нет

что бы это работало нужно логин пасс ?

19cob_payload_x86.c

такой подойдет ?

10 хостов аутлука надо по ревеню от 1B

что бы понимать мы застрянем тут на выхи с этим сплойтом или нет )

давай

ruler поставил себе

ruler поставил да себе?

пока точно не знаю

ты можешь напсиать NNN

'это мелкор

я его предпредил

все общение а то через меня идет

сарафан ъ

напиши лапе

он поставил ruler

а то все общение через меня идет

я устал быть сарафаном

мне нужно понять

отработает ли скрипт этот бз логина пасса

и мы сможем позвать сразу сервак экчейнджжа в работу и застрянем ли мы тут на неделю

а то много надо будет успеть отработать

если мы сразу этим сплойтом сможем притащить экчейнж в работу

будет ебать как круто

я пока поставлю выгрузку самых свежих хостов с shodan и фофа

> <@usernameyy:matrix.bestflowers247.online> https://pay.kassa.shop/?m=16399&oa=10000&s=8cfde0c13b18f27eef6f0d01e748b316&r=aHR0cHM6Ly9jcC52ZHNpbmEucnUv&currency=RUB&o=73849068.1712835964&em=vasiliy.petrov2334%40mail.ru&lang=ru&us_dest=%D0%9F%D0%BE%D0%BF%D0%BE%D0%BB%D0%BD%D0%B5%D0%BD%D0%B8%D0%B5+%D0%B1%D0%B0%D0%BB%D0%B0%D0%BD%D1%81%D0%B0+%D0%B0%D0%BA%D0%BA%D0%B0%D1%83%D0%BD%D1%82%D0%B0+a227786+%D0%BF%D0%BE+%D0%BE%D0%BF%D0%B5%D1%80%D0%B0%D1%86%D0%B8%D0%B8+%E2%84%9673849068&external_hash=a8f292cb5374fc5a4f878d12d24c31e3466d8ec&_r=https%3A%2F%2Fcp.vdsina.ru%2F&strd=1

> <@lapa:matrix.bestflowers247.online> и он говорит, что тип через этот эксплоит можно слать спам со своих эксченджеров(от которых есть доступ)

главное было бы что

и выкачать почты нужно обязательно

что бы пополнить нам всю базу

нам бы выкачать еще почты оттуда

если можно слать то тоже супер

мы как то уже слали

пиздец сыпало

сейчас собрать нужно все хосты хотя у нас уже итак их много

> <@n3auxaxl:matrix.collectionofmanager.space> комовская под эту уязвимость

х86 я тебе сделал .c

++

он длл собрал с моим шелкодом

нужно ему дать несколько хостов экчейнжа

аутулуковских

куда отправлять ?

в инбокс ?

слать по ним нужно ?

капец

а как

у нас норм дроппера то нет

++

я в кобе

смотрю придет стук или нет

04/11 18:58:33 *** initial beacon from Joe Biden@10.0.2.15 (DESKTOP-CQQJG02)

да

работает значит

owa есть же

нашел owa ?

dll tuj hf,jnftn

dll его рабоатет

тачка его пришла к нам где он ее запустил

04/11 18:58:33 *** initial beacon from Joe Biden@10.0.2.15 (DESKTOP-CQQJG02)

> <@lapa:matrix.bestflowers247.online> через руллер не аторизуетеся

SOCKS5 - 51.83.131.88:41325

ну доступ на экчейнж

на нем можно оттестировать

./ruler --domain='webmail.ifb.uni-stuttgart.de' -e 'pettas@ifb.uni-stuttgart.de' -p 'Dg8L7Yt2' check

у тебя так же

понял

ок

смотри

если мы сможешь напрямую затягивать тачки в работу экчейнжа это будет круто но так же нужно будет сделать что бы лапа смог выкачать все почты оттуда и пополнить нам базы для спама

просто у нас базы на послеждем издыхании

они были выкаче эксплойтом так же

тогда будем спамить опять долго и счастливо долго и много будет лететь

сперва прямо с них будем слать как выкачаем потом уже будем слать сами когда начнут прикрывтаь эту дырку они

они начнут фиксить ее активно на 4й день

так уже было

главное сейчас нужно понять

ага

вижу

ты с ними в саму ову заходишь ?

хм

Снимок экрана 2024-04-11 в 19.27.40.png

если такое слать на кобу ее быстро локнут

если такое слать на кобу ее быстро локнут

ее засыпер реверсерами сразу

и они выебут кобу за 5 минут

мы уже с тообой слали как то кобу

5 минут и все

кобу выебут реверсеры

и она в офф уйдет

сорян за мат

пускай под пику делает

и можно будет потом прослать

нам без разницы на каком компе откроет работник эту форму ? или нужен только экчейнж сервер ?

так

ну

а дальше что мы получаем ?

тачка придет аутлуковская к нам

что мы через пику дальше сможем с ней сделать ?

пролить какой то шк что бы можно было выкачивать почты и тд ? ёчто бы не палилось

да в кобу то понятно, это изи

а почты выкачать

Снимок экрана 2024-04-11 в 19.31.41.png

ладно

форма эта палиться не будет ?

шк от пики сделаешь ?

по дефу чисто будет ?

как это будет выглядеть вообще

а там исполнеине шк

++

круто да

да

хорошо

Снимок экрана 2024-04-11 в 19.36.00.png

соник хороший доступ

hymer-alu.de https://195.243.249.121:4444 Hymer LMB lionel.salek@hymer-alu.de Vanina2611 | Done

сделали их

oceaneering.com CISCO - хороший доступ

anthemproperties.com RDP(dostup) naw

хороший доступ

addsys.com CISCO

хороший

к тому что кто сделал уже зп нам а кто то на подхзоже

что бы ты понимал примерно куда идти и что смотреть

++

мы с тобой спамили пару лет назад когда уних небыло столько систем защиты а сейчас там просто ад какой то cnfdzn nelf есет, софос, сентинел, крауд, каспер, виндеф, битдефендерь киберризен

просто ебемся что бы найти тачки без Ав

даже дефендер лютый стал

только брейкер

так

с 25 апреля по 2 мая будет неделя отдыха

с 25 апреля по 2 мая будет неделя отдыха

немного заепались все

нужны небольшие кани кулы

подкипает уже

да да

нужно отдхонуть побыть с родными людьми.

Снимок экрана 2024-04-11 в 19.54.32.png

ладно

interstatechem.txt

cpi.local.txt

revenuestorm.com.txt

parkwestgallery.com.txt

gympart.com.txt

да, лапа мне так же сказал что он штук 30 прошел и не законектился

vantageasset.net.txt

www.flynncompanies.com

www.numotion.com

собери по ним данные

и номера телефонов

тз надо написать звониле

что много данных по ним

> <@usernamegg:matrix.bestflowers247.online> www.numotion.com

хотяб уже много предлогали

athccorp.com.txt

да

там же все

зачем тебе данные ?

они на другом фтп

да

сайт

есть

гоогле

там найти можно весь менджмент

кому звонить и что говорить

www.flynncompanies.com - эти вообще не выходили на связь

они как будь то и не знаюж о нападении

нужно просто мне инфу подготовить для звонка

номера телефонов и тз

assystem.com https://90.115.177.129:10443 eaelfeqy Assystem+2019 France

assystem.com https://90.115.177.129:10443 eaelfeqy Assystem+2019 France

надо по дефолду поменять время 10 дней

давай сделаем 15-17 дней

долго идут диалоги

++

ну как там ?

разобрался ?

++

asgllc.com.txt

orlcommercial.com

> <@usernameyy:matrix.bestflowers247.online> 178.236.246.148 проверь оплату прокладки этой

она к домену како то привязана ?

Снимок экрана 2024-04-11 в 23.53.06.png

опять началось

было такое уже у этого хостера

могу ос переустановить

?

принял

stax.com.txt

abcgrp.com.txt

85.208.184.37

новая прокладка

да

с нуля поставил дебиан сеть где по быстрее и по лучше пинг.

да поменяю

95.216.97.206

а эту забрал на днях ?

++

++

178.236.246.148 заменить на 85.208.184.37 = thesiliconroad.top

готово

dlhbowles.com.txt

pbhcpa.com.txt

Снимок экрана 2024-04-12 в 00.52.53.png

пока ситуация такая

ecsfin.com.txt

formglas.com.txt.

abctech.com.txt

nrec.net.txt

newriverelectrical.com.txt

davidsonhomes.txt

rmestrada;Campostax99;http://mail.campostax.com/owa/auth.owa

* ```

отлично

ну а ты с формой разобрался ?

чисто будет ?

главное что слать ведь

сам дроппер

в этом случае это какая то форма

Снимок экрана 2024-04-12 в 11.17.07.png

а как они будут запускать дллку нашу ? ты понимаешь что дофига делов объсянить людяим как заупстить длл )

это же не ехе

нужен дроппер который стартанет эту длл

а ты форму эту размножить сможешгь ?

что бы она спам фильтрами не палилась

я понял ё

это очень круто конечно в целом

ну а как слать то ее ?

что в спамилку нам засунуть

сделать надо длл тогда и отдать на крипт

потестим сегодня на сетках которые есть

поотрпавляем им письма

я сам пооткрываю на их аутлуках

куча рдп у меня с аутлуками

в боевом режиме протестим

а к пн массово начнем

подготовимся

не

без крипта не надо

максимально приблизим все к реальности что сделаем в пн

сегодня надо оттестировать

[07:43:07] KernelMode - killer EDR: а ты как запускал? нужен запуск экзешника от админа. в консоль лог выводиться при запуске

как заупскали ?

мне уже второй человек пишет

кто спамит

что типа есть неплохой вариант проспамить

все эту уязвимость хотят отжарить

Спам по формам обратной связи для админов - уже оттестили на ботнете - но там он сырой

привет

принял

CISCO_VALID_ITEMS.txt

WG_VALID.txt

FORTI_VALID.txt

SONIC_VALID.txt

AUTH_VALID.txt

VALID_BRUT_RDWEB.txt

VALID_BRUT_SONIC.txt

VALID_BRUT_CISCO.txt

вчера было 10 файлов

сегодня 8

какую то форму хочет спамить вот чел

```

++

какая точка входа у длл у нас ?

спросил

flynncompanies.com

`$krb5tgs$23$*MexicoAdmin$ABCGRP.COM$abcgrp.com/MexicoAdmin*$6b55f`

[12:47:17] Radost молодой спамер : я жду кодера и скину ТЗ на след неделю по крипту

abcgrp.com

вот к ним бы впнку найти конечно

выпилили нас

++

а до этого какой был доступ к впн ?

циско

а сам доступ скинь

сейчас сервера посмотрят

[13:15:01] SecureHost: Сейчас проверим, бро

https://23.253.14.180:443 PLASTIKON careers careers

локнули впнку

и выпил пошел

короче нас попросили оттуда )

выйти

и локнули впнку

найти бы новый сосок куда присосать )

[13:17:11] SecureHost: Бро, ты для кажного сервера изменил порт для подключения?

Видими, что сервера у тебя включены

Можешь подсказать порты, чтобы мы могли проерить доступность по этим портам

все отбой дал им )

тревога ложная

делает вот сейчас

говорит для него подходил длл от Пики

типа ее можно будет слать

с формой что то решает

сегодня потестим на сетках к которым есть доступ к аутлуку

которые рдп веб у нас начекались

там есть у них аултуки

туда поотравляем

если тесты пройдут успешно

то в Пондельник можно попробовать массово прослать

прикол в том что это как 0клик

главное что бы он просто письмо прочитал )

жесть

да

ну тогда сейчас соберу рдп веб где есть аутлук

срочно

мне надо рдп веб

сетки

где стоят аутлуки почтовые

помнишь ?

штук 10

мелкие какие нибудь

сейчас отчекаю валидные рдп веб с аутлуком

можно там позавпускать будет длл

да да

новые надо

сейчас у тебя насканилось что то ?

========================================================================RdWeb====================================================================================

там есть рдп валдиные мелкие в аутлуками ?

мне мелочевку надо оттестить

эксплойт

51.89.241.90

верни рдп мне )

в работу

да лапа уже сказал мне что на питоне ты там пишешь

не фиксили они еще это

там что должно залетать

пиздец как

++

СПАСИБО 100

active-pcb.com https://213.121.252.252/RDWeb/Pages/en-US/login.aspx helen.montague@active-pcb.com:William01 Не смог позвать

я сюда пока записываю что нахожу с аутлуком

я в трех аутлуках уже сижу

готов тестить

Снимок экрана 2024-04-12 в 13.51.13.png

> <@n3auxaxl:matrix.collectionofmanager.space> нам походу кред нужны от таргет юзера

Снимок экрана 2024-04-12 в 13.51.13.png

жду от него длл

да да

все проверим

https://www.sendspace.com/file/5204rf

ssh

качай

сейчас соберут мне ssh за все время

все

хватит

[14:40:37] Simillar: Такого нет, есть ssh'ки c root доступом

есть такие

> <@lapa:matrix.bestflowers247.online> ладно, я пока тут думаю как узнать есть ли опреденный пользовать в впн

я даже не думал на эту тему

> <@lapa:matrix.bestflowers247.online> но пока не получается. они видимо это учитывали)

если ты знаешь что у этого юзера есть впн

просто нужно сбрутить пароль

брать ssh

> <@n3auxaxl:matrix.collectionofmanager.space> я тебе там скинул 1 прикольную херню

проблема еще в профиле кобы

20dns_payload_x64.bin

20dns_payload_x86.bin

23_smb_payload_x64.bin

23_smb_payload_x86.bin

23payload_x64.bin

23payload_x86.bin

GetModuleProp

точка входа

и нужна мне будет строка для размножения обязательно.

согласен

но когда знаешь все по другому

толкьо dll

* только dll

нет

это просто крипт делаю для дивжения

но можно будет и сгружать с пики потом этими файлами

давай

нужно будет пофиксить профиль тоже

с профилем знаю что там

!!!2083.txt

cpanel

мы когда то отчекаем их ?

он просто мне всю голову сделал

++

++

жду с инфецированием

кошель

image.png

это что за ру ip ?

https://twitter.com/RakeshKrish12/status/1767807831309259148

1f201f0c9a45e88b653bdd7284aef59c84de2ff6200445f8ea5d13554baa9f2f

23payload_x86_cr1.dll.zip

++

ну что ?

выходит ?

[18:34:00] Drakon_ubuntu: привет

они все активизировались

так

сетку два дня назад ставили

Hyper-V

не залочило диски

мелкие залочило

может его залочить не до конца

сейчас по рдп зайшли

посмотрим

а если он поцарапан

мы его востановим ?

под трафф похоже

++

++

не пишут пока

не проверить

кред нет

там фалкон

он ебет их

разрешения не было на них(

уже все

они потушили компы

поехали домой

я пока тут сижу

можно проверить как на линуксе последние байты

можно проверить как на линуксе последние байты

погода испортилась прямо на выходные

капец просто (

такая херня

давай

хорошо

давай

ну как ?