++

> <@usernamegg:matrix.bestflowers247.online> absolutemachine.com https://24.142.173.189/RDWeb/pages/en-us/login.aspx mcicchetti@absolutemachine.com:Rael7235

cdslegal.com https://38.122.106.68/RDWeb/pages/en-us/login.aspx cdscloudportal\rsawh:Trassas1!

thegund_kekhash.txt

> <@usernamemm:matrix.bestflowers247.online> ++

+

> <@usernamegg:matrix.bestflowers247.online> ost еще доливаю на тот сервак

ну мы дллку слали

это путти не палит еще

а вот как будет exe боевое, нужно проверять

```

под socks пойдут))

я не все страным проверяю, европу и юсу

скоро посмотрю что там

смотрю файл большой, может тупо там ова, которые уже есть в базе

```

скоро тогда перезапущу, чтобы и третии страны тоже проверило

а, блин, там соксы отвалились

конечно делаю

мне же вообще нет никакого смысла тебя как либо обманывать и не делать бота

конечно делаю, просто переход на другой компилер было ошибкой, надо было билдить все на msvc, mingw хороший, но есть оссобености

> <@usernamezz:matrix.bestflowers247.online> ```

соксы оплатить нужно, поэтому не пашет

оплачу

оно так все затянуто сейчас, потому что я когда поменял шифрование, я решил поменять полностью общение с нашими C2, раньше мы строками общались, а теперь полноценными пакеты с byte structure, это намного сложнее расшифровать, но и написать не просто, это я сделал, а все остальные модули, которые по инжекту, получению данных остались на строках, потом и это все я переписал, но при тестах были переполнения или ошибки с syscalls, это все я по сути вчера решал, сейчас уже финальные тесты делаю, чтобы быть увереным в том, что боты не отваливаются

кароче не переживай, никого я не динамлю и сижу и работаю каждый день по 14-15 часов, с раннего утра, до поздней ночи

envservices.com https://64.47.126.39/RDWeb/pages/en-us/login.aspx reg2quotes@envservices.com:meg@Pony99

это rdp?

* https://rdweb.hnh.no/RDWeb/Pages/en-US/login.aspx :testuser@hnh.no:Qwerty123 2trasta (globus.no helnor.no hnh.no не одно мыло нормально не бъется / 107pc - ping 13pc / trust no ping)

thegund_ALL_kekhash.txt

> <@usernamegg:matrix.bestflowers247.online> envservices.com https://64.47.126.39/RDWeb/pages/en-us/login.aspx reg2quotes@envservices.com:meg@Pony99

да, я оплатил, но не быстро видимо придут

вас скоро нужен результат по этим ова?

+

там точно все не просто

+++

https://forum.exploit.in/topic/237296/

может тестануть черзе гаранта?

116.202.235.163

инетресно что там билдер собирает

Builder [EXE+DLL+MSI+PDF

сейчас напишу все узнаю

отойду на 30 мин

`thegundcompany.local`

`Black & Decker Corporation`

kekhash.txt

я уточню что там по нагрузке

отпишусь и решишь

> <@usernamegg:matrix.bestflowers247.online> линки какие у нас гудд ?

https://investechnical.com/PFUMxH/{random}

вот линки на exe

других нет

нужны новые впски с доменами

> <@usernamegg:matrix.bestflowers247.online> thegundcompany - ову собери

> <@usernamegg:matrix.bestflowers247.online> там лежит путти ведь ехе ?

> <@usernamegg:matrix.bestflowers247.online> посмотрим что хорошо работает то и запустим по корпам

ок

> <@usernamegg:matrix.bestflowers247.online> а то так мы как слепые котята у мамки соссок ищем куда присосать

thegundcompany.com https://12.156.16.243/RDWeb/Pages/en-US/login.aspx tgmar@thegundcompany.com tgmar

я походу их брутом нашел

скоро посмотрю есть ли мыло и пасс

есть мыло и пассы какие-то

скоро сброшу

но, допустпы нашлись именно брутом

не с овы и не с мыла и пасса

exp_search_mp_@thegundcompany.com.txt

```

> <@usernamejj:matrix.bestflowers247.online> sent a file.

```

+++, спасибо большое

фу, больше никогда не буду ничего переписывать, это полный бред, лучше просто чистить и все, нахер я в эти дебри вообще полез

пользва есть, но нервы просто уже на исходе и силы тоже, ебануться можно, замахнулся и не вывез в срок, теперь ад, ладно, буду знать

я уже на финишной, щас быстро перекушу, минут 5 и буду доделывать

офнусь

> <@usernamegg:matrix.bestflowers247.online> Они без обхода Xor не будут сейчас работать от симки. Тк операторы сотовой связи уже недели 2 держат блокировку многих старых протоколов и способов шифрования.

++

da

Понял

UserID_Passwords.doc

> <@usernameww:matrix.bestflowers247.online> sent a file.

> <@usernameboy:matrix.bestflowers247.online> KILoSA12

```

$DCC2$10240#tezell#6f1d69805e8dac4470d6af80ef8c8931:March2007

$DCC2$10240#rxc0212#be53d281e0c009fc9372024a8d0e687e:Stanley1

$DCC2$10240#rxr0503#4966adab0b78ba0332c51da1bce3f249:Stanley1

$DCC2$10240#axn1105#98ae0f4c4a5ebb0b17f51bb1e49e3577:Stanley1

$DCC2$10240#rxs1220#3e02faa02b6371898d697e4fbc4de1cc:Stanley1

$DCC2$10240#sxs1125b#0ba17e3b4ac7973808ae3fe4a1ccd206:Stanley13

$DCC2$10240#tezell#6f1d69805e8dac4470d6af80ef8c8931:March2007

> <@usernamehunter:matrix.bestflowers247.online> $DCC2$10240#ahk0307#c115e84daf5d1af478ee8cb454f5412b:Stanley11

* $DCC2$10240#ixa0830#765ae58e53a35509772fae5b5ba79170:Stanley1

`185.219.221.136:44767`

`185.219.221.136:45699`

---

```

это PST / OST. какие то в подпапках будут находиться файлы.

---

Завтра запуск юсы!!!! Наконец то я разобрался, пиздец, косяк тянется еще с предыдущего бота...

В самом уебанском месте была, такой бред

Ладно, все четко, решил, завтра запустимся и будет вообще четко

Реабилитируюсь в твоих глазах

185.219.221.136:33757

> <@usernamegg:matrix.bestflowers247.online> 198.169.152.3:443:csantos:Winter2024:Evraz-RA https://www.zoominfo.com/c/evraz-north-america-inc/99354023 680kk Cisco (user v domene EINA)

```

`endurancedirect.com`

бля хуево так то дело

щас вот фикс готовлю, на пару часов, поэтому и юсу запустим

а где теперь достать лайфтайм реальный

> <@usernamegg:matrix.bestflowers247.online> ноды надо сделать

это делается быстро

просто бот туда прогруажетсся и в боте команда запускается

и все нода готова

я быстро их прогржаю, это не большая проблема

минут 40 максимум займет поднять 10+ нод

во сколько нужен билд под юсу, чтобы на крипт отдать

+++

окей

ну условно до 16-17 по мск, верно?

вообще отлично

все успею даже с запасом

все проверим с тобой

инжекты и так далее

ага, отлично

вообще четко

> <@usernamegg:matrix.bestflowers247.online> сколько всего уже есть ?

еще лежит 5 штук у меня и там еще твои, которые ты скинул

все, я полетел дальше доделывать, могу отрубится если что, поэтому завтра если что связь

посплю лучше мало, но уже запустимся и в нормальный режим войду

странички для блога по сеткам надо сделать:

http://www.barberemerson.com/

* barberemerson.com

btl.info

patriziapepe.com

5.locker_file.zip

привет, еще нет, не готов

позже буду делать, да

> <@usernamegg:matrix.bestflowers247.online> блин сделать бы в панели что бы я сам мог искать по всей базе у нас ова и маил пасс , преодически надо

> <@usernamegg:matrix.bestflowers247.online> `endurancedirect.com - по ним ова нужно собрать `

Занимаюсь.

exp_search_mp_@endurancedirect.com.txt

мыло и пасс есть

++++

Доброе

AUTH_VALID.txt

AUTH_FROM_APOLLO_VALID.txt

rd web, котораые на данный момент есть

Привет усем

Доброе утро!

Dobroe!

Privet!

muaddib6: viday odin komplekt prymo seychas!!! ochen' nuzhen!

+

буду сбрасывать раз в сутки файлы эти, они будут пополняться

дочищаю. 15-20 минут

++

> <@usernameww:matrix.bestflowers247.online> sent a file.

1.7z

> Год CVSS 10/10 начался активно, еще одна уязвимость с такой оценкой у #FortiSIEM

yy: когда эксплойт будет готов?

мне никто сурсы не кидал

6_64.bin

эх печаль

сурсы еще придумать должны))

у кого то походу уже папочка /scr наполняется ))

`https://162.251.239.49/RDWeb/Pages/en-US/login.aspx ablee@capeadvisors.com ablee`

FILE IMAP: IMAP3001.txt

FILE IMAP: IMAP0502.txt

file: SMTP3001.txt

file: SMTP0502.txt

IMAP2401 SMTP2401 этих нет

с xls можно сделать?

пишу ему

> <@usernamenn:matrix.bestflowers247.online> у кого то походу уже папочка /scr наполняется ))

muaddib6: есть полный комплект ? 1d142f03-5637-4796-86c8-75633620c741 использовали! В остальных нет exe file

списался, все узнал+

еще делаю

64.176.219.106:45159

178.236.246.118 да

> <@usernameww:matrix.bestflowers247.online> muaddib6: есть полный комплект ? 1d142f03-5637-4796-86c8-75633620c741 использовали! В остальных нет exe file

2.7z

++

еще бы один полный

Щас уже гружу

++

> <@usernameww:matrix.bestflowers247.online> еще бы один полный

3.7z

++

> <@usernameyy:matrix.bestflowers247.online> м?

> <@usernamemm:matrix.bestflowers247.online> sent a file.

Да, конечно. Делаю.

++

огонь напиши как пройдут тесты плиз

я еще смотрю есть новые версии рдвеб https://remote.glasgowclyde.ac.uk/rdweb/webclient/

под них сейчас тоже буду делать проверку авторизации

вот я и просил, аккант ат атлука

именно аккаут сетки по сути

> <@usernamegg:matrix.bestflowers247.online> линки сделаешь свежие ?

посмотрите. скажете мне почту, я туда пару писем отошлю

я пока авторизацией занят

для новой версии рдвеб

+

напишите мне почту

куда письмо отправить

я только еще линки подготовлю

либо отправить зип файл атачем?

в котором будет js

давайте атачем попробую

посмотрим как будет

и попробуете скачать, и запустить js

`ekim@anthemproperties.com`

image.png

+

скоро все подготовлю

погодите

скажу как отправлю

image.png

+

короч хотябы посмотреть как придет зип + js

`descosteel.com https://74.94.56.73/RDWeb/Pages/en-US/login.aspx descosteel\nick nick`

+

жду билд от Ф и попробуем через наш криптор его подготовить , потом с js прошлем

+

> <@usernamegg:matrix.bestflowers247.online> вот сегодня прям пиздатые доступы нашлись

сбросьте почту сюда

nick@descosteel.com

верно?

> <@usernamegg:matrix.bestflowers247.online> вот смотри тут прям боевая среда

скоро атачем попробую отправить

ладно, пока так

отправил одно письмо

короч я думаю, там точно не просто будет заинбоксить, потому что там аутлук фильтр

зип + js пришел ?

пробуйте

там путти будет

хм, даже без плашек

да, я три раза отправил

хм

не может посмотреть

ща я еще подругому отправлю

application/octet-stream сделаю для атача

+

я вот еще отправлю три письма, проверьте будут ли они сразу сохранятся при клике

ок, попробуйте запустить

+

нужно еще проверить на других

как придет

> <@usernamegg:matrix.bestflowers247.online> ekim@anthemproperties.com

```

```

скоро я только зипы еще новые добавлю

что бы одно и тоже не слать атачем

почту только дайте, куда отправить письмо

> <@usernamegg:matrix.bestflowers247.online> americas.swk.pri

> <@usernamegg:matrix.bestflowers247.online> можно мне как то самому будет собирать ?

> <@usernamegg:matrix.bestflowers247.online> americas.swk.pri

и домен странный

может это внутрений домен какой-то

> <@usernamegg:matrix.bestflowers247.online> swk

по домену и логину смотрел

как раз все успею 17 по мск

щас уже буду инфру ставить скоро

> <@usernamegg:matrix.bestflowers247.online> смотри прикол как пдф и эксель открывает приеложение аутлуа

нет

скоро

файлы только залил на сервер

ablee@capeadvisors.com отправил сюда

> <@usernamegg:matrix.bestflowers247.online> от саппорта ?

+

> <@lapa:matrix.bestflowers247.online> ablee@capeadvisors.com отправил сюда

мг

уже три файла отправил

mimecast.com там у него фильтр

аутлуке был

значит не пробивает

> <@usernamegg:matrix.bestflowers247.online> ekim@anthemproperties.com

> <@usernamegg:matrix.bestflowers247.online> аттачем слал ?

погодите, атачем сначало

линки еще готовить нужно

image.png

> <@usernamemm:matrix.bestflowers247.online> этот в работе?)

4.7z

ekim@anthemproperties.com ушло сюда три. там атлук фильтр

* ekim@anthemproperties.com ушло сюда три. там аутлук фильтр

но опять же, это мы точечно прослали

думаю когда начинаем много слать, все по-другому инбосит

* думаю когда начинаем много слать, все по-другому инбоксит

> <@usernamegg:matrix.bestflowers247.online> sent an image.

обычно атлуке предупреждает, чтобы не открываели атач, если не доверяют отправитедю

* обычно атлуке предупреждает, чтобы не открываели атач, если не доверяют отправителю

image.png

ага, не пришло

уберу application/octet-stream

> <@usernamegg:matrix.bestflowers247.online> я всю с низу доверху проверил почту нету

ща еще три отправлю

> <@usernamegg:matrix.bestflowers247.online> citrix

ekim@anthemproperties.com пришло письмо?

просто слать на атулук линками думаю нет смысла, они наши линки уже все знают

потому что для просыла юзаем все линки, что есть

image.png

+

нету значит

в junk email тоже нет?

инетересно, на первую почту заходило, сюда нет

принял

image.png

хотя оба на атулке

* хотя оба на аутлуке

ща еще поменяю письмо

aga!!

настройки возможно разные стоят

сек

и сейчас не пришло?

погоди

я с ума как будто схожу

они новые или уже были?

они только сегодня появились я каждый день проверяю

все остальные в моей панели - это те что я января

ты о каких новых говоришь?

попробуйте

может придет

+

nick@descosteel.com сюда отправляю

особенно тех, которых я пропустил?

+

> <@usernamemm:matrix.bestflowers247.online> этот в работе?)

5.7z

да любой текст

напишите " Check file

cervera.com https://34.197.188.39/RDWeb/Pages/en-US/login.aspx jrivera@cervera.com Password1

крупная

но хз что там внутри

Oin.zip

+

ща попробую туда без атача отправить письмо

вы тоже попробуйте

просто текст, без атача

++

отправил просто текст сюда

ekim@anthemproperties.com

> <@usernamegg:matrix.bestflowers247.online> ______

* /+

> <@usernamegg:matrix.bestflowers247.online> sent an image.

> <@usernamegg:matrix.bestflowers247.online> sent an image.

может атач такой нельзя слать

image.png

image.png

image.png

image.png

значит атач

в нем дело

скоро

сделать нужно

но боюсь наши линки там знают

ок

заебенил им ответ

есть ещё кто-то, кому надо написать?

да потому что это топовые фильтры

сами видите

что даже на обычный текст

предупрждение повесили

что "вы никогда не переписывались с отправителем

через минут 10 отправлю линком

ну видно что другой человек пишет

ок, убрал

cervera.com https://34.197.188.39/RDWeb/Pages/en-US/login.aspx cameron@cervera.com Password1

от другого пользователя

Погоди, у нас недопонимание явно какое-то. Ты так говоришь как будто я специально не включаюсь в работу, а я вижу только то что вижу. Это первая новая сеть с декабря, наверное, которую я увидел. Что касается даты, я смотрю, профилактически, но я же тоже не знаю, там появляется новая папка - это для меня, для публикации, для пентеста, ещё для каких-то целей ваших внутренних - без контекста тоже не буду же копаться. Может вообще не для меня папка.

+++

64.176.219.106:43661

ekim@anthemproperties.com линки отправил

слушай, про это как раз. Есть идея, скажи, что думаешь, правда тут нужно будет одобрение пентеста. У нас же наверняка есть ситуации, когда лок проходит, но таргет не выходит на связь. А что, если оставлять им не стандартную записку, вшитую в локер, а вшивать индивидуальную. Чтобы когда они открывают залоченную систему им сразу писалось что произошло конкретно с ними. То есть не стандартное - вас залочили, и вот кастомное именно для них - психологический эффект сильнее намного.

три письма отравил разных

I appreciate the overview. It seems like you've done your due diligence and know exactly what situation we are in" - ну вот, совсем другое дело

там, кстати, было 2 выплаты ещё с прошлого года

ППЦ!

https://www.computerweekly.com/news/366567455/Southern-Water-confirms-cyber-attack-after-Black-Basta-claims

Это что за приколы?

написано что мы уже объявили об атаке

и они это признали

Я не знаю кто с нами в чате сидит, честно говоря

64.176.219.106:40355

The Black Basta crew posted limited details of its supposed intrusion on its Tor leak site on 22 January. Computer Weekly understands it has given its victim until 29 January to respond.

понятно - то есть часть инфы слили на блог. Ну странно что они торгуются после того как это по всем новосятм

добавил поиск

в панельке

посмотрите

пункт там будет "Search

ну там поиск не быстро, так как мыла и пасса много

+

как раз протестирую еще сам

да-да, я еще тестирую

погодите

+

так и думал

не проходят наши линки

да, может быть и такое

это, давайте сейчас немного подругому сделаю

я отправлю туда письмо

вы на него ответите

и потом я отправлю атач ответ

и посмотрим придет ли

ща, подготовлю

+

`zdata\jbrenes C@5iguina19652024`

To: ablee@capeadvisors.com

вот если пришло письмо от TErnser@yes-travel.info

тогда ответьте на него

+

скоро еще буду отправлять

To: ablee@capeadvisors.com

ждем

`http://51.89.62.219/`

а туда точно доходят письма?

может проверите?

```

To: ekim@anthemproperties.com

> <@usernamegg:matrix.bestflowers247.online> ответить если пришло ?

оно пришло?

это напоминание

вроде

image.png

> <@lapa:matrix.bestflowers247.online> To: ekim@anthemproperties.com

значит не пришло

скоро еще раз отправлю

```

To: ekim@anthemproperties.com

если придет такое

тогда можно отвечать

> <@usernamegg:matrix.bestflowers247.online> sent an image.

`ZIRCODATA.COM.AU\svc-adm C@5iguina19652024`

Привет

бля ну Роман молодец конечно

добавил вход только по ключам

а ключи естественно его были вбиты

на балансировщики

> <@usernamegg:matrix.bestflowers247.online> бурт встает на 26%

```

смотрю

там просто если находит рабочий сокс для айпишник, тогда уже второй сокс не проверялся

поэтому и писало меньше процент

исправил

```

пусть тогда все соксы перебирает

капец странно

тогда же приходило

87861b95bb096189e72ff0e43d524bb7:Nahiya2016!

++

To: ekim@anthemproperties.com

ждем

c8d0870ca34273b931bc422010de5514:Vinnies@434

++

```

* а ключи естественно его вбиты

пиздец

feb9313f2f65b0b06a685253fa551db8:Welcome@2023!

там через IPMI может запустит

это это надо пасс от рута вводить в ручную

140cbcfa67a21ec9cd8692af6d65731e:Io101010!!

а пасс 64 символьный

значит нет овы

я ввести успел половину где то и меня ебнуло назад на ввод логина

Ок

если пусто

41bd9e70237d3c286ff856f46c0d89fd:Alamdar2015!

++

отойду на 30 мин

image.png

image.png

eset обойти не может

`zdata\svc-sql:!sA,0@z.`

image.png

а что и как делаете?

```

короч не пришло?

`WindowsSensor.MaverickGyr.exe /install /quiet /nostart CID=7A69B8FB5E7840A4982DAAB62B8E4822-68`

exe запускаю

на пк с eset

WindowsSensor.MaverickGyr.exe

> <@usernamegg:matrix.bestflowers247.online> sent an image.

а png эт очто?

```

* ```

* ```

это exe, переименовал, exe качать не дает

есть описание детекта?

Надо понять куда копать

image.png

`\\AUNSWDFSP01.ZIRCODATA.COM.AU\IT`

Детект был после переименования в ехе? На запуск?

To: ekim@anthemproperties.com

To: ekim@anthemproperties.com

To: ekim@anthemproperties.com

никого?

нет, открывал сразу png

странно а как ехе запускать в пнг?

Не переименовывал?

пробую

---

а длл пробовал?

странички для блога по сеткам надо сделать:

ARI_DOMAIN

да, пока 1 только

удалило

длл норм?

file: SMTP07.02.txt

длл удалило говорю)

пробнул только 1

щас пробую

так.. а криптом или инфецированием был файл?

крипт

посмотри инфецирование плиз

минуту

```

пока вообще никак скачать не дает, детектит сразу и удаляет

так и не пришло письмо?

а какой детект?

ни ехе ни длл?

да и exe и dll, файлообменники не нравятся, щас найду

отпишу как запущу

добро.

да, ок

на утро говорит

да знаю(

```

01cc18582247933b7e076c891bb500d3:Mimaslub2

> <@usernameboy:matrix.bestflowers247.online> 01cc18582247933b7e076c891bb500d3:Mimaslub2

> <@usernameww:matrix.bestflowers247.online> sent a file.

так я ему даже не шлю линк

в пятницу - субботу ласт будет смотреть что там с серверами

которые за балансировщик отвечают

> <@usernamegg:matrix.bestflowers247.online> sent an image.

они щас почему то даже не в локальной сети с главным сервером

а были в локальной раньше, там Роман VLAN делал сказал с шифрованным каналом

пиздец короче еще разгребать

пустил сейчас 10 писем

пришло?

не знаю

мне кажется мы что-то такое проверяли

может тоже без админ прав не запустится

image.png

thegund2_kekhash.txt

tot zhe tolko 2 user dobavilos

там жесткий же ренимировали один на балансировщике

да и в принципе там железо такое старое что ласт передумал его забирать себе (выкупать)

и главный сервер тоже там дышит уже еле еле

им осталось мало времени жить

в один момент там просто все отъедет

и мы вобще все проебем

офнусь. завтра еще попробуем отправить письмо, ответить, и в ответ положить атач