в матриксе он тебя добавил

Как ты ? )

жив здоров ? =)

У нас коллектив вроде нарулил тему по ботам, реализуем щас :)

Будет что - то появляться сейчас целевого по юс 100-1б

Из тестового, что ребята не могут раскрутить есть сейчас

Ну так))

будем рабоать, идеи классные есть, уже есть и релизация

Да

Ну было больше, с отстуком проблемки есть, но решим, будем на легетимник сгружать

Мы протестили гипотезы лпе 0 дей + скринконнект отрабатывает хорошо :)

> <@usernamegg:matrix.bestflowers247.online> это с точки ?

Не, там не в ав проблема, просто двинуться не могут

Отстукивает, все норм

Как вообще с профитом ? Работа движется ?

Ну вот они пока сами по себе болтались, особо не перформили :-(

Ну класс что с аутлуком выходит, тема норм, я читал про нее.

А вы сами получается пок сделали ? или взяли готовое решение и адаптировали его ?

Ну класс, молодцы, не унывайте, это похвально :)

Ну вы тоже вибрайте цели руками кому это закинуть ?

Мы вообще идем руками, просто звонками доводим до запуска малвари, долго возились, но сейчас пришли к рабочему варианту :)

Давай до понедельника, тоже рад тебя слышать )

Вообще рад, что старая гвардия осталась :)

Вместе точно хорошо заработаем ;-)

мы хотели чекнуть акки к впн, чтоб доступ к бд восстановить

нужен NN

я пока не лезу в таргет, чтоб не спалить ничего. жду NN, а так есть варианты к репозиторию исходного кода чекнуть акки..

бро привет

одну тему хочу протестиь, есть база какая-то по крипте?

небольшая

свежая

по форти видел наверно 0day

я как не зайду в новости постоянно какие-то дырки в впнах, уже смешно даже

------------

у майкрософт обновление глобальное ПРТ токены перестали работать, все подвисло..

ждем пока починят

ну и роем другие направления

я уже всю инфу перечитал за 2023г,` пару подходов пробуем реализовать..

```

абхазия 1, 750 $

* 750 $ абхазия 1

Бот онлайн в админке ждет тебя

как будешь, забери плз

Привет!

FORTI_VALID.txt

WG_VALID.txt

CISCO_VALID_ITEMS.txt

SONIC_VALID.txt

PALO_VALID.txt

AUTH_VALID.txt

VALID_BRUT_CISCO.txt

VALID_BRUT_SONIC.txt

VALID_BRUT_RDWEB.txt

Для пало альто есть код экспоита?

```

это 3 нуля в конце по какому формату?

это ведь не 750 тыс...

шеллкодом

по старинке :)

https://212.57.122.114:444/admin2/admin/botdetails.php?id=218

мы сгружали, все было окей

> <@usernamegg:matrix.bestflowers247.online> Blue_Team_Techniques

там пустышка

х64 бинарь загружаешь и потом ведешь на старт

---

```

cve этот ничего не делать. типо просто проверять уязвим или нет

Привет

все поднял вроде как

проверил транзу, всё норм, испугался

сипанельки из большого файла снова не отчекались до конца и потоки упали. буду логи записывать и разбирать почему с большим файлом там

valera:9j9TCOZkVC2pC5Gc9F

сохранил ?

* удалил

Arbeitsvertrag AWütrich 20032020.pdf

Kopie Ausweis geschützt.pdf

```

щас я 5 минуток, и буду )

нужны пароли к этим pdf

надо пассы

получаем токеен

авторазиции устройуства

именно устройства

и шлем на эту же почту по сути

то есть этот сплойт

чимсто если ты знаешь данные юзера

попасть к нему на тачку

как провернуть это я понял

но гемора дохера

то есть если у тебя есть дохера мата outlook акков, логины и пассы

ты делаешь auth token

и потом с помощью неего же себе и шлешь

эту форму

она добавляется к нему на комп

сохранется в папку FORMS в аппдате

и в настройках outlook тоже добавляется

там есть ком форма, которая грузит ком длку

точнее можно сказать наша длка подменяет реальную ком формовскую длку

и так и запускается наш бот на тачке

+

да, гемор пиздец

хуйня в массе так то

но если реально есть мат

то можно ебать какие корпы цепануть

но такой мат сложно достать

в норм корпе пассы меняются кажды йквартал

а то бывает и быстрее

и 2 auth стоит

скоро скину фикс по кобе, которы йпо профилям все быстро стучать теперь будет

и еще udrl уже почти доделал

о чем я и говорил)

по поводу сплойта еще в субботу отвечал, но на серваке с матриксом место закончилось и твои сообщения видел, а свои не мог походу отправть

он слишкои красиво сначало понял эксплоит этот

эм

он же сказал

атулук креды

а мы собирали пасс от компа

это не то

Привет! тебе нужны креды именно outlook.com ?" спросил у него

креды от аутлука

а потом делаем токены

именно не креды outlook

* именно не креды outlook.com

а от самого аккаунты

* а от самого аккаунта

почта

где

привет

короч думаю там еще 2аф будет у норм акков

это у пустышек нет 2аф

ну это я знаю, когда почту выкачивад

> <@usernamegg:matrix.bestflowers247.online> только сэмпл https://bazaar.abuse.ch/sample/3de2a4392b8715bad070b2ae12243f166ead37830f7c6d24e778985927f9caac/

получилось ?

сек

привет

++++

+

с каким паролем?

в админку квака?

ага

это типо шела

щас гляну

ща гляну

да

> <@usernamegg:matrix.bestflowers247.online> sent an image.

> <@usernamegg:matrix.bestflowers247.online> sent an image.

> <@usernamess:matrix.bestflowers247.online> sent a file.

0

0

https://212.57.122.114:444/admin2/admin/index.php

все норм, заходит

> <@usernamegg:matrix.bestflowers247.online> добавишь плагин мой ?

все как было

только в x64

а пасс какой?

отлично!

`AKMorton::WILSONCO:1122334455667788:3202997723ea487fa0fc7fd03e9fcc41:0101000000000000746bb3e6178fda01ac70519c9ec1e07300000000080030003000000000000000000000000020000082d1bfc00b02940eb7c1c708ae1c1fc798863401c11e219e2ea6a2ba4def3f5d0a0010000000000000000000000000000000000009002200570049004c0053004f004e0043004f005c0041004b004d006f00720074006f006e000000000000000000`

ага вижу гуд

ари вот вернулся )

фьючерсы оказались коварной штукой )

слушай а ты без лпе сейчас работаешь?

AKMORTON::WILSONCO:1122334455667788:3202997723ea487fa0fc7fd03e9fcc41:0101000000000000746bb3e6178fda01ac70519c9ec1e07300000000080030003000000000000000000000000020000082d1bfc00b02940eb7c1c708ae1c1fc798863401c11e219e2ea6a2ba4def3f5d0a0010000000000000000000000000000000000009002200570049004c0053004f004e0043004f005c0041004b004d006f00720074006f006e000000000000000000:Kathylynnblack2!

++

kekhash.txt

2_kekhash.txt

Точечно заражали

Это они 1000%

мы с ними по телефону разговаривали.

да там по дргоум рабоатет

там надо этот base64 код разбить

и все

ну задекодить

и потом прети прин сделать и все

Звонком

Это были тесты :)

Ответственные уже получили, что взяли такую мелкую контору.

Мы удаленный доступ делаем себе, звонки от хелпдеска

+

так он не говорит, что шлют ?

> <@usernamegg:matrix.bestflowers247.online> говрит ботов сейчас много будет

> <@usernamegg:matrix.bestflowers247.online> говрит ботов сейчас много будет

Сами уже руками запускаем софт... Вот на квака плохо стучит, сейчас хотим взять лпе сразу поднимать себе систему и сгружать на рмм.

аа, понял

ну я помню, кто-то раньше про такое рассказывал

Потому что с кваком там из 6-7 успешных, вышло 3 бота, один воркгруп, другой отвалился.

Не подходит, совсем...

Да тут все понятно, ну сам видишь, кортес не хочет отпускать эту историю :)

Другого софта под точку пока что нету, новый лоадер в процессе.

Может можно с теми ребятами по работать по софту ?

естественно это только юса, и возможно даже делать выборку по секторам.

тут комплексно!

Интернета всегда вроде бы хватало, на хардкордные конторы мы тоже не претендуем, среднячок адекватно.

По софту, ты можешь свести может с ребятами, у кого есть софт ?

Так как уходить в разработку на пол года, ну это пизда

Я все это понимаю, мне решение достаточно простое и быстрое нужно.

Сам же понимаешь, написать такой софт дохера делов

Ну вот у меня есть идеи как без этого софта все прекрасно делать, без квака само собой.

```

давай

$krb5tgs$23$*scsm$WILSONCO.COM$wilsonco.com/scsm*$b942635e8bb50d6b709...bbbd5a643d:donotreply

> <@username777:matrix.bestflowers247.online> $krb5tgs$23$*scsm$WILSONCO.COM$wilsonco.com/scsm*$b942635e8bb50d6b709...bbbd5a643d:donotreply

Да понимаю проблематику о которой ты говоришь)

Контора конторе рознь, мы изначально заходим на тачки где есть интернет.

давай ++

Понял твою идею :)

Посмотрим что получится

рмм ставлю и с помощью рмм доставляю свой закреп :)

у нас нету доставки через почту, тупо социалка хорошо настроенная, что бы нам юзер дал удаленный рабочий стол :)

мы выбираем контору и пошло поехало, там красивая многоходовочка.

тогда он не сможет дать нам рммку )

И это уже не наш клиент

848c7a6de108153b38380c3ecf9aff2d

понял

ну они наверное звонят?

* ну они получается точно звонят?

сделать в день 200-300-500 звонков не такая и проблема )

`71073681438eb966e3fde35124ff2ad4:7ff25de78aa1dbaf14e3c4ca9e8aa6d9`

я бы не сказал, что сейчас мы видим проблемы, что тачка не в интернете

буду через 2 недели

по болтаем

7ff25de78aa1dbaf14e3c4ca9e8aa6d9:WC!sqladmin

+ в целом карты не раскрывает) никакой конкретики) "социалка хорошо настроена" вообще тут нет конкретики)

0556c6877d8fdccb2179765cf7d24574

> <@usernameboy:matrix.bestflowers247.online> 7ff25de78aa1dbaf14e3c4ca9e8aa6d9:WC!sqladmin

$krb5tgs$23$*SQLAdmin$WILSONCO.COM$wilsonco.com/SQLAdmin*$68c73eea746b8d673...40b21b2e:WC!sqladmin

> <@usernameboy:matrix.bestflowers247.online> $krb5tgs$23$*SQLAdmin$WILSONCO.COM$wilsonco.com/SQLAdmin*$68c73eea746b8d673...40b21b2e:WC!sqladmin

LPE сплойт

для повышения приведегий в вин

$krb5tgs$23$*scadmin$WILSONCO.COM$wilsonco.com/scadmin*$af9ec28ba92c4baf...30a52:WC!scadmin

> <@usernameboy:matrix.bestflowers247.online> $krb5tgs$23$*scadmin$WILSONCO.COM$wilsonco.com/scadmin*$af9ec28ba92c4baf...30a52:WC!scadmin

в массе проблема с дропером

ты же пытался масс варианты

```

> <@usernamegg:matrix.bestflowers247.online> но все равно я его под точку пока буду пользовать

понял

ну тоже неплохой вариант похоже

да, у нас тоже идет разработка лоадера нового, но тоже разработчику тяжело без опыта в малваре.

Кортес его лидит, но все движется не очень шустро.

понял

Надеюсь к осени продукт будет в боевом состоянии

это да, без него никак

+

Ну я как раз пытаюсь его направлять в правильное русло )

мы брали, но его уже пропатчили

WERkernel.exe

потому что по факту сколько ребята сделали тебе таргетов на софт ?

5-7 штук ?

сейчас свежий берем

и пара выплат за год

ну это пизда )))

да почему тебе точки не нравятся ?

Если мы масштабируемся со звонками, это же будет приносить таргеты в нужном диапазоне.

Ну типа с масса больше таргетов, и больше шансов попасть в уязвимую контору.

На счет впнок, ситриксов и прочего добра, я тебе фишем могу сделать

Ну потому, что с впнок тяжело качнуть

затыков много

> <@usernamegg:matrix.bestflowers247.online> ты тогда днс делал у пики

домены покупат ьи так далее

баниться они будут очень быстро

Смотри, у меня есть идея, что можно фишить впнки, опять же таргетированно. (это может быть и цитрикс и любые другие бизнес сервисы).

> <@usernamegg:matrix.bestflowers247.online> сделаешь ?

То есть могу таргетироваться на впнки юса и компании с ревеню которым ты хочешь.

Именно фишингом, именно более целевые истории

> <@usernamegg:matrix.bestflowers247.online> sent an image.

Просто будем заставлять так же со звонками заходить на фишинг страницу впна, и дергать креды

Мы хотим начать на этой неделе с цитриксов, дальше уже надо думать куда это все направлять

понял

Скажи, что ты видишь приоритетом раз/два/три

мы начнем с цитриксов, обкатаемся, дальше пока не знаю куда направиться.

> <@usernamegg:matrix.bestflowers247.online> а на жирных конторах давно нету интернета

масс мы не сможем слать с нее

и там логика другая будет

скрин допсутим не сможем получить

ибо это будет очень долго

супер, сохранил.

У тебя есть листы серверов насканенных ?

например только юс

супер, красавцы, ставьте!

Да, сервера / хосты.

Дай плз по всем 6 сервисам, мы сегодня отсмотрим, за неделю думаю фиши уже сделаем.

Да пока без разницы, нужны примеры, что бы фиши наделать, посомтреть какие есть особенности внутри.

и это уже будет не пика

уже другое имя будет у бота

и он будет поностью новый

панель будет похожая

но сделаю ее удобнее

чтобы можно было еще как C2 частично юзать

не прям как кобу

но похожее постораюсь сдлетаь

скоро

максимально универсальный продукт

да, поэтому и говорю

что будет как бы отдельный билд в боте новый

чисто с днс

Да,мы так и планировали, там авторизация зачастую идет через страницу майкрософта, я уже немного отсмотрел его.

citrix_us_fofa.txt

вам для теста хватит?

или еще европу сбросить?

сенькю

у текса надо спросить

кербы они сняли, не расшифровались да, а что еще делали я осообо не уточнял.

я больше щас на таргетах сосредоточен

А вы чем раскрутили ?

Я им пиздюлей вставлю)

Вот пиздюки )

я про текса

)

хм, пароль к пдф

первый раз такое вижу

ну я могу написать скрипт для перебора пассов

но для пдф еще разобрать нужно

пока 0

ок, попоробую

CORP_kekhash.txt

qq

там от пдф проверь эти пароли

разобрался. скоро все настрою и поставлю подбирать пасс из файла на 14Гб пассов

но 4 дня займет

пока запустил с более простым списком пассов

14млн пассов переберт

1 час займет

для двух пдф

ну если пасс будет в списке пассов

сейчас еще сам сделаю пдф с пассом, чтобы проверить точно ли работает

и потом снова отвалится)

мы же несколько раз ловили ее

```

квак да

ну уже нет файла для просыла

короч сейчас проверил на своем пдф с простым пассов

работает програма, пасс подбирается

для пдф

короч запустил

но там видимо на этих пдф не просто пасс

но если что поставлю большой список пассов

будем 4 дня ждать

> <@usernamegg:matrix.bestflowers247.online> точечно по таким конторам бы прослать которые упстили

много раз слали

> <@usernamegg:matrix.bestflowers247.online> я сейчас открыл твой софт и снова соскучился по нему

> <@usernamegg:matrix.bestflowers247.online> я потом конторы под точку приготовлю , выдашь мне dll ?

тебе сейчас приготовить?

этот последний год просто нет нормальной нагрузки, которая бы на сетках запускал спокойно

а чем прикол подобрать пасс для пдф?)

интересно какой компании пдф этот?

понял

хорошо

если найдем еще)

просто если у них пасс очень длинный будет

то врядли конечно он будет в списке этом большом

ладно, я на отдельном сервере запустил

пусть ищет

на точки не

не загрязняется быстро

короч скажу, если найдется

> <@usernamegg:matrix.bestflowers247.online> эксплойты

какую группу сделать?

ок)

да

это просто там после пути

вставляешь команду

и она выполняется

<?xml version='1.0' encoding='UTF-8'?><exploit>{payload}</exploit>" прикол какой-то

тип xml с элементом exploit

это же не покупной эксплоит ?

вы где-то просто нашли?

> <@lapa:matrix.bestflowers247.online> "<?xml version='1.0' encoding='UTF-8'?><exploit>{payload}</exploit>" прикол какой-то

или проверить?)

ща вручную тогда проверю питон скрипт этот, чтобы убедиться

нее, бред, не работает

target_url = "https://vulnerablewebsite.com/vulnerable_endpoint" даже тут херня

vulnerable_endpoint вот такого нет пути

adm_kekhash.txt

ну тип врядли туда запрос делается

на 5 впнках проверил

тишина

$krb5tgs$23$*AgustiP$bcn.pidcgroup.com$MSSQLSvc/WKS-76.bcn.pidcgroup.com:1433@BCN.PIDCGROUP.COM*$38f888dea54ee30deb7...cd23456dda:Ruthless559

++

ну короче для двух пдф закончилась проверка на 15млн пассов... нифига

запущу скоро на 1.5 млрд пассов, которая займет 4 дня

привет

готов к работе

тебе криптануть сразу?

у бена

nfr ofc

так щас

ты видимо неправильно понял

хорошо

привет

ага, через полчаса

> <@usernamegg:matrix.bestflowers247.online> ты сейчас чем занят ?

> <@usernamegg:matrix.bestflowers247.online> target_url = "https://vulnerablewebsite.com/vulnerable_endpoint" даже тут херня

путь должен быть другой

stager_1_MIMI_x64.dll

точка входа checkit

вместо этого:

должен быть путь к уязвимому endpoint

Привет. Занимаюсь.

да это понятно

я менял

5 штук попробывал

нифига

https://104.130.186.241:443 104.130.186.241

можете тоже попробывать

да тут три признака я вижу, что это какой-то странный код

для эксполита

https://vulnerablewebsite.com/vulnerable_endpoint" "/vulnerable_endpoint" вот сюда врядли будет делаться пост запрос, такого пути нет вообще на PAN

if response.status_code == 200: уловие слишком простое

nf ytn

короч вы тоже можете проверить

та нет

мы просто проверяем все ли успешно

мы бьем по unexcepted exception handler

404 к примеру

просто 200 код вернет любой сайт)

работющий

у меня не работает короч

у меня просто возвращается страница, что не авторизованы и все

и еще я там делать wget запрос

ну команду свою

она видимо не отрабатывает

upstyle-workflow.png

вот так это работатть должно

потому что в логах никто не стукнул

> <@usernamegg:matrix.bestflowers247.online> ```

Ok

+

может кто продает?

Hello

> <@usernamezz:matrix.bestflowers247.online> sent a file.

++

Hello sir, good morning. Wish you a happy Monday

ага, все понял

щас

то другое

это то что я тебе скинул

это шел такой интересный

а бить над ов globalprotect

щас, пару минут напишу свой

тут в ссылке дело

щас

что на ру?

аааа

на python

да

окей

ну ты мне скинул несколько

https://docs.google.com/spreadsheets/d/1k0x0M-XYrJbW9ICzCtUariR-6GCHgOIx7rF043aYOic/edit#gid=0

Start in 10 minutes

Received sir

https://docs.google.com/spreadsheets/d/1erUcJblqWFpgfB7PHZT4m-nsEsiKZFmnDZQQGNYiJP4/edit#gid=0

через 15 минут начинай

хорошо, принял

написал вроде как

бить надо в /api

но он должен быть включен

> <@usernamegg:matrix.bestflowers247.online> с инфицированием надо сделать сразу , это от квак бота билд

у меня пока 404 not found

1.7z

строка:

zJ5wClKGLyXlOh5FlnAKYYSikqtyuAFXQhtfmWS0vqf5sYjH1q

Привет всем!

Privet!

Privet!

привет

🤝

Привет!

можно взять сервер с GPU тогда намного быстрее должно будет перебрать пассы

* можно взять сервер с GPU тогда намного быстрее должно будет перебирать пассы для пдф

ad.txt

ну я возьму сам

$krb5tgs$23$*Backup1$ad.becom.at$MSSQLSvc/WHBACK2.ad.becom.at:50849@ad.becom.at*$bd0b0572834bab35c......a377685291:B4ckup?

там скорость намного больше будет

++

можно будет еще больше файл с пассами попробывать

делаю, посмотрим короч

PALO_IPS.txt

вот хосты

`$DCC2$10240#c.vilorio#b1193463f4ee7e72f91620fc8382e9ed`

```

вот куда я бью

по идее правильно все

image.png

вот как это видят те, кто хостит palo alto

pa-exploit2.webp

вот точнее

++

ок

ну мелкор думаю сделать

есть сервак, куда можно загрузить?

ну сплойт

я пока жду когда сервер с гпу выдадут

точнее баланс пополнится

чтобы на скан поставить

да

скоро