```

* 62kk$ USA Manufacturing (234 tachki) http://precision.hostedrmm.com:8040/Login:akshaym:A@123456789a

```

AUTH_VALID_20240213.txt

AUTH_FROM_APOLLO_VALID_20240213.txt

Доброе утро

rdweb

6kkk$ Business/Retail ES | https://galileoweb.eroski.es/global-protect/login.esp:TestVPNPA:.Eroski123

image.png

267kk$ Banking/Finance ID | https://hub.bfi.co.id/global-protect/login.esp:vpn_indocyber10:lengkong10

6kkk$ Bank/Coglomerates/Finance ID 39065 employees | https://vpn.bankmandiri.co.id/global-protect/login.esp:Psi.erlangga:Djisamsoe234

42kk$ Software HK | https://vpn.hk.fujitsu.com/global-protect/login.esp:fieldeng5:sCRaPx2q

> <@usernamett:matrix.bestflowers247.online> ```

jar будем пробывать прослать?

* ```

```

ну кстати вчерашний jar чистый с дллкой

странно даже

Qby.jar

мелкор пусть тоже проверит

Добрый день. Что сделать?

отойду на 20 мин

> <@ssd:matrix.bestflowers247.online> exe

SWG_adm_kekhash.txt

$krb5tgs$23$*admamann$SWG.intra$DynamicsNAV/SWGSRV22:7045@SWG.intra*$04b98654ad128634606...8d886cb908:ai_2256

> <@username777:matrix.bestflowers247.online> $krb5tgs$23$*admamann$SWG.intra$DynamicsNAV/SWGSRV22:7045@SWG.intra*$04b98654ad128634606...8d886cb908:ai_2256

Привет, стучит

Можешь попробовать сразу с Jar файлом запустить

> <@lapa:matrix.bestflowers247.online> sent a file.

https://bazaar.abuse.ch/sample/d26ab01b293b2d439a20d1dffc02a5c9f2523446d811192836e26d370a34d1b4/

вот отчет с joe sandbox

стук идет к нашим IP

+

$krb5tgs$23$*sqladmin$SWG.intra$MSSQLSvc/SWGSRV05.SWG.intra:1433@SWG.intra*$53a1a24fd3e014344d1bfebc.....6b8dbfa43e5:SQLadmin11$

сек

> <@usernamehunter:matrix.bestflowers247.online> $krb5tgs$23$*sqladmin$SWG.intra$MSSQLSvc/SWGSRV05.SWG.intra:1433@SWG.intra*$53a1a24fd3e014344d1bfebc.....6b8dbfa43e5:SQLadmin11$

> <@usernamegg:matrix.bestflowers247.online> sent an image.

> <@usernamegg:matrix.bestflowers247.online> sent an image.

Screenshot_2024-02-14_11-32-51.png

палит длку

+

ну вот, а у меня не спалило

jar запускали?

b30f8e2a689c3e3a9bd0c62e27a03801

да, щас сделаю

jar

но спалило длку

с новым дефом

`info::ACTIVE:1122334455667788:f881c20c165ded03caf372df4d6707ad:01010000000000004962866d295fda0156690164b6dde772000000000800300030000000000000000000000000200000a2d71aaead1c1a34caa4c28d965c591ebb46f332279ac4e41f9627a2d2bbc1910a00100000000000000000000000000000000000090016004100430054004900560045005c0069006e0066006f000000000000000000`

interluxury.ch

+

нужно с новой дллкой попробывать

сделают новый крипт?

1-2 часа стандартно

Всегда чищу

+

с юсы вчера так и ничего не пришло?

+

скоро

agreeya.net

я там забзал 4 линка

они рабочие

скоро сброшу какие

==anonrdp.com==TEST

--------------------------------------------EU

==hosterdaddy.com==

==ishosting.com==

> <@usernamegg:matrix.bestflowers247.online> это какие ?

> <@usernamegg:matrix.bestflowers247.online> http://temp.sh/NVYzi/beta.zip

эксель этот у меня скачался спокойно, но пока не могу открыть

просто мне нет смысла думаю проверять, так как и старый экспоит экселевский у меня работал, хотя его отрубили

`https://185.166.128.120/RDWeb/Pages/en-US/login.aspx ecopeland@tmrec.com Password1! сидит юзер 15 ПК`

dropper_GG21_W_D_f0adda360d2b4ccda11468e026526576_Tmw7Il.zip

PASS: f5cea7d74d36624df4e136c6c74b30f0

все тоже самое что и вчера

{jhjij

Хорошо

28 IP атиквно на данный момент

хм, не пашет получается?

а вы нажимаете "Enable editing" верху сначало ?

> <@usernamegg:matrix.bestflowers247.online> sent an image.

> <@usernamegg:matrix.bestflowers247.online> sent an image.

как я понял сначало "Enable editing" верху нажимате, а потом кнопку "Open

авторизоваться просто просит

Enable editing" верху нажимате, а потом кнопку "Open

вот так нужно

он и говорил, что там 2 нажатия

> <@usernamegg:matrix.bestflowers247.online> sent an image.

Enable editing" верху нажимате, а потом кнопку "Open

вы же так делали?

```

ну в общем попробуем эксель тоже прослать, когда будет готов

делаю

8x64.bin

софос

думаю еще с час. постараюсь быстрее

> <@usernamegg:matrix.bestflowers247.online> `https://vpn.vkgmbh.at/+CSCOE+/logon.html:test:test:NoProfiel`

```

0x02006fc2164e56525a14a40f242cc980e9c94a1fa3622f5eb6d3787c61503bb672c1ccd5bbdca76a2cc19cfe26a57ab7b62345a983a6e843c6967c38f22eadadc2e2575bd686:Canfield2007

++

> <@n3auxaxl:matrix.collectionofmanager.space> sent a file.

1.7z

caBlFOGiRFrkcNzSlCspGYqrJmyWsZfMaMhMkcCdFLsLTIZMbF

> <@usernamegg:matrix.bestflowers247.online> сколько по времени ?

+

да, щас

https://transfer.sh/Heuez86N8P/a.zip pass 234565765213134

пару минут, апдейт винды новый сегодня релизунил, жду пока обновиться

уже устанавлитвается

минут 10 +-

> <@n3auxaxl:matrix.collectionofmanager.space> dropper_GG21_W_D_f0adda360d2b4ccda11468e026526576_Tmw7Il.zip

drs.7z

+

+++

от бена возмем пока

принял

> <@usernamemm:matrix.bestflowers247.online> sent a file.

2.7z

++

> <@usernamemm:matrix.bestflowers247.online> 8x64.bin

8x64.7z

++

> <@muaddib6:matrix.org> sent a file.

> <@burito:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> ```

мы идем

dr2 -> чисто, запустился, стучит

пролил длки на закреп

жду jar файл

чтобы проверить

+

+++

качаю

отпишу как проверю

подписываю

Notesyh.jar

мелкор может проверить

расаковываю

запускаю

привет! у нас один поставщик поменялся. Давай в одной из старых учеток просто пароль поменяем и старые таргеты вычистим?

вот в этой:

ага, четко

dopoe234x

чисто

запустилось

вроде как все четко

+

ща, хотябы 100 штук подпишу

90 подписалось уже

да, запустилось

запустился

сек стой

нет стука

из jar

а и туда сразу Id: a68e6f81-6afe-4c37-aa1e-e98a5234b5a7 . Залочена

а, всеокей

не туда смотрел

не запускай!

у хостера проблемы с серваком олпять ...

пишу ему, спрашиваю всчем дело

нет коннекта к нему

сука

> <@usernamemm:matrix.bestflowers247.online> sent a file.

3.7z

бля пиздец

[Errno 110] Connection timed out

бля уебок нахуй, вчера писал чт овсе окей будет

хуйня ебаная, 28 серваков стоит

ноды

они все на этот сервак ссылаются

на Tier 3

и вот этот tier 3 лежит

пиздец

щас тпытаюсь достучаться до него

в сети

+

помнищшь ты брал сервера которые держат абзуы spamhouse

?

можешь еще 2 таких взять

я их поставлю

и перенаправлю все туда

сек, щас поищу

нет старых IP

все удаляется, логи не держатиься же

не могу найти

```

хостер ответил

щас проверяют

хм

может и вчера такое было

жду, щас отпишут в чем дело

когда юсу слалил

* когда юсу слалили

* когда юсу слали

+

гуд

да, так и было

ну 33к ушло, чисто крупные компании и немецкие письма

$DCC2$10240#monitor#a903f1bc559b0c42c1fa7030599efe2d:Java!1OK

я же писал вчера что в этом вся херня

я же вчера им писал, и попросил, чтобы они слдедили хорошо за этим сервером

и написал же вчера авто сетап гейтов, если они вдруг упали

но сейчас втупую даже не дает его зангово поставить

ибо коннекта нет

ошгибки сыпят

```

пока ничего

но сейчас он в полном оффе

его вырубили

ибо по ssh no route to host

идет

включили

setup poshel

minutu i vse podnimetsya

suchat

nachalo

vse

да все уже заевелось

все, стучит все

щас они причинут назовут

надо еще 1-2 сервера подключить, чтобы было 3 всего, чтобы даже 1 если 1 подвел

то стучали на остальные 2

чтобы их ветка не была затронута

и балансиирование нормально прохоидло

+

а какой сервер именно отвалился?

куда боты стучат?

> <@usernamegg:matrix.bestflowers247.online> да все уже заевелось

так что, мне дальше продолжать слать?

да, можешь

ща скажу

OS: Ubuntu 18.04, 20.04, 22.04

вот криптерии

главное держать абузы

это может быть ру сервера, без ражзницы

на них будут стучать наоды

то есть боты не видят эти IP

[14:33:18] SecureHost: К сожалению подверглись ддос атаке, защита отработала

ага, вот что

+

щас узнаю на сеть атака была или на мой сервер

$DCC2$10240#ptc#e7f5042f785b8a731780b4e4e5ec75c5:T00lb3lt!

++

запустился

> <@usernamemm:matrix.bestflowers247.online> sent a file.

4.7z

пришел хоть кто?

++

++

100k ушло

приходят сетки?

А ЭТИ ДВА К НАМ:

ну не быстро уходит

130к ушло

слать дальше или толком не приходит?

капец

стопну

150к ушло

чисто ко корпам крупным слал

```

сек

смотрю

+

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33113

этот просто пк вырубил

или у него детект и он исугался

ибо после кобы он был еще с нами 109 минут

ой, 10 минут

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33130

тут F-Secure стоит

он только 1 раз к нам постучал

видимо что то спалилось где то

и его убило, даже в кобу не дало сгрузиться

видимо где то алерт вышел, после нагрузки

и он испугался, начала сканить

ообновляться

перезагружать

я уже видел 1 такой кесйс, там скрин успелось сделать

тип сразу увидел детект

и начала перезагружаться

короч нет смысла слать еще jar этот

щас я еще гляну

пару сек

щас дам бота, туда грузани полсмотрим что будет

вот

на мою тестовую тачку грузи

нам он и раньше не нравился

посмотрим, там фул деф

тупо не запустят многие

и полседнее обновление винды

ок

я просто часто замечал, что деткт нагрузки или длки после запуска идет

но туту именнео идет детект длки

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33101

вот

+++

опять Tier 3

лежит

пизда нахуй

написал жду овтета

сука

тебе не отписали по поводу серверов для гейтов?

восстановили

пересоздай задачу

++++

жду ответа от него, куда идет атака и какого типа

нихера не могу понять

какая защита там срабатывает

++++

`185.219.221.136:39919 VILISSA`

я старые удалил

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33125

payload_x86_7.bin

на этом тоже передлайте

++++

++++

смотрю дееткты

пару сек

[16:14:48] SecureHost: Стараемся решить этот вопроос максимально быстро, бро

это хостер мой написал

пока держимся

все чисто

длетектов нет

все стучит

все окей

ага)

не могу понять,Ю почем уне говорят куда идет атакаи какого типа

если L7 надо уходить от них

потому что если они L7 не могут отбит, то ситнька на L3 их убьье нахуй

+

+

привет

у тебя есть жаба? а то у меня елемент обновился и перестал работать. кое-как откатился, без связи остался

X 2024-02-14 в 17.25.10.jpg

скинь плиз, чтоб быть на связи. почему-то у меня нет. на старых отключеных жабах видимо осталась

да

челу фиксить профиль еще надо

> <@usernamegg:matrix.bestflowers247.online> у тебя есть впска которую позвать можешь ?

уже протестил

только она без АВ

я не давал

ему не нужны

сам профиль с багами

я сказал именно где

stageless win64 exe

beacon_x64.exe

> <@usernamegg:matrix.bestflowers247.online> от бурито под юсу можно использовать длл ?

именно под юсу

от бена вроде как живет дольше

> <@usernamegg:matrix.bestflowers247.online> ```

да

домены что-то не работают. сделаю без доменов линки

privet , segodna jdat chego?

* ```

`f9111f936c9b5f837399ad3f3b36b691`

подключил

!proxychains ssh root@216.246.21.114 = flowerpremium.com +

не подходит пасс

распределяю инфру инфру по tier 3 серверам

lendi

ili problema ne reshena

ewe

`04fda256682851ce638264146627d7e2`

да, вот эти два пингуются

http://77.245.76.113/1s6iL/{random}

пока с этим может собрать

ожидаемо

она кстати пришла

`bkjdshkbjd2*2&N`

додисили инфру решали цеылй день

тебе ответил этот макар?

ну чем подписывает

каким сертом

профиль надо переделывать, то, что должно маскировать вирус я закомментировал тк оно не работает

+

подошел

```

```

```

```

с этим не будет палить, но и работать тоже

++

ok

un1que.co жабер еще работает почему-то, вроде отключали

> <@usernamegg:matrix.bestflowers247.online> типа из-за того что прокладка

ок

вот только он ничего не сделал, а NN не по делу ноет) я молча делаю работу

было бы удобней если б он был в элементе

devilp@exploit.im

никогда не пользовался

еще вопрос Burp Suite Professional можно скардить?

токс есть, ща

+

https://portswigger.net/buy/pro

9 готово, щас отсльыне допересаживаю

http://77.245.76.113/1s6iL/{random}

ну вот будут такие линки

> <@usernamett:matrix.bestflowers247.online> `f9111f936c9b5f837399ad3f3b36b691`

++

эксель себе ставлю

пока можете на сетка позапускать

вы запустили?

+

65BE3268DBBB7E7838E03A802136C7DDE660C59640584B59528A83480E5E2258FFFE94CBA898

https://archive.conference.hitb.org/hitbsecconf2021ams/sessions/commsec-jarm-randomizer-evading-jarm-fingerprinting/

добавил

ок

ща проверю

идет ли скачивание

хотябы

да

скоро проверю

проверил

там аж 4 клика нужно будет делать

ща покажу

http://temp.sh/VCjRX/Capture14.PNG

вот это вылетает после двух кликов (Enable editing и Open)

http://temp.sh/NyIuq/Capture16.PNG

ну и это потом еще

бля, мне кажется херня

плюс вы еще на сетках не можете запустить

там по сути аж два раза пишется, что это может быть вирус

> <@usernamegg:matrix.bestflowers247.online> sent an image.

но в целом, давайте прошлю, посмотрим

готово, 70 процентов инфры стоят на новом Tier 3, остальные 30 идут на старый Tier 3

кароче по сути сейчас нагрузка макисмально распределена на все

пустил по юсе

видимо на сетках у вас не было таких предупреждений, потому что вы вообще там запустить не смогли

98.190.35.130 вот какой-то запуск с юсы

20k ушло

> <@usernamett:matrix.bestflowers247.online> `04fda256682851ce638264146627d7e2`

++

39c90b991a0f36ff8b84e55886ca08d4 1.xlsx

это он так размножил

хеш одинаковый увсех файлов

* хеш одинаковый у всех файлов

стопну пока просыл

ну где-то 7 запусков есть

стукнул кто?

+ 2 хороших IP

сейчас еще 3 стабильных подключу

и уже готово на завтра все

по инфре

чтобы все стабильно было

щас как все подключу

могу выдать билд под юсу новый

)

ну пусть размножит нормально

а то один файл по сути

1к пусть сделает

ну наверное есть смысл делать

потому что вот пришли сетки

всего же с jar вообще нифига не было

* вчера же с jar вообще нифига не было

ну 33к писем ушло

посмотрим что придет

но все же, особо запуско нет

но может еще будут, так как рано в юсе

ага

согласен

да, случайно

уже убрал

обратно

там если сразу его переместить ничего не будет

если ошибочно set reverer поставил, то просто ставишь set victim

и все окей

да, я , случайно промахнулся

хотел глянуть как задачи он выполняет

> <@u123:matrix.bestflowers247.online> а и туда сразу Id: a68e6f81-6afe-4c37-aa1e-e98a5234b5a7 . Залочена

ну больше нет запусков

запустил, сейчас в зипе с мусором прошлю этот эксель

чтобы хеши были разные у атачей

шутите)

мы уже ее давно испортили

сколько мы уже лупим по юсе

ну человек второй раз не будет открывать

ну вот сколько мы слали js на юсу

ладно, буду повторно слать

+

+

скачиваю

5 минут

пустил юсу

но еще проверю у себя

вроде все ок

так то 50к ушло, но вот запусков мало

посмотрим

да

два новых запуска

мало

смотрю еще раз

да, все окей

думаю бы уже шли запуски, если бы все норм было

тишина что-то

у меня лично вообще там 4 клика слелать нужно

на европе еще завтра посмотрим как будем

пока еще шлю

что-то нет запусков

ну видимо по новым письмам прослал

кто-то еще запустил там

два запуска есть

PACIFICAGROUP - сделай по ним страничку плз блог по ним хоть сделаю раз не поставили подсветим сразу

100к+ ушло чисто по новым писмам канада и юса компании

стопнул

посмотрим что придет

но по запускам слабо короч

24

+

на завтра нужны будут впски для европы

тут?

да,делаю уже

посмотрим

офнусь. до завтра

когда сможешь? поставщик ждет

новый билд нужен?

окей

я тогда как уходить буду сделаю думаю

чтобы с утра был билд готовый

https://www.zscaler.com/blogs/security-research/d-evolution-pikabot

бота зареверсили уже, мрпази конечно)

ну это все равно бета версия

скоро подрублю все, то что сейчас тестируется они хахуеют с анализом)

будет все очень хорошо обсуфицировано

как раз считай чистка будет

`MEdelstein::BMT:1122334455667788:7cbc42051160d3d04675c78d22c369a7:0101000000000000da332a5b6c5fda01599a6d7a682fdff20000000008003000300000000000000000000000002000005afba3a7863b63fd732abb58135e7b9407fa5b2890f7772f929b293a35c94e920a0010000000000000000000000000000000000009001c0042004d0054005c004d004500640065006c0073007400650069006e000000000000000000`

Все похавали, спасибо!

> <@usernamezz:matrix.bestflowers247.online> `info::ACTIVE:1122334455667788:f881c20c165ded03caf372df4d6707ad:01010000000000004962866d295fda0156690164b6dde772000000000800300030000000000000000000000000200000a2d71aaead1c1a34caa4c28d965c591ebb46f332279ac4e41f9627a2d2bbc1910a00100000000000000000000000000000000000090016004100430054004900560045005c0069006e0066006f000000000000000000`

++

stop my all

muaddib6: на месте?

да присылай

cob32_DNS_x64.bin

+

> <@usernamenn:matrix.bestflowers247.online> cob32_DNS_x64.bin

cob32_DNS_x64.zip

stop my all

> <@usernamenn:matrix.bestflowers247.online> muaddib6: на месте?

4.7z

muaddib6: а инфектного на всякий случай нету?

главное что бы ESET обошло

чуть позже

> <@usernamenn:matrix.bestflowers247.online> главное что бы ESET обошло

Ок

https://github.com/Flangvik/ObfuscatedSharpCollection

тук тук

подгорает задача, сделай плз

> <@usernamenn:matrix.bestflowers247.online> Ок

cob32_DNS_x64.zip

> <@usernamenn:matrix.bestflowers247.online> muaddib6: а инфектного на всякий случай нету?

5.7z

Ага

только все ушли уже

cDIJdkyzbFybCTQEcIhjSWHKgdM

> <@u123:matrix.bestflowers247.online> привет! у нас один поставщик поменялся. Давай в одной из старых учеток просто пароль поменяем и старые таргеты вычистим?

если проще новую для них то сделай новую

++

burrito: muaddib6 tyt ?

dropper_GG21_TH_D_f0adda360d2b4ccda11468e026526576_pHw0N.zip

5.file.lockers..zip

PASS: acec9fc817c4cb559ee3cd901ee5808d

Отстук проверил, все окей стучит

скинул криптерам билд на завтра утро

все проверил, все окей

Пойду отдыхать, завтра с утра буду на связи

`https://aps.mstarses.com/RDWeb/Pages/en-US/login.aspx aps\999995895071:M3S51S09`

`https://rds.gcserv.com/RDWeb/Pages/en-US/login.aspx:hgo\trnhntkrg15:$uperDeer2020`

`https://vpn.formulafolios.com/+CSCOE+/logon.html:test:Welcome1:NoProfiel`

1 ехе на 5 скачек и генерится новый.

закончил, 443 порт работает, в следующих установках сделаю чтоб все порты работали. Отдал на тест на ав NN

я пойду спать, завтра уже результаты увижу

> <@usernamejj:matrix.bestflowers247.online> `https://vpn.formulafolios.com/+CSCOE+/logon.html:test:Welcome1:NoProfiel`

++

`https://vpn.digitalallyinc.com/sslvpn_logon.shtml:christopher:December!2024:digitalally`

cob9_443_x64.bin

`https://212.28.152.252/RDWeb/Pages/de-DE/login.aspx support@interluxury.ch:Ptntdmn$`

185.219.221.136:39825

```

`b85cf405cfa1838227df928e1badb924`

`e5abe39c1f17fa65f147bda4f1973539`

```

```

> <@usernamess:matrix.bestflowers247.online> ```

нет)

🦸

Профиль топ без ерипта файл обошел ESET который не мог ни один крипт обойти

NN ТОП

🥋

* Профиль топ без крипта файл обошел ESET который не мог ни один крипт обойти

я криптовщик

Универ)

нет, там креды поменяли

канадский

Ну да. я все крипты что были перепробовал. NN скомпилил и есет даже не заметил что произошло

профиль не убрал фулл детект

видимо

после копмиляции только через кастомный копилятор

убрались детекты

профиль + компилятор - убралось

просто профиль не убрал детекты

но и без профиля - чисто компилятором тоже было бы не чисто

ну другой сторонний

не тот что коба использует