да тестил всё это время

я короче ушел, пиши если что в лс

`https://www.bleepingcomputer.com/news/security/duvel-says-it-has-more-than-enough-beer-after-ransomware-attack/`

`tetrapack:$DCC2$10240#tetrapack#f314ffd15bd1167052ae409acb6e5060`

Nea

image.png

подпиши плиз кто есть кто, чтобы завтра не напутать с idшниками и оформить блоги

> <@usernameww:matrix.bestflowers247.online> 5file.lockers.zip

++

cr.zip

X 2024-03-13 в 03.07.41.jpg

COB_NL1DNS_x64.bin

Нужен только инфектный.

`185.219.221.136:37823 ERO DC FIZ`

image.png

GG: !

`64.176.219.106:44877 AMERLUX`

иконка вернулась за компанию

хоть и не просили

Сетка упала после запуска локера через 10 минут. не могло системную папку локнуть?

yy:

в этом плане не менял ничего

Ок

упала в смысле rpc или тотал?

тотал

до лока ESX

но туда подлил

`185.219.221.136:38815 SCHULTEDOM`

Привет! Скоро сброшу, что набрутило

CISCO_VALID_ITEMS.txt

SONIC_VALID.txt

WG_VALID.txt

SOPHOS_VALID.txt

PALO_VALID_FILTERED.txt

SONIC_BRUT_VALID.txt

WG_BRUT_VALID.txt

работает

и даже к вчерашнему синглу коннектит, я могу его юзать или уже отдали кому то?

`dellp@ssw0rd1`

FORTI_VALID_REVENUE.txt

`\\10.10.1.83\C$\My Documents\Company\`

`schultestorage.local\SLARKINS ~schulte1`

```

> <@usernamegg:matrix.bestflowers247.online> ты как себя чувствуешь ?

> <@usernamegg:matrix.bestflowers247.online> много насобирало свежего ?

+

а, да, забрал

на брут поставил

жесть. серьезное что-то ?

ааа

ну у тренера тоже такое же с носом. Ему вроде попровляли, но все равно итогда закладывает)

ну вроде не сильно стремная операция

Email Addresses.xls

NetPass.xlsx

Password Changes.xlsx

```

> <@usernamess:matrix.bestflowers247.online> sent a file.

> <@usernamehunter:matrix.bestflowers247.online> $office$*2010*100000*128*16*6234b922ad3f4304619e64b2b0961dfc*2cfc656f5cb93eac486ce470a7405d64*ee4005ce6c16fa50e91405398d7e2b43c35884a7d003f54538d1d0ff857d4401:goodluck

> <@usernamess:matrix.bestflowers247.online> sent a file.

++

Добрый день. Что сделать?

ладно. офнусь. все равно еще до конца не выздоровел

> <@usernamess:matrix.bestflowers247.online> sent a file.

++

Привет, скоро отпишу

щас тесты финальные погоняю и отпишу

```

дабл я взял, какой еще список есть?

> <@usernamegg:matrix.bestflowers247.online> sent a file.

а спасибо не увидел

дада я всё активировал уже спасибо

Готово rundll32 file.dll, CreateDiff

1.7z

строка:

LnkhNVzZyMvqRvdLwREiEWThFqSZYebUcnsxDyCmPadPiBmXKF

пока стопай его

все равно слать нечего

сразу как будет все поднимем сделаем

p3_dns_x64.exe

привет, только x64 только один вариант, любой

+

пофиксил всё что хотел в брейкере, я сейчас делаю контрольный крипт и вкидываю в чат тестов билд. Будет днс на данный момент, без перезапусков (перезапуск не работает)

> <@usernameyy:matrix.bestflowers247.online> sent a file.

3.7z

> <@usernamenn:matrix.bestflowers247.online> COB_NL1DNS_x64.bin

COB_NL1DNS_x64.zip

не запускайте пожалуйста на своих компах это, мешаете

ok

ок

> <@usernameyy:matrix.bestflowers247.online> p3_dns_x64.exe

p3_dns_x64.zip

* строка dsfgdfghgfdhjgfgfdb

бро привет

graitec.com

строительная крупная компания 130+кк

есть доступ к рдп

через anyconect

как тебе передать на тест?

* софт для инженеров строителей 130+кк

пишут что французы но нет

Привет

* пишут что французы но там много филиалов

p4_dns_x64.exe

> <@usernameyy:matrix.bestflowers247.online> привет, только x64 только один вариант, любой

+

p4_dns_x64.zip

> <@usernameyy:matrix.bestflowers247.online> p4_dns_x64.exe

> <@usernameyy:matrix.bestflowers247.online> sent a file.

дак оно же не работало вроде

3.7z

работало там всё

в общий чат кидал

guide.txt

web-panel:

Пейлоад:

p4_dns_x64.zip

Ок

Любой из них. Инжект не подключил, есть 2 варианта: инжект днс (ну с таким весом это будет где то полчаса) и инжект обычного tcp, какой сделать?

это нам тестировать?

я пас

в общий напиши лучше есть кому тестить

не хочешь - не тестируй, флудить не надо, еще раз прошу

аааа

блин

сорня меня заклинило

говорят 6 digits

я уже на английский перестроился

* меня заклинило

я думаю он там точно так же прочитал 6 zeros ни как миллион а как "шестизначная сумма

на самом деле, я давно заметил, что, если немного не доводить до миллиона, то

то это сильно снимает психологический шок, и помогает им самим убедить банки или offices в предлставлении emergency fundings

и в очень многих финансовых транзакциях есть разграничения на суммы до миллиона и после

* я прочитал 6 нулей как 6 digits - потому что обучно именно так пишут

* я думаю он там точно так же прочитал 6 zeros не как миллион а как "шестизначная сумма

скачал и открыл any desk

в тхт доступ

147.78.47.208

тип подключения консоль

я с тобой не спорю. Но цена пришла к миллиону. На этом этапе разумнее перевести в 900+ тысяч, потому что это сильно увеличивает шансы получить деньги в полнейшем объёме.

потому что, чтобы заплатить тебе такую сумму - миллион - им нужно обратиться к третьим сторонам. А для третьих сторон сделка до миллиона куда более приемлема чем сделака в миллион

можно написать не 950, а 975 - там разницы никакой

логика одна и та же

990 можно даже)

неа, я аудитор

это не про психологию, это про законы

так ты сам написал 500 x2 - это миллион - как я с миллиона назад на 2 перескочу?

друг, ты буквально в этом же чате выше перевёл цену с 1,520 на 1 миллион - шан на 520 тысяч, я сделал от этой цены шаг в 10 раз короче - с миллиона на 950, - на 50 тысяч.

я сам цены не устанавливаю, всегда спрашиваю тебя. Но так как ты сам понизил цену, я повторил за тобой же только в десятикратно меньшем масштабе

* друг, ты буквально в этом же чате выше перевёл цену с 1,520 на 1 миллион - шаг на 520 тысяч, я сделал от этой цены шаг в 10 раз короче - с миллиона на 950, - на 50 тысяч.

ой опечатка

запутался в них

в общем к удаленному столу через anydesk

11_krb.txt

да, да вот как разнимаюсь этим, попутно разибраюсь как быстро и правильно искать доступы в сеть

> <@usernamezz:matrix.bestflowers247.online> sent a file.

++

с новыми кобами проблема с генератором профилей, пофиксил вручную пока, ошибку зарепортил мекору, но в сам генератор я тоже внес правки (потом апдейтну с его правками), брейкер сервер поднял, скинул в чат тестеров, там состоят ZZ SS и NN, тебя добавить? там софт на тест чисто, информация бесполезная

днс профили еще нагенерил скинул на будущую установкук

хорошо, забыл про JJ да

zz норм, он бывает помогает и активней всех участвует, если я что-то прошу

он пока обиделся

позже добавлю

недолюбливать меня стал

за то что я даю отпор

nen

тут

впн слетели

пару минут

восстановлю

Ребят, я создал чат для тестирования софтов, вход по желанию, работа нудная. Туда кидаю софты со всякими ошибками, которые обкатать надо, там же их обсуждение происходит, чтобы чат не засорять этот. Если у кого есть желание и время помочь - отпишите тут или в лс, чтобы я добавил

```

1 таргет там есть, это моя виртуалка, я сам протестировал тут всё, кроме .net assembly

> <@usernameww:matrix.bestflowers247.online> sent a file.

> <@username777:matrix.bestflowers247.online> on

.бля точно сорян

++

не до конца, слетел сервак с VPN, новый взял хуйня с DNS, не могу прокидывать

> <@usernamegg:matrix.bestflowers247.online> ну ты почистил ?

щас восстановлю все, а то работать не могу

щас на аварийном впн, на нем не могу долго сидеть на серваке, щас новые серваки жду, скоро выйду на связь все расскажу, что щас делаю

в кратце, что сейчас делаю - допереписываю артифакт

там web.de

это не корпы все же

и мне нужно переделывать все же чекер, чтобы этот файл чисто de соксами чекать

завтра сделаю

привет, ну что, сегодня?

я с завтрашнего дня по вс буду отмечать если что

буду оффлайн скорее всего

привет, столкнулись с такой проблемой

ставим ани закреп

но его билд убивает

можно как то флаг сделать , чтобы не убивал ?

как с рдп

я пошел отдыхать

выйду из сети

лок убивает ани деск)

не плохо

НО

если если есть возможность выборочно запускать билд не убивать АНИ

т.к. успех зависит, когда сеть просыпается

мы добиваем их

получаю еще доступы

так же как флаг -nordp

мы иногда 2-3 дня сидим в сети после лока

чтобы добить остатки, и запущенные машины

`iconplc.com`

сек

iconcr.com

beacon.iconcr.com

* ```

и смотря что надо

ну всм файл какой

что там стоит?

ну тут ты прав

нет уверенности в файлах

артифкат?

я тоже попробую скроро

* я тоже попробую скоро

после того как отмечу

сяду пытаться переписать исходный

ku

qq

privet

https://www.zoominfo.com/c/wrexham-county-borough-council/42811890

takoe interesno

?

```

takoe interesno ?

Города не берем

ok

ladno uzhe otvetil $$)

cob16DNS_x64.bin

обойти Sentinel

`185.219.221.136:37185`

`GLOBAL.ONTEX.NET/126640:$DCC2$10240#126640#1f4571245c36f2cedf1b5cad6b749dca`

> <@usernamenn:matrix.bestflowers247.online> `GLOBAL.ONTEX.NET/126640:$DCC2$10240#126640#1f4571245c36f2cedf1b5cad6b749dca`

> <@usernamenn:matrix.bestflowers247.online> Раньше был у него такой пароль `LISArb57@!#`

привет. у меня человек готов. уже приехал

я готов

неа

через меня получится передать информацию?

`64.176.219.106:42275 BULWARKCORP`

могу я передать инфу. я тут буду

или скину номер телефона чуть позже

он с телегой плохо дружит)

да. он подьедет куда скажем

ok

`64.176.219.106:42531 BULWARKCORP`

круто!

комиссию за транзакцию надо высокую поставить?

```

потавлю 50

ок

отправил

монеты

мой чел часов через 6 будет готов

телега удалена почему

* телега удалена почему-то

осталась только партнера

да

пишет аккаунт удален

моя есть?

написал

shares.txt

`64.176.219.106:41067`

я тут

ура блять

выдали и настроил

пиздец неделя какая то хуевая уас прсото

слишком дохуя разных палок в колесах

сегодня будет у тебя уже aartifact

и будет psexec чистый

ну и по сути спавн тоже

там все от артифакта зависит

я посмотрел

оно палит в памяти его

как он выполняться начинает

сам дроп чистый

Привет!

WG_VALID.txt

SONIC_VALID.txt

FORTI_VALID.txt

SOPHOS_VALID.txt

CISCO_BRUTED_VALID_IPS.txt

SONIC_BRUT_VALID.txt

WG_BRUT_VALID.txt

> <@usernamegg:matrix.bestflowers247.online> [15:19:10] kellx - 163к база его была: есть 6к валида германии. но нужно чисто на де пркосях хороших

я тоже

да

Занимаюсь

`oceaneering.com`

`oceaneering.net`

```

blog.exe

blog32.dll

blog64.dll

`rundll`

+

еще не обойдет его

а как он вас выпиливает?

на какой стадии?

опиши, что вы делаете

и видите ли вы детект?

опиши +- процесс, пойму думаю сразу куда смотреть, что именно он палит

динамика или статика?

LINUX: https://backconnect.org/?id=da898393512221b7e5550400ed60cf8d

а у вас работает?

чистый лист у меня

ага, стук был?

откинуло после каких то действий?

> <@usernamegg:matrix.bestflowers247.online> сейчас даже не подлете хавает фаил

этот файл уже тупо не запустить, потому что он уже есть в базе как вредонос, там статика идет на сигнатуру которую АВ сделал для файла

можно сказать кастомный хеш

сводка функций, IAT, EAT и так далее

делает на основе этих данных хеш

когда видит файл

мне интересно больше когда он спалился

ага, но нам же виндовс нужен?

ну изначально

вот он не работает что-то

+

вот вы запустили этот файл, вам пришел стук, после стука файл спалился, но маяк живой

вот типо такого мне надо

может быть и так, но это едрка сильная

там думаю сигнатуру сделали

попробуйте хеш поменять, может и поможет

```

если поможет, то АВ работают проще чем мы думаем

> <@usernamegg:matrix.bestflowers247.online> копировался и съедался

это статика, он в sandbox его хавал

да, суть уловил

просто строку хочешь менять?

привет

да, поднимал когда то

длл не было никогда

ну мне нужен домен, сервер

exe будет, dll под вопросом

надо сначала затестить

helpatelier.com.exe

> <@usernameyy:matrix.bestflowers247.online> sent a file.

+++

Да он грязный уже

helpatelier.comx64.exe

хеши меняли?

> <@usernameyy:matrix.bestflowers247.online> sent a file.

а панелька где?

Да, для размножения я и делаю строку

Делаю. Постараюсь максимально какчественно. Но это может занять 1-1.5 часа

да, я уже выслал билды

http://91.240.202.138:81/

```

нашел изьян в кобе

Хорошо

кароче именно сам raw по сути мы не сможем вычистить

щас обьясню

нашел один участок, который подтверждает, то что я изначально думал

почему raw нельзя почистить, к примеру как в metasploit

щас обьясню пару минут

дааа

вот я щас тебе опишу

```

вот пример энкрипта стандартного

он смотри как делал

кароче

ааа, хотя нет

сек

спасибо

только холтел попросить

щас гляну

> <@usernameyy:matrix.bestflowers247.online> ```

ты ему точно raw отдавал?

не .dll?

jjj

о

вот

ага, поняло

* ага, понял

вижу теперь

.0 файлы

.j

* .o

давай

+++

окей

мне чисто узнать, как имено он влияет на raw

просто я могу на него повиляет из артифакта

только зашифруя его

и закинуть в артифакт

для дальнейшего pwna

кароче жду его щас

щас тебе обьясню как работают эти артифакты

их надо чвычистить в любом случае

ибо именно они отвечают за psexec , spawn

и множество функций, который у вас в кобе

потмоу что если инжект идет, то именно оно пройдет

а не шк

шк это как начальный вход можно сказать

его генерит сама коба

то есть не кит

а коба

и передает его киту

а тот уже делает .exe, .dll, .svc, .ps1

ит ак далее

вот, его то я перепишу этот кит, доделаю все

но суть в том, что именно raw бы еще почистить

асма нет просто тут вообще

есть асмы инжектов

+++

окей, жду тогда его

щас еще тоже постораюсь найти инфу по поводу кфц

кфц

* raw

окей

я уже нашел походу)

да, походу все нашел

надо свою херачить туда

в .cna просто реплейсить ее

от кобы которая

кроче щас отпишу скоро

`ICON — это американская организация по разведке и клиническим исследованиям со штаб-квартирой в Ирландии, которая предоставляет услуги консалтинга, клинических разработок и коммерциализации для фармацевтической промышленности. В ICON работает 38 000 сотрудников в 147 офисах в 46 странах`

image.png

а ты делал крипт с моим профлием?

профилем?

или со старым?

я уже понял что он переписывал

он как раз таки рефлективку переписывал

helpatelier.comx64.dll

helpatelier.comx64.dll

это тоже

dll пока только x64

на крипт закинул

есть у меня идея

но запуск может быть из двух файлов

сделай с моим профилем raw и отдай на крипт

сразу stageless

raw

и пусть сделают dll из него

с точкой входа - GetModuleProp

главное чтобы статика была чистой

остальное по моей части

ну и нормально крипт по динамке был

попробуем через side loading

бен же сможет кобу криптануть?

только сделай

x86

на нем проверим

смогу и x64 делать если что

EDR должны будут молчать по идее

суть заключается в том, что мы будем запускать легетимный exe

который с сертом и так далее

кароче должно быть норм

окей

сделаю под x64

ок

kekhash.txt

я не скажу

потому, что я просто поставил ее на брут

у меня нет стата, от кого валидный впн получился

+++

но там еще много доступов китов(msn.com, live.com)

я еще проверю, как они попали в список нужных доменов

+

+

> aol.com [3761025]

ну да, туда в список нужных доменов папали еще эти домены

ну и врядли с них там будут доступы к впн

ну я догадыюваюсь, как они туда попали

скоро подготовлю свежий список

присылаю кобу

RD_DOMAINS_NEED.txt

обновленный список

> <@usernamejj:matrix.bestflowers247.online> sent a file.

1.7z

Делаю дальше

RD_DOMAINS_NEED_BIG.txt

лучше даже по этим, у них ревенью

* лучше даже по этим, у них ревенью от 15 млн

> <@usernameyy:matrix.bestflowers247.online> sent a file.

main

+

`$DCC2$10240#crsadmin#2c67118dee868e25850cd12b9018ca70`

stop my all!

> <@usernamegg:matrix.bestflowers247.online> sent a file.

2.7z

DEewuTduXMpFrlCSjHAXTNFZCdhIRbDHzrYzKoOSPSHLSspNWe

строка

+

ku

ок, скоро попробую сделаю в вебе

> <@usernamegg:matrix.bestflowers247.online> а тут какая сигна для размножения ?

строка

\сегодня у всех такая строка

> <@usernamegg:matrix.bestflowers247.online> этот скоро будет готов ?

+

> <@usernamegg:matrix.bestflowers247.online> как ты себя чувствуешь ?

пасс 42343423423456234523535

да, эту неделю точно никуда

заливаю размноженные

и сделаю веб версию

да

https://file.io/HGRF8wQ9U60a

пасс 42343423423456234523535

+

+

> <@usernamegg:matrix.bestflowers247.online> ок

пасс 23465287436528735683

cob16DNS.zip

> <@usernameyy:matrix.bestflowers247.online> helpatelier.comx64.dll

helpatelier.comx64.zip

+

> <@usernameyy:matrix.bestflowers247.online> sent a file.

3.7z

DEewuTduXMpFrlCSjHAXTNFZCdhIRbDHzrYzKoOSPSHLSspNWe

> <@usernamegg:matrix.bestflowers247.online> 16dns_test_payload_x86.bin

16dns_test_payload_x86.zip

> <@usernamegg:matrix.bestflowers247.online> sent a file.

DEewuTduXMpFrlCSjHAXTNFZCdhIRbDHzrYzKoOSPSHLSspNWe

4.7z

скоро я доделаю веб версию для размножения

и вам дам линк

скинул номер

> <@usernamegg:matrix.bestflowers247.online> dll из него

> <@usernamegg:matrix.bestflowers247.online> rundll32.exe dll.dll,GetModuleProp

http://64.52.80.70/rnd_6865656.php

+++

+

щас сделаю

отпишу

пару минут

> <@usernamegg:matrix.bestflowers247.online> helpatelier.com.exe

helpatelier.com.zip

++

ok!

+

17_443_x64

17_443_x86

> <@usernamegg:matrix.bestflowers247.online> helpatelier.comx64.exe

helpatelier.com.zip

ku

```

++

est' ctrix , vnutri crowd

rdp mogu dat'

esli es't chem pozvat'

moy ne zavyotsya

щас файлы тестили, вроде пришел сентик

95.181.173.255