как я понял, там js в любом случаи будет запускать или вашершелл или cmd

попробуйте еще на другой тачке

3.87.56.83 но вот это должна стукнуть была

сек

щас гляну

167.88.166.50

это тоже твой?

тут тачка как реверсер выглядит

минуты 2 сервак перезагружается еще

> <@usernamegg:matrix.bestflowers247.online> сколько минут бот стучит ?

а крипт уже готов?

есть что то для дебага на тачке?

> <@usernamegg:matrix.bestflowers247.online> sent an image.

такой айпишник не запускал

давай гляну

сек

на какой то из этих запустить?

а есть криптованая длка?

ой exe

криптованый

скинь

я его сначала проверю

`roadnet:$DCC2$10240#roadnet#9c3ba18247a78fc37150ea4d3bd99ea9`

нужна

у меня на зкрепе рандом строки идет

$DCC2$10240#roadnet#9c3ba18247a78fc37150ea4d3bd99ea9:Qwerty991

> <@username777:matrix.bestflowers247.online> $DCC2$10240#roadnet#9c3ba18247a78fc37150ea4d3bd99ea9:Qwerty991

+

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

`interclass.co.uk_AUTH_FROM_APOLLO`

щас проверю как 5.7z работает

скоро пролью

палит, но работает только первый файл проверил на работоспособность

щас проверю те машины, что ты скинул

пролил на линки

можете через js проверять

да епт

какой в итоге заливать

еще раз сбросьте

> <@usernamegg:matrix.bestflowers247.online> ```

но крипт от бурито пришлось юзать, бена сильно палиться

щас дальше еще запущу

я не js запускаю

я запускаю именно exe

+++

дальше проверять?

или нет смысла?

+

нет, JS не запускал

сам exe

JS делал не я, надо вникать если там что то не запустится

щас запущу JS

посмотим, запустится или нет

ага, алвай

давай

жду тогда

скоро пролью

нет

я щас тебе скину ссылку на бота

закинешь его в кобу

скажу когда можно

проверим заодно

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/32644

вот пускай его в кобу

там правда нет x86 процессов, куда можно заинжектится, кидай его по старому методу

методы стырае, н опереписаны на новый лад и там обходы ещ добавлены

отпишешь как сделаешь

можно проверить

x86 маленький

а где запустили?

скачивания не было

хз, не было скачивания exe

+

скорее да

я и говорю, что на норм сетках там админы парятся и настраивают права нормально

ладно, давайте прошлем

а то зря делал мелкор

может что-то придет

либо нужно менять js

+

`kinetek:$DCC2$10240#kinetek#c8ad8cef55b6be40bbb3de46a5863b0e`

COB6_x86.bin

нужно спросить, можно ли в js запустить exe без павершелла и cmd

+++

щас гляну

+++

окей

так щас стук смотрю

сек

52.149.194.33

он?

score": 197

а не, это маишна для анализа

дай пк, на котором запускал JS

там процесс должен появится после запуска exe -> ctfmon.exe ( x86 )

+

ок, скоро тогда запущу

пустил

> <@usernamegg:matrix.bestflowers247.online> запустили

какая ос на тачке?

пришло что то

+

с симанткеом

симантеком

206.192.87.98

запуски есть с юсы

стучат?

а то не вижу

аааа

бля

забыл сказать

бот работает на Windows 10, 11, Windows Server 2016, 2019, 2022

сори

на 7 и серверах с 7 он не работает

там оффсеты другие чутка на syscalls и краш происходит

это же не критично?

+

ну 9 запусков есть

Почему?

Раньше же тоже не работал

на 7-ках

свой

я много слать не буду

50к прошлю

donut я юзаю для тестов кстати))

и JS вроде как некорректно отрабатывает на 7-ках

пусть еще с cmd подумают

и 2012 серверах

как без него запустить exe

и какой интересно у него будет вес шелл кода

12 запусков есть

48к ушло

скоро стопну

скачиваний так-то 300

но там реверсов норм еще думаю

16 запусков

короч пусть разберутся, как без павершелла и cmd запускать exe

ну вроде идет что то

hi

tut

скачивания идут

привет

+++

а вот запуски не особо

shto est

gruzit

kakie lendi

odel

ты exe запускал или JS?

ленды пока не одевал, щас все готовлю

skolko primerno jdat

по нагрзуке, что бы было что выдавать нормальное

lendi

i segodna eto voobhe

по боту все дела базовые закончил, дальше только улучшения

?

ну сегодня мы не запустим, сегодня я подготовлю все, чтобы завтра запустить

нужно файл нормальный сделать

щас гляну

ну у нас стучит

продолжает стучать

да

можно сделать

надо скачивать через ActiveObject

но это наждо вычистить

у меня есть шаблон, но я хер его как вычистить, ибо оно втупую палит когда скачивание идет

бот с нами, все стучит

470

ну тот который в кобе сдох

зовите еще раз

виндовых скачиваний

через CreateRemoteThread

реверсы там будут точно

зовите, чтобы наверняка

в ворд тот же заинжектитесь

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/task/3751

Injection: PROCESS_HOLLOW -> %SystemRoot%\System32\WerFault.exe

PROCESS_HOLLOW использовать только в тех случаях, когда нет процессов, куда инжектиться

но вот если cmd отрублен

тупо запуска не увижу даже

старайтесь по максимуму юзать Create Remote Thread injection

так я тут

ssd: смотри, ситуация следующая:

постараюсь до завтра все сделать, но не обещаю, ибо не знаю пока что какой форнт работ предстоит для чистки

каркас у меня есть

по сути напихать разной херни и длку или EXE вшить

или JS может сделаю, чтобы выдавать

решу сегодня

пришел кто нормальный?

25 запусков

Create REmote THread

если нет процессов, то выбирайте Process Hollow

+++

Ьщвгду фModule Stomping пока не юзайте, он в альфе

он не стабильно работает, вам ответ не прийдети от него

> <@n3auxaxl:matrix.collectionofmanager.space> постараюсь до завтра все сделать, но не обещаю, ибо не знаю пока что какой форнт работ предстоит для чистки

+

но ушло 50к чисто по компаниям

gg kka ti na eto smotrew , avtomatizirovat ne poluchitsa

js vozmojno\

porbnut stoit

но еще и запустить нужно как exe

без cmd

короч нужно тестить

++++

GG spammit?

est usa i ca v botah?

> <@ssd:matrix.bestflowers247.online> GG spammit?

zaydu na banki cheknu

> <@usernamegg:matrix.bestflowers247.online> а то говорю мы до этого как слепые котята сосок у мамки искали что бы присосаться ))

ладно. офнусь. завтра буду с утра

davay togda progruz s googla na pnd

и да если тчо забыл сказать, что через Create REmote Thread можно инжектить большой файл от кобы - x86

а от Process Hollow - > маленький от кобы x86

если через Create Remote Thread работаетет - лучше большой файл бейте, чтобы стейджер лишнего не качал и сразу начал с общаться с С2

++++

окей

+++

сек

запустил

privet

usa ca shlesh?

che shlesh, js?

+++

щас выдам тебе

уже готовы билды

щас проверю все

и отдам

завтра будем запускать?

```

51f9fde4577f811c22eaecab486b9c83:R3db0x123!

++

0b96ca88f5470d11c4070e5aaca86474:TrinSupp1.

++

ну пусть выдаст донутовский попробуем

его и самим можно сделать в принципе))

из exe

TST.7z

PASS: a69e8ac5fcf305b52f3088513fe8342a

щас проверю

видел там парочку joesandbox пробилось, но я их убрал в реврсеры, щас еще набегут

сделаю им сигнатуры и заблочу их раз и навсего

у меня дохнут или у тебя дохнут?

оба нодом по сигнатуре палятся, а так живые для дефа

> <@usernamegg:matrix.bestflowers247.online> igf-inc.com - фаиловое дерево

есть кто живой?

1FPutCyL6s6uqQVW4eTCoaVQjrFX3bFhde

DILWEG - еще страничку блога надо добавить чтобы я завтра блог по ним сделал.

`185.219.221.136:46255`

`185.219.221.136:35329`

`64.176.219.106:38565 FIZ s5`

* `64.176.219.106:38565 FIZ s5

> <@usernamenn:matrix.bestflowers247.online> есть кто живой?

NTSL - страничку для блога надо создать.

Снова не могу на сервер для брута(83.97.73.37). Зависает после ввода пасса. Странно.

+

`64.176.219.106:45335`

все, вошел на сервер брута

AUTH_VALID.txt

AUTH_FROM_APOLLO_VALID.txt

64.176.219.106:36651

> <@usernamegg:matrix.bestflowers247.online> смотре вв с карлосоном ?

потом посмотрю

> <@usernamegg:matrix.bestflowers247.online> европпу прошлем ?

могут ли они без cmd и павершелла сделать?

и пришло ли вчера хоть что-то годное?

85 запусков с юсы

но там судя по заголовкам, возможно реверсов 20 пробилось

короче нужно менять js, потому что тот год мы js только и слали, и нифига не было

толком

возможно как раз потому, что cmd не пашет на норм сетках

ок, и тогда вот проверим на той тачке, где не было скачиваний

exe

https://keywordslive.com/cUIvZSM/{random}

хотя стоп

чет грязные оч эти линки

новые сделаю

просто у меня вот пишет: Mozilla/5.0 (Windows NT; Windows NT 10.0; cs-CZ) WindowsPowerShell/5.1.19041.3031

т.е. павершелл качает

https://professionalficars.com/t6F5Gi/{random}

вот пусть соберет js

> <@usernamegg:matrix.bestflowers247.online> sent an image.

не было скачивания exe

`64.176.219.106:44701 ANTHEM FIZ`

ну вроде как на ней

не было скачивания exe

там написано вверзу названия тачки

привет

да, щас

> <@usernamegg:matrix.bestflowers247.online> в iPike умер

вам DLL или EXE?

rbs.txt

$krb5tgs$23$*Administrator$BHUSM.local$l..331b616:Banana99!

---

GORMAN-HAMILTON = true.co.uk -- блог готов!

> <@usernameboy:matrix.bestflowers247.online> $krb5tgs$23$*Administrator$BHUSM.local$l..331b616:Banana99!

да

просто там всего две впски

и к одной пасс не подходит

!proxychains ssh root@66.42.125.205 = wealthygradi.com +

вот к этой

+++

минут 10 ит скину

Что есть?

Я люблю поесть ))

Да

Ок

`64.176.219.106:39913 FNLLP`

+

45.86.200.89 ну вот сейчас запуск был

сапп может тестит

dropper_GG20_FR_f0adda360d2b4ccda11468e026526576_t3Qp0aLDd.zip

PASS: c98768d84a01e279976f8be20e621a82

Ахахах )

1-2 часа. чищю

```

`admin lan0lan1 Antivirus Admin`

сапп меняет скачивание ?

и проверяет на сетках?

просто кто-то скачивает по линку новому

+

77.48.45.34

со спама

был запуск

+

так и byd.com там смотрю пришла

тоже вроде крупная

но офнулась как я понял

lf

da

https://professionalficars.com/t6F5Gi/{random}

линки на сегодня

`64.176.219.106:45769 CLIMATE`

я готов европу прослать

я на месте если кому надо

скинешь мне криптованый файл, мне его надо будет на закреп пролить

1.7z

Готово

Инфецированием. Строка для размножения:

rNQiOghfMNxaXCqnlMQJOghWaHVNIyrqHAMcEUobSzbFLnmGNR

jmaksymova::FUJIFILM:1122334455667788:5fc2f4aefbeb2b37310c7c740ff863bc:0101000000000000e6f956c6445bda01bbd88a2b3b5f9daf000000000800300030000000000000000100000000200000c3a53ce03bff7f6f9dd72864595bcc38877b5a73b540af30b22321eccfe917410a0010000000000000000000000000000000000009002600460055004a004900460049004c004d005c006a006d0061006b00730079006d006f00760061000000000000000000

b3ddf84691946516ad53891c66416cd3

JMAKSYMOVA::FUJIFILM:1122334455667788:5fc2f4aefbeb2b37310c7c740ff863bc:0101000000000000e6f956c6445bda01bbd88a2b3b5f9daf000000000800300030000000000000000100000000200000c3a53ce03bff7f6f9dd72864595bcc38877b5a73b540af30b22321eccfe917410a0010000000000000000000000000000000000009002600460055004a004900460049004c004d005c006a006d0061006b00730079006d006f00760061000000000000000000:W6lcome2024

> <@username777:matrix.bestflowers247.online> JMAKSYMOVA::FUJIFILM:1122334455667788:5fc2f4aefbeb2b37310c7c740ff863bc:0101000000000000e6f956c6445bda01bbd88a2b3b5f9daf000000000800300030000000000000000100000000200000c3a53ce03bff7f6f9dd72864595bcc38877b5a73b540af30b22321eccfe917410a0010000000000000000000000000000000000009002600460055004a004900460049004c004d005c006a006d0061006b00730079006d006f00760061000000000000000000:W6lcome2024

+

сек

+

жду тогда сразу на два линка

на дорогу вам лучше не выходить, я сдал на права

ну да

ок

пусть сделает с двумя линками

мне же запустить подписывание нужно будет

🤪

80, но мне почти не помогали, было сложно

https://deltaind.in/faas/

можете проверить

регистраторов дохуя, чел только на педали жал, с чем я бы сам успешно справился

это новые его js

Все так говорят)

и на выдаче уже exe от пики

у меня чисто

давайте пока запущу европу

а то время и пятница уже

xtnrj dct

четко все

и чисто

и запустилось норм

А вот криптом.

NhXElp8oEW51dJ7qssXDsLAR9GwqYQiPOY71F0u71qi4OajwCaMCtKZuyNQ8UlOy

строка

2.7z

+

запустился, чисто по компаниям

вы запустились

но у меня не было скачивания exe

с какого айпишника запускали?

+

ну он как обычно

там еще и не подписан наверное js

запуски начинают идти

с европы

+

я не хожу на рдп от сеток

предупреждение как минимум вылетает

нужно, чтобы я сначало подписал его js

а потому уже пусть пакует

7 запусков есть

стукнул кто?

> <@usernamegg:matrix.bestflowers247.online> у нас серты дохлые

слшуай, а бот запустился, но не стучит походу

причем криптованый стучит

ой точнее наоборот, не криптованый стучит

а вот от бена который с крипта джропнулся не стучит

он точно тот файл крпитанул?

38.154.242.28

писец

стопнул

10 запусков так-то

какой файл ты тут запустил?

ибо от этой тачки вижу стук

+

> <@usernamegg:matrix.bestflowers247.online> sent a file.

ну да

2027520 11 \ 0 \ 11 \ 0%

сейчас этот на выдаче

не понял

js ?

js не подписывать?

2027520 14 \ 0 \ 14 \ 0%

14 скачиваний exe то есть

думаю с exe что-то

скоро поставлю другие exe

$DCC2$10240#Zarzadca#e4867ec8d5b0768931ef6bbdd09d4442

при чет тут серт наш?

2027520 16 \ 0 \ 16 \ 0%

запускают же js

$DCC2$10240#barta#0e4746ee100a0adef57dba3288970aac

1767424 1 \ 0 \ 1 \ 0%

вот другой exe

на выдаче

посмотрим

$DCC2$10240#jelinek#8af49ca51b6d9a9707180af68abd0977

ща я последние js подписываю

и на выдачу поставлю

поставил

181.72.32.92 было скачивание сегодня, но пару часов назад

именно с моего линка скачивайте

потому что не пропустит потом скачивание exe

а исходник воркает?

крипт чекни плиз

не было скачиваня

KVSZ2: 2027520 18 \ 0 \ 18 \ 0%

ну вот 23 запуска всего было

и никто не стукнул?

> Germany [DE]-------------------- 132 0 0%

у меня еще странно то, что js хочет на проверку отправить

не шлю

и так уже 70к ушло

чисто по компаниям

2 разных проверял? 1 и 2 архив?

чет с exe либо запуском exe

как остук я проверю? даш админку?

ага, вот и я думаю, что заплатил просто за более простой маршрут

я же тебе написал, что не стучит файл после крипта

могли бы и побольше помочь

сек

без крипта все оркей стучит

короч, я сначало буду запускать по мелочи

а потом уже по компаниям, если застучит

а то уже не первый раз такая херня

он точно тот файл криптанул?

KVSZ2: 2027520 18 \ 0 \ 18 \ 0%

ну скачивания exe то идут

какая последняя цифра на номере прав?

завтра заберу с утра

> <@usernamezz:matrix.bestflowers247.online> какая последняя цифра на номере прав?

Всем привет!

может exe побили

dropper_GG20_FR_f0adda360d2b4ccda11468e026526576_t3Qp0aLDd.zip

> <@usernameyy:matrix.bestflowers247.online> а в чем прикол последней цифры

вот еще раз тот же файлы

либо может вы группу старую смотрите

щас пасс дам

ну пасс тот же

ахаха)

щас запущу еще раз на тест тачке не криптованый, чтобы убедится

0 это 10

без б, я уже несколько раз форсил вас в ресторан мой любимый

не, зачем

> <@usernameyy:matrix.bestflowers247.online> без б, я уже несколько раз форсил вас в ресторан мой любимый

> <@usernamegg:matrix.bestflowers247.online> а что там на кобу похоже ?)

когда мы собирались в азбуку я предложил(

аа, понял хз

> <@usernamegg:matrix.bestflowers247.online> NNN: он сделал исходник и проверил

> <@usernamegg:matrix.bestflowers247.online> скажи ip

сек

А это я исходник запустил

У вас косяк по ходу

Я заметил пускаеш файл и он сразу с процессов вылетает

```

$krb5tgs$23$*mssql_service$FUJIFILM.LOCAL$FujiFilm.local/mssql_service*$ceb13e9c61a44852d9e...577c3714e4:2wsx3edc$

++

он улетает в ctfmon.exe -> x86

tckb e nt,z nfv cjan lkz lt,fuf afqk vj;tn yt pfgecnbnmcz

если у тебя там софт для дебагна он может не запуститься

у меня только процесс хакер и все на этой вм

ну уже 38 запусков

ага, процесс хакер уже не запуск

закрой его просто

врядли там фильтр всех их отсеял

и запусти

может я вчерашний поставлю на выдачу exe

ща поставлю и посмотрю чистый ли

92.119.36.84 вот какой то пытается пробится с sysmon.exe

C:\Windows\SysWOW64嗏舳⺺梦쟵댂脁랴䮟䣇邂繠梩蓌푷䫒歀�湁椠瑮来牥瘠污敵椠⁳畯獴摩⁥桴⁥污潬敷⁤慲杮⹥吀䵐㈠〮›獁浹敭牴捩愠杬牯瑩浨渠瑯猠灵潰瑲摥漠⁲潮⁴潣牲捥⹴爀单䰮湥瑧⁨㴼吠楨⵳倾楲慶整牐慥汬捯瑡摥瑓楲杮㸭慍楸畭䱭湥瑧h\??\C:\Windows\SysWOW64\ctfmon.exe\

это он?

> <@muaddib6:matrix.org> C:\Windows\SysWOW64嗏舳⺺梦쟵댂脁랴䮟䣇邂繠梩蓌푷䫒歀�湁椠瑮来牥瘠污敵椠⁳畯獴摩⁥桴⁥污潬敷⁤慲杮⹥吀䵐㈠〮›獁浹敭牴捩愠杬牯瑩浨渠瑯猠灵潰瑲摥漠⁲潮⁴潣牲捥⹴爀单䰮湥瑧⁨㴼吠楨⵳倾楲慶整牐慥汬捯瑡摥瑓楲杮㸭慍楸畭䱭湥瑧h\??\C:\Windows\SysWOW64\ctfmon.exe\

у меня сейчас запушен исходник

поставил

2.7z

переделано

но у меня палит

exe

Trojan:Win32/Znyonm

nfr b ljk;yj ,snm xnj dsktnftn

jy lhjgftncz d lhujq ghjwtcc

ебаный нахуй инет

сука

тупит пиздец

> <@usernamegg:matrix.bestflowers247.online> запусти

кароче так и должно быть

+

он должен дропаться в другой процесс

2.7z

и там уже работать

ну пусть стоит

чтобы его никто не смог спалит

когда мы уже в системе

так мне проливать на линк его?

+

да, пару минут

это на что?

на запуск?

Исходник норм?

> <@muaddib6:matrix.org> Исходник норм?

щас пару минут, все еще раз проверю

все что возможно

> <@usernamegg:matrix.bestflowers247.online> тут обдельный чат для крипта только IPIKA бота

> <@usernamegg:matrix.bestflowers247.online> еще варианты крипта ?

3.7z

93.44.208.76

со старого кто-нибуль пришел?

10 запусков на вчерашний exe былло

хотя в целом конечно нет смыла на него слать

Его вот тут запустил. 192.42.116.182 процесс создался рабочий

привет, да, давай

делаю

минуту щас тебе скину еще 1 исходник

првоерим

Это не воркает? Не стучит?

да, щас еще 1 сделаю, забью там хосты, чтобы они точно при крипте не побились

стучит

так проверили exe последний?

Хорошо

щас скину новый, обьясню что походу было

+

пару минут, оптишу

ok

)))

давай по деньгам договоримся

а то ставки нет фиксированной)

3к в 2 недели было, норм?

ок

добавился в группу

ага

19RdXdWXKJxf8SFndnvvpCAxUptBbQpqgG

данке

седая ночь укрыла город...

а больше некому

да

там видимо нет овы с норм странами

скоро посмотрю на эту базу

ща еще и формат поправлю

щас делаю

пару сек

пару минут скину

нет

ваше

боты стучат, тут проблема в ротации

походу крипт сбил ротацию ip

и оно стучит 30 раз на 1, потом если он мертв, этот хост

переходит на другой

то есть почуему при крипте сломалась ротация

боты отсучать

те что запустили уже

но просто позже чем надо

щас делаю так, чтобы не сломалось при крипте ничего

чтобы конфиги не похерились при оффсетах

+++

уже сделал, щас тест делаю

там на выдаче стоит старый exe