб

сегодня в каком часу ждать ленды

и че с отстуком в 2 словах

29D_64.bin

попробуй этот

> <@usernameww:matrix.bestflowers247.online> sent a file.

детект будет в рантйме

сек преедлаем

дроппер норм?

> <@usernamejj:matrix.bestflowers247.online> sent a file.

> <@ssd:matrix.bestflowers247.online> и че с отстуком в 2 словах

все четко будет с боатми

решаю с выдачей

29D_64.bin

> <@usernamejj:matrix.bestflowers247.online> sent a file.

да, ок

ты говори могу помочь узнать что надо у соседей

мин15

+

Microsoft.SharePoint.exe

+++

типо по самому exe посмотреть что там?

сча я крипты сделаю и гляну

я не особо реверсер но попробу.

* я не особо реверсер но попробую

да, видел

> <@usernamegg:matrix.bestflowers247.online> dropper_GG15WE_N_f0adda360d2b4ccda11468e026526576_mFBGRWNDn.zip

signed_B7997B444.7z

> <@usernamegg:matrix.bestflowers247.online> sent a file.

на какой язык переписать?

> <@usernamemm:matrix.bestflowers247.online> sent a file.

нет, все ок, счас делаю его сижу

++

OneDriveStandaloneUpdater.exe

+

проверяю

пару минут

нужно до 2мб

я не пролью это на те линки

там ограничения будут

image.png

ага, у бурито тоже детект

песочницу не прошли походу

бен его снимет, но и я щас его сниму

оно палит создание процесса SearchProtocolHost.exe

это эту дллку палит?

просто бен песочницу обходит

при запуске?

и оно нормально продолжает исполнение

> <@usernamegg:matrix.bestflowers247.online> он долгий капец

отпишу, минут 20

ну так чистите дроппер))

делаю уже билд, проверю норм ли

+

> <@usernamegg:matrix.bestflowers247.online> при запуске спалило ?

ну создание процесса

мой этап скачка, запуск, а потом это действия дроппера

и снова седая короче

> <@usernamegg:matrix.bestflowers247.online> этап бурито это скачка, запуск, а потом это действия дроппера

1.7z

Готово

строка - jARzZHyUnsRUwbAXbvlzzfrwCtrsnQICbHNOUipAqCrxBIBzAe

чисто и запустилось с дропа

там бен выдал крипт

+

только ей...

:D

+

firstcoast.net < etot poluchilos zdelat' ?

+

> <@cameron777:matrix.org> https://www.zoominfo.com/c/first-coast-logistics-services-inc/565807610

запустился

+- когда ждать

файл

не смогу наверное, сорян

отойду?

3 запуска есть

ждем как стукнет

стучит

да

могу попробовать крипт x86 сделать

в дллку

> <@cob_crypt_ward:matrix.bestflowers247.online> крашит

cob38

out22.zip

в общем для [86

нужно все отгрузить и это загрузить

этот арсенал кит

отгрузить ВСЕ плагины старые

> <@usernamegg:matrix.bestflowers247.online> а сам bin не будет чистым для инжекта ?

да, тестовая ток

и под десятку

на десятке все ок

явно будет лучше чем голый .bin лить))

пару минут

> <@usernamegg:matrix.bestflowers247.online> сейчас длл есть х86 ?

привет!

https://trenierad.com/1pBo3/{random}

можно js взять у прошаренного

ralfhacker выпускал - https://github.com/RalfHacker/Kerbeus-BOF

++

privet

zapusk dll est'

mozhem cheknut'

vchera zdelali s NN novi target

esho kogo to iz novix stavili ?

140k ушл

* 140k ушло

++

24 \ 10 \ 14 \ 41%

окей

думаю нам серт нужен новый

жестко

в смысле ощущение? Я же тебе это говорил. И не раз

38_64new.bin

Вот в хорса, где я работал до тебя такая же была тема - сто раз ему говорил, а он только через год - такой - так у тебя же работа вторая!!

ok

переделано

возьмёшь в пентест и фиш - буду раньше приходить)

ok

> <@cameron777:matrix.org> etot

yasno

oni chto to zaxodyat itd aktivno)

yasno

наверно поэтому)

PASS: 7ffb15f46c27e176c58870c98fe2f55e

dropper_GG15WE_N_f0adda360d2b4ccda11468e026526576_mFBGRWNDn.zip

для бурито

щас скину бену под траф длку и под перегруз

я процесс если что поменял, должно быть чисто в динамике точно

SearchFilterHost.exe

теперь сюда бот уходит

c38_x64.bin

PASS: bd1fff01d62e4c4e964b639b075416af

dropper_GG_PEREGRUZ2_WE_f0adda360d2b4ccda11468e026526576_y8gsPYf.zip

dropper_SSD_TRAFF_2_f0adda360d2b4ccda11468e026526576_JmCsbbjk.zip

вот еще 2 крипта сможешь сделать

+

> <@usernamemm:matrix.bestflowers247.online> sent a file.

290k ушло

++

не особо что-то запусков

KVSZ2: 1310208 105 \ 1 \ 104 \ 0%

+++

днем 120 запусков потеряли

2% от скачиваний отстукивает

может поднимится процент, но чет слабо

вчера вроде в среднем 8-10% был этот

еще минут 20 буду слать

ага

та пиздец вообще, я ебал такие приколы, щас сам важнгое время

потому что как раз перед отпуском набить сеток

и такая херня ...

щас надо сделать как никогда)

js подписанный на авчеке

https://avcheck.net/id/mkpTyN24Uq3f

4 дедекта есть

ну по дефу чисто там

400k ушло, стопну, сделаю еще соксов для юсы

crashreporter.exe

+

++

+

PowerISOShell.exe

4file_locker.zip

burrito:

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

я отойду на часик поесть, ок?

если x86 попробовать нужно, давай пробовать

NN online ili ushel ?

> <@ssd:matrix.bestflowers247.online> +- когда ждать

)

а какой у него ник?

а то я тоже не знаю как его величать

ну будет веня)

CIBC online)

ok, no ya pro vash DLL nado cheknut' po kobe

* ok, no ya pro vash DLL nado cheknut' po kobe

спасибо

жду от тебя x86 с арсеналом новым

через 10 минут запуще юсу

* ok, no ya pro vash DLL nado cheknut' po kobe

* через 10 минут запущу юсу

davay

net dll on zdelal

kak ya prosil)

38_86.bin

kekhash.txt

win32u.dll

kakuyu nado ?

`Забыл сказать, если система ниже восьмой, необходимо чтоб в папке с dll находилась win32u.dll из папки System32`

mi testiruem

kak zapuskat' ? posledni

aa

nu ta mv pamyati zapuskaetsya ...

* nu tam v pamyati zapuskaetsya ...

shas na win probnu

> <@usernamegg:matrix.bestflowers247.online> вот этот нужно запускать а win32u.dll просто рядом что бы лежал в одной папке

новый дмоен будет, скор оскину новые линки

`DUCZ192::AGOS_ITA:1122334455667788:d4bccba4e59ab0a083101f9b07c55b63:01010000000000003ad556755233da01df6e42f6f1721da40b30091b080030003000000000000000000000000020000033a07b88223537ba413af26a192a5671cdbd0630f8a422c873a507456748226c0a0010000000000000000000000000000000000009002000410047004f0053005f004900540041005c006400750063007a003100390032000000000082320c00`

запустил юсу

> <@usernamegg:matrix.bestflowers247.online> регсвр32 dll.dll

k

[+] DLL process spawned pid=2716

zapustil

chekni

prishlo ?

ку

не было

regsvr32 делал?

в 37 пусто

vokoscreenNG-2023-12-20_13-11-45.mp4

доделал клиентскую часть, остались большие пакеты на сервере

офигенно получилось

est'

moy stuchit

да, смогу

x86

я тут

> <@usernamegg:matrix.bestflowers247.online> !

ушло 300к

out22.zip

по юсе

tam pid visel

это для x86

буду стопать, мало че пришло

и для x64

слушай, а слухи правдивые были - альфви и правда мусорнули

tam po rundll vozmozhno

a ne regsvr32

отгрузите старый elusive, загрузите только этот кит\

у тебя никто, надеюсь, с ними не работал

никакие другие плагины не нужны

Italy 116 \ 36 \ 80 \ 31%

а то сам знаешь как бывает))

* отгрузите старый elusive, загрузите только этот кит

userwx?

> <@usernamemm:matrix.bestflowers247.online> sent a file.

> <@usernameyy:matrix.bestflowers247.online> userwx?

skin

если не трудно сделай всем ворк групам чтобы стилак сам аавто отадвал ехе стилака

> <@ssd:matrix.bestflowers247.online> если не трудно сделай всем ворк групам чтобы стилак сам аавто отадвал ехе стилака

настроил выдачу и щас жду крипт и сделаю

пока MSI переделываю

чтобы точно все окей было

Все окей работает?

> <@ssd:matrix.bestflowers247.online> если не трудно сделай всем ворк групам чтобы стилак сам аавто отадвал ехе стилака

как времябудет

ток с тем арсеналом

ну отлично, временное решение есть, когда все в отпуске будут, сделаю уже нормальное

и все остальное отгрузить

да, окей

ne zabiraet etot dll shas cheknem

* sec

да, счас

x64 еще не тестили?

zapustil

у тебя размер подозрительно мелкий получился

точно новый арсенал загружен?

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

вопрос к ГГ

Неа, во фрилансе

да не идет все равно

что у меня есть...

на старом боте бот не выходит в сеть ,но ему прокинули закреп виде что выше указал

ща тогда чисто по компаниям

пущу

ага

заколебался писать это

Вы с хорсом, надеюсь не общаетесь, а то он сам меня и всю команду аналитиков сократил без предупреждения, а потом ещё затирает, что я ФСБшник.

Но это у него толи соли (не моя теория), толи на старости лет решил на принцип пойти, и теперь везде погоны видит.

prishlo ?

da vrode shas posmotryu esho raz

Я не знаю, что с ним случилось. Как будто человека просто подменили. Он офигенный был - за своих людей стоял, всё делал по уму. Когда жумпер из второй команды поставил на блог, что "мы за Россию", я хорсу об этом написал, он тут же дал мне доступ - я поставил нормальное письмо в стиле "мы за мир". Правда, не помогло. Но я к тому, что умел чувствовать контекст. И всю эту тему с брутрателом и сливером, именно он привнёс. И в конце 2022го что-то просто хряснуло. Мы офигенно работали. Я со звонилой и спамером из базакола просто всё выжал, что можно. Мы так жгли, что каждый день в новостях писали о новых схемах. И потом бац - всё. Команда сокращена, его нет нигде. Потом через три месяца, где-то поговорили - он ивзинился даже за то как резко. Но на этом как-то и всё. А потом мне уже ребята из его пентеста, стали говорить что мол хорс считал что ты мусорской. Два года блин вместе работали и норм, а тут вот начаал считать... Ну потом он вообще пропал с концами. И даже мои ребята его потеряли.

Сорян, что таким талмудом разродился

просто больная тема

обида ебаная" почнишь такой мем*

?)))

shas razbirayus s koderom

а у тебя случайно нету ошибок в "Script Console

я когда у себя компилю, у меня вес 300кб+ выходит

Jcnfkmyst 2 afqkf

не могу понять почему у тебя 200+

2.7z

Остальные 2 файла

строка - jARzZHyUnsRUwbAXbvlzzfrwCtrsnQICbHNOUipAqCrxBIBzAe

можешь показать?

ток арсенал загружен счас?

у тебя же elusive mice загружен еще

оставь только арсенал кит новый, который out22.zip

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

> <@cob_crypt_ward:matrix.bestflowers247.online> оставь только арсенал кит новый, который out22.zip

отойду на 30мин

900k ушло за сегодн

* 900k ушло за сегодня

elusiveMice.cna

у тебя его нету в "Script Manager"?

давай

arsenal-kit

может папка с китом старая?

а в ней urdl есть?

внутри нее папка

chekni

не понимаю почему так происходит, если все отгружено

не тот арсенал вроде

да, окей

> <@usernamegg:matrix.bestflowers247.online> sent an image.

29D_64new.bin

* tam file palit ili chto to esho

HVNC еще не пофиксили?

та же история, можно "Script Console" посмотреть

есть ошибки там?

новую зеландию и астаралию еще пущу, давно не слали по ним

пока что x64 еще не тестили?

tam ubivaetsya process

dlya norm cheka

можешь попробовать распаковать out22.zip в папку с другим названием

а этот арсенал выгрузить?

FileSyncClient.dll

> <@cob_crypt_ward:matrix.bestflowers247.online> можешь попробовать распаковать out22.zip в папку с другим названием

да не, я не прошу

просто вдруг что-то не так пошло

любая в чате ворк

> <@cob_crypt_ward:matrix.bestflowers247.online> чтоб точно путаницы не было

msiexec.exe 14024

vot koba visit

norm otrabativaet

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

rundll FileSyncClient.dll

не думаю что дело в cna

может что-то не заменилось

потому что у меня все компилиться норм

может у тебя еще что-то по плагинам подгружено \

* может у тебя еще что-то по плагинам подгружено

---

CINFABDOM

dll

c38_x86.bin

+++

стопну 1 млн ушел

> <@cameron777:matrix.org> rundll FileSyncClient.dll

on ne mozhet prosto stuknut

> <@usernamegg:matrix.bestflowers247.online> sent a file.

ya ubil a file tam ne pishet nekuda, v pamyati vse

mogu v drugom meste

no tut windef

Bitdefender GravityZone

etot tut bilo

shas na drugom cheknu

s windefom tochno tak zhe

no glavnoe koba stuchitsya

* no glavnoe koba zapuskaetsya

image.png

> 1.1k.txt [Suitable: 713] [Isset: 355] [Ivalid: 38]

713 валида нового

355 уже сбарсывал нам, т.е. есть в бд

ну это не то, что он дважды сбрасывает... просто у нас есть уже 355 уже есть в бд, не обязательно от него

+

zanesh chto ya dumayu po viplatam

* zaaesh chto ya dumayu po viplatam

* znaesh chto ya dumayu po viplatam

adolae.firstbasedso.com

вот линки

щас выдачу доделаю

и можешь запускать

poslednee vremya kakoe samoe krupnoe chto poluchali ?