мне там показывать всю дату в админке

ну которую выкачали

> <@usernamegg:matrix.bestflowers247.online> sent a file.

> <@usernamegg:matrix.bestflowers247.online> sent a file.

В целом я не вижу ни 1 проблемы ,которая могла бы мне помешать это сделать

только если беда с пониманием админки, и как там все устроить

не могу до конца понять как работает кухня вся

то есть сам пайплайн от получили доступ и начинаем лочить

дату вот когда выкачали, куда мы ее, к нам на сервак

или как, не до конца понимаю

`$krb5tgs$23$*svc.bkp.veeam$akka.eu$VeeamCdpSvc/AND-VEEAM-01@akka.eu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`

image.png

циско требует двойную аутентификацию

будем продолжать?

https://order-intake.amp.cisco.com/orders/08e14fab72124532939432b3bc07968e

```

https://use.cloudshare.com/Ent/AcceptInvitation.mvc?inv=_O14RM47MCQ

+ они прислали свою виртуалку, там можно потестить насколько я понял, но только 8 часов

* \+ они прислали свою виртуалку, там можно потестить насколько я понял, но только 8 часов

да, 5к почти новых только

но это еще не валид, а чисто новых

а так там дублей много

+++

cpanel may 1.txt COUNT_NEW = 177

> <@usernamegg:matrix.bestflowers247.online> https://www.trendmicro.com/en_us/business/products/trials.html#user-protection

mai pass may 1.txt Imported: 1,011

owa may 1.txt Count new and valid: 18

plesk may 1.txt New: 12

smtp may 1 их не ставил, так как тогда чекер не работал

ладно, потом он еще сбросит, все равно там дубли будут, т.е. он новое со старым сбрасывает

`https://gitlab.com/openconnect/openconnect-gui/-/releases`

> <@usernameyy:matrix.bestflowers247.online> https://pay.freekassa.ru/?oa=20000&m=16399&o=76039448.1715589207&i=&currency=RUB&s=d055eb4f7e43f74b49b553acfee38900&em=vasiliy.petrov2334%40mail.ru&lang=ru&us_dest=%D0%9F%D0%BE%D0%BF%D0%BE%D0%BB%D0%BD%D0%B5%D0%BD%D0%B8%D0%B5+%D0%B1%D0%B0%D0%BB%D0%B0%D0%BD%D1%81%D0%B0+%D0%B0%D0%BA%D0%BA%D0%B0%D1%83%D0%BD%D1%82%D0%B0+a227786+%D0%BF%D0%BE+%D0%BE%D0%BF%D0%B5%D1%80%D0%B0%D1%86%D0%B8%D0%B8+%E2%84%9676039448&external_hash=28a8108b484d71a1f48dcb02c6c9f3e64884518

```

d5afaa925d4386d169d27cc2e5e37ab3:pw_adm:Deadspace1024

5ca369a4337c0599d609d6401a0c9968:wkoperski:PentagraM10!

b14bbec42912ac362083f3a881056049:trumpfservice:1qAZ@wSX$$

++

d79cd18a4778eada507767a881a429b5:md_adm:nRoKmKD2#

++

> <@usernamess:matrix.bestflowers247.online> sent a file.

строка

hdbzqsRMLe2FHnE6T5afZBkX49w83SVAKpNY7DJgctUQvWxCjm

1.7z

regsvr32 file.dll

12.10.10.0/24

* 10.12.10.0/24

++

++

ну как у тебя ?

> <@nickolas:talks.icu> Ethan Allen Global

будешь пробовать ?

Это то, где у тебя сработал стиллер!

`AVEKAINC.LOCAL/pverbanac:5c7c94360c9db6ef244e5d83e2bdbfc1:pverbanac`

`AVEKAINC.LOCAL/pverbanac:5c7c94360c9db6ef244e5d83e2bdbfc1:pverbanac`

`AVEKAINC.LOCAL/charlab4:fb81a9a79b712f928164edd1072a9545:charlab4`

fb81a9a79b712f928164edd1072a9545:charlab4:particle4

да

порт 2019 ип такой же как в посте с сеткой

image.png

ну походу просто пассы Winter1956 - Winter2000 особо ни у кого не стоят

ну я просто таких пассов с годом нагенерил 5к

image.png

я сейчас поставил чисто 100 пассов

image.png

домен тоже на связи

image.png

```

вот я таких нагенерил для кождого года

начиная от 1956

и с них вот не особо

оставил короч чисто с 2022

по 2024

посмотрим

что то не открывается

ребутнусь

плюс еще тут добавлять логины с нашей базы контактов

> <@usernameyy:matrix.bestflowers247.online> sent an image.

да, креды не валидные

попробуйте, может чем нибудь пробьете

`AVEKAINC.LOCAL/Administrator:29718126a478c8636130c887d1ca76f9:Administrator`

> <@usernamegg:matrix.bestflowers247.online> ffr.fr https://90.80.133.241:443 rudy.brenier@ffr.fr laetitia

https://4.30.179.139/RDWeb/Pages/en-US/login.aspx jli Spring2024! TRANSPERFECT\jli

эта вроде на 1Bil

телефон нужен для регистрации

Скажи мне, а ты интелХ юзаешь ?

мне посоветовали коллеги, и я ахуел!

это так круто

https://intelx.io/

с тебя просто я не знаю )

энтерпрайз подписка для меня =)

Просто АХУЕТЬ ОЧЕНЬ КРУТО!

регни фришку, и посмотри какая там дата

image.png

There's a problem with the phone number you provided. Try again with a valid phone number or contact support.

+

image.png

Я теперь даже не знаю, как ты без этого будешь работать!

С тебя подписка =)

uk

Sorry, we do not accept Voice over IP (VOIP) numbers. Try again with a different number.

))

+

я уже оформляю энтерпрайз подписку, открывай кошелек!)

пошло

может креды дадите, с которых сами вошли туда?

хотя ладно, регнусь, есть почта

+

+

да

энтерпрайз подписка!

image.png

LANGENDORF_kekhash.txt

FRUEHAUF.AD_kekhash.txt

Где восторг от ресурса ?)

$krb5tgs$23$*cstephane$fruehauf.ad$MSSQLSvc/FIXE177.fruehauf.ad:377E9188-B6E6-46@FRUEHAUF.AD*$87440761691573f0255...c233eb21ff:Amiga1200!

это же та штука, которая просто необходима и тебе и мне :-)

++

Identity verification by card

теперь нужна кредитка

Так там все будет сразу, вбил контору - получил кучу инфы

Не подходит

image.png

это же просто золотая жила для брута!

ну с тебя точно и таргеты и энтерпрайз подписка )))

ну по описаю да

`LAWRENCEDAVID.LOCAL/John.Smith:$DCC2$10240#John.Smith#185ce7b9a6c6c068f740117d6ceedb1a`

$DCC2$10240#john.smith#185ce7b9a6c6c068f740117d6ceedb1a:Peanuts23

а там пассы тоже есть?

или просто почты

++

пассы тоже есть!

конечно

+

да

вижу

там тип наверное базы мыла и пасса

с интернета взяты

да, это консолидатор утечек

они сами парсят все утечки, а ты через 1 запрос получаешь доступ ко всем утечкам

ну да, агриготор

апишка вроде есть

+

+

посмотрим)

мне чет кажется, это базы мыло и пассов с форума

которых у нас так-то тоже не мало было слито

но все же что-то новое должно там у них быть

ну первое наверное что я сделаю

это по домену вытащу мыло и пасс

и к впнке буду подбирать пассы

там разные утечки

ок

просто мыльники можно мне использваоть для брута

т.е. это по сути именя пользователя

`$krb5tgs$23$*Administrator$AVEKAINC.LOCAL$AVEKAINC.LOCAL/Administrator*$1a0f1c617facc791cc45803a053ca6c4$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`

просто какие ты базы с форума дернешь, и сколько баз там, и какая там автоматизация )

на эксплоите и хсс так себе баз

брейчед еще более ли менее

ну вот я пока выборочно смотрю по домен, для которых у нас вообще ноль мыло и пасса

homeriron.com вот допсти

в этом поисковке что-то есть

но пока конечно не вижно что, так как подписки нет

+

тут еще херова туча данных будет

нужно будет конечно мне отбирать то что мне нужно

пока начну разбирать апишку

думаю за завтра сделаю, чтобы уже вытаскивать мыло и пасс и ставить на чекинг впн

апишка работает

проверил

сейчас дальше буду разибраться

ну я себя начну писать

потом через пару часов отойду

* ну я сейчас начну писать

минимальная подписка которая подойдет за 7500

без идентити портала - не подходит

воу воу)

красавец!!!!

Респект просто!

🔥

https://identity.intelx.io/

вот здесь можно с датой нормально работать

в общем поиске нефига, там или через АПИ или через этот интерфейс

ввел домен организации, у тебя куча пассов

просто надо оптимизироваться правильно

ну и ты можешь под брут использовать, тоже как вариант, но там тебе скорее всего надо по апи тащить или как то так

+

я пока тут вызываю метод для скачивнаия файла, и что он у них не работает

разбираюсь

привет

722eb006-730b-44a5-ab62-d232b5545663

глянь плиз, файл какойто не могу открыть

```

эмм

в чате они написали что не могут какой то файл прочитать, сюда его не скидывал

`LAWRENCEDAVID.LOCAL`

`b6d784a5226b92c6f5f3887f05d599b8`

супер, очень крутая штука

я думаю там баз намного больше, чем ты использовал для брута

да, дай сначала посмотрю

мне кажется, пока не нужно их пугать

* глянь плиз, файл какойто не могут открыть

правильно)

722eb006-730b-44a5-ab62-d232b5545663 - для них ты делал тестовый декрипт, один из файлов не могу открыть, посмотри в чате

с пробелом не декриптит через панель же, ты не проверял файл?

`$DCC2$10240#wbh-srvc-schedule#ab4957b8971e16f4747da651ba610ebd`

ща минуту зайду

напишу им что ошиблись файлом

ищу

* 722eb006-730b-44a5-ab62-d232b5545663 - для них ты делал тестовый декрипт, один из файлов не могут открыть, посмотри в чате

отлучусь на пару часов

```

в общем я потестировал, сначало заюзаю апишку, которая выдает мыло и пасс по домену

но конечно у них есть дневной лимит

вроде только 5к доменов в день

Hey, we downloaded the files you decrypted and one of the files doesn’t open. It is file BCUK ISO 9001-2015 Certificate.pdf. When we try to open it, it says it is damaged or corrupted. Is this what we would be paying for? A decryptor that doesn’t completely work? That makes us nervous. We need your assurance that your tool (should we decide to buy it) is going to work on everything and all the files will open after the tool is ran on them.

начнку с крупных

исправил, да, я не проверил получается

`DCC2$10240#kskal#22e2026f0e68ea6f0353c17cddefe9bf`

пустую страницу показывает

на блоге

сек

а чего было?

вижу, держи открытой чуть-чуть

потом снова закрой

я пока сомтрю

++

как у тебя по раскрутке сетки ?

у меня сокс все работает

знаю бро, знаю

интехс

снял оттуда креды ?)

пока норм, давай посомтрим как пойдут переговоры после отправки файлов

и тогда я ещё добавлю идей что туда залить

пока скрой, - правильное решение

`ethanallen.com`

`EAWG.com`

Такие себе там креды , но может че нибудь подойдет

если убрать @domain.com и сделать выборку пасса по правилам домена, че нибудь можно выбрать

гг

у меня только внутренние комуникации, я токс порой даже не включаю.

ничего там хорошего нет :-)

нахер нужны всякие придурки, с ними невозможно нормально работать

тех кто внутри есть хватает, все равно все надо своими силами делать, а то попросишь кого нибудь, потом ждешь пол года ))

перерыв был, и звоним

плохо ведутся сегодня

я фиши очень жду и очень хочу, сегодня мозги делал разработчикам

фейслесс еще что то есть

я мс буду фишить

кастомные фиши делать

типа чекнул страницу мс, поставил свой бекграунд и лого

и пошел слать в компанию, только буду слать партиями по 3-5 мыл

потом еще, потом еще

кто будет заходить на фиш, буду затягивать на звонок через подставку страницы, типа какие нибудь сложности с акком

буду перезванивать и крутить их, либо на креды и впнки, либо на че то еще

Пока такой план

да заебали эти автоответчики

пиздец, сил нету

80% автоответчики, хотя до этого люди брали трубки

80% времени они просто набирают телефон блин

и ты кого то флудишь )

я не хочу такой мартышкин труд, как бы ок, пока не готово другое, надо это делать

robson.com

но по факту это мартышкин труд, тут либо роботом заменять, либо вот как раз с фишинга в воронку гнать, и потом уже им же и перезванивать.

он точно за компом, он точно возьмет телефон, он точно ждет звонка или че то такое.

С одной стороны работы меньше, с другой стороны и шума меньше, и вектор шире, и не нужны эти бесконечнные звонки

накипело чет в плане этих звонков =)

а там уже таргетируюсь дальше, буду выбирать кому че слать, и как звонить.

да, конечно, я только так и рассматриваю.

зачем sso ms security ))

не надо

просто login.microsoftonline.com

да ты че )

ссо идет через просто логин.мсонлайн

не нужны никакие кастомные страницы федераций и прочего.

в смысле!?!?

ты не догоняешь значит как устроено все )

https://login.microsoftonline.com/

зайди

нет ))))))))))))

😆

https://login.microsoftonline.com/

зайди

нет ты че )

вообще все не так

ты не понимаешь всей задумки

зайди на линк

ну ты ща поймешь ))

зайди

mevans@nwpipe.com

нет

зайди на линк, и введи емайл

первый пример это локальный ссо

второй, это кастомный логин пейдж

да блять любое мыло заходит в мс, и ты сразу можешь это проверить

они все используют офис365, у них там тимс, емайл и все, это все синкнуто с АД

то есть вот этот логин.мс.ком

по сути это доступ к мс порталу, офис365 облачный.

ты проваливаешься в него, и там у тебя и почта, и тимс, и еще бывает куча приложений разных

часто, оччень часто, это еще и доступ к АД

креды к ад

все они знают страницу входа в майкрософт, и с облаками они там взаимодействуют

я могу взять креды на мс, позвонить сказать что проблемы с облачной инфрой мс, нужно поставить сертификат или прочее, скажу что щас поможем

А могу просто на звонке сказать, надо авторизовать впн, и перекинуть на фейк нужного впна

да

впн часто бывают в аппках

ты просто жмешь алл аппс, и находишь там впн, он тебя сразу с авторизационным токеном кидает на страницу впнки

вообще в нормальной конторе креды к мс = креды к впн

процент успеха - везде

я с фиша сниму креды мс, если всего хватит для входа в сеть, то устанавливать на комп ему ниче не буду

* я с фиша сниму креды мс, если всего хватит для входа в сеть, то устанавливать на комп ему ниче не буду

если у меня не получится с впнкой, я буду говорить что щас установлю обновление для входа в офис365, и он зайдет, зайду на комп, поставлю апдейт.

так если спам палится, или софт палится, ему креды сбрасывают

акк умирает

+ я не могу 2фа у него собрать

* плюс - я не могу 2фа у него собрать

там у меня будет и 2фа и все!

я конечно фейки впнок тоже сделал, но мне история с мс больше нравиться

и по моему опыту, она будет работать намного лучше.

Так это токенка, сам фейк сделан, там много разных факторов.

много кастомных окон

там как многостраничный сайт, с системой лайв управления.

Мы и логотип и бекграунд вставлять сразу будем

там короче просто много штук для автоматизации и обработки

это не формата страница и база )))

конечно, как в кейсе №2

я под такую буду сразу подстраиваться, в их фирменном стиле

и будет это занимать у меня порядка минуты

что бы я вставил лого+бекграунд+кастомную надпись, и мне сразу сгенерировался линк который я пошлю целям.

мы разослали 10 разных линков 10 целям, все, ждем кто придет на токенку. не пришли, еще послали

еще послали

еще послали )

пришел клиент, мы ему сразу перезвонили и крутим его

```

уходим либо с малварью, либо с доступом к впн

я тебе так любые креды в компании смогу собрать

ты мне говоришь емайл, я его затягиваю на красивый фиш :-)

```

скажу что бы контактный номер дал для ит саппорта )

придумаю форму контактную

или попрошу номер авторизовать свой и ввести полностью

это все делают незадумываясь

> <@usernameww:matrix.bestflowers247.online> ```

можно и без звонка делать, не давай ему форму сбора контактов, зайди в аккаунт и все )

выпусти его с фиша

```

++

оператор заходит у себя с этими кредами, дальше я даю ему методы из 2фа

дальше я могу взять с него полный номер телефона, или как то это обиграть )

дальше мы уже на звонке

дальше если он верит что это айти, мы делаем чего хотим

но лучше делать все четко

я уже видел эти аккаунты

ты пойми, если даже внутри ничего нету, скорее всего эти креды подойдут к впн

а можно нацеливаться на те конторы, у которых в интернет торчит впн (форти и прочее)

мне же приходят креды щас, я сразу иду с доменными кредами в о365 )

где то пускает без 2фа

я постоянно их смотрю

я проверяю это каждый раз

у меня попаданий в о365 %80-85

с теми кредами которые я тебе даю

где то в 2фа, где то я не мог найти морду впна, где то впн просто не работает у них О_о

где мог, находил впн без 2фа, и заходили по впн и крутили их

`8e4749132d59e50db87c6e2313a1ad4d`

Пойми, вот приходит человек в компанию, у нас в компании 20 сервисов, как мне ему дать доступы ?

дать 20 логинов и паролей. А если это бабка 60 лет)))

а у тебя уже 500 сотрудников, и тебя надо как то это все контролировать

а ссо это одни креды на все сервисы компании, плюс ты еще защитил их 2фа принудительно

Ты просто создал одни креды, подключил все сервисы куда нужно будет ходить сотруднику, и он везде через авторизацию майкрософт пролетает.

В почти любой компании от 100м в юсе - используется то или иное ССО решение.

это все единое целое, а креды это твоя проходка

понимаешь о чем я говорю ?

ADFS загугли, посмотри картинки как это устроено

по сути через авторизацию в о365 это серис внешний(ну синхронный с АД азур), он подключен к ADFS в локальном домене.

Они синхронны

и в впн и прочих юзерских сервисах, зачастую написано зайти с ссо, или просто подходят доменные креды

это суть любой большой организации

странно что это я тебе рассказываю :-))))

ну у меня готово на 70-80%

коней на переправе не меняют

так таргет есть

ну там дуо, его можно снять

если есть права

вот тоже надо подумать над этим, провести тесты

на счет куки в мс365 имею ввиду

ну оно дает свои плоды, но с фишаами тоже звонки нужны

без них это тоже шляпа выйдет

просто другой способ нагона лидов на звонки

а что делать ?

будешь таргет брать ?

будешь брать ?

D&H

куки может дальше не хватит

это понятно можно модлишку и все такое

креды есть

без нета плз

нет как индикатор компрометации идет

privet , reshilos problema ?

ok

ok

```

```

```

`a8041e11fae8114fc00844ce1256cafa`

rapid7 =)

teaspa.it

есть еще 1 с сентинелом

креды кстати мы валидировать стали

блин где рапида, оно все в момент отлетает, сука эта алертит ((

щас другого дам, как же задолбала эта херня

ну коннекты палит даже

не не

не антивирус палит, сием палит коннект, и админ прибегает

```

давайте шустренько

```

```

1й там отлетел ((((

рапида же там стоит, сука подлафя

я понимаю все это, палит сокс коннект просто

оно же через ссш идет

а он сука на ссш коннекты просто верещит

типа поднялся ссш, и бегут разбираться и все такое

в этом и вся делема, я честно не знаю как закрепиться нормально на тачке

нужен же коннект. А что то писать прямо новое, это месяцы времени, и опять же новых подходы хз сколько будут жить

короче разбери шустренько 2ю сетку

там вроде только сентинел и никакой рапиды, возможно будет все лучше

ну а че это даст ?

я же креды от АД снимаю, че мне в стиллере смотреть ?

у меня есть креды!

я тебе их даю

стиллером снимать по факту нефиг

да хоть что то можно сделать

без кред вообще вилы

сокс + креды это самый заебись

мы по этому и пошли по этому пути. нахер все эти кобы итп

3001 - офлайн

крутите вторую пока не упала. и надо чето втыкать тихонько, что бы доступ оставался

да что значит ищи =)

единственное у кого это может быть, у ребят кто на днс делает

ну ты понял о ком я

остальные с кем я не говорил, какой то хуйней занимаются, они не понимаю что такое сием едр, у них даже тестить это не где

вот у меня софт, ахуенный не палится, покупай ))) - ну это не работает.

ты капнешь чуть глубже и понимаешь, что там шляпа, подойдет на массовый подход

ну тот же ратник

нетсуппорт

а кроме них я ничего и не рассматриваю

forti_hkcu.txt

forti_hklm.txt

конфиги от форти

RemoteGW"="innophosvpn.innophos.com

вот их форти

мы и циско и форти конфиги снимаем =)

можешь импортнуть их в реестр, и появится их конфиг с их сертами

ага, вот и сокс упал )

да

надеюсь он домой пошел

просто

потому что там рапид7 не было

да я понимаю.. ((((

помогай чего нибудь придумать

таргеты сам видишь топ, просто нужно че то придумать, держаться там

а куда с ним дальше

че делать дальше ?

ну есть внц

с соксом все понятно, мы идем и крутим, а внц чего.

тут можно справиться только соксом и кредами, все, другой вариант это агент на компе типа кобы.

нет

не в этом дело, пойми, ты щас немного не про это

когда ты делаешь запуск, и чайлд процесс палится, это тоже самое

у нас же не процесс ав убивает

у нас админ тачку от сети изолирует из за сокса

вот в чем проблема

че бы ты не ставил, если тачку изолировать от сети, все, любому закрепу пизда

это точно изоляция тачки от сети, прямо 10000%

если бы работал ав, то креды бы не лочились, просто бы убивало процесс

тут работает безопасник, он изолирует комп, и начинают шерстить, пока комп не проверят детально, его к сетке не подключат.

Да, тут чем ты не крепись, если спалишься хоть на каком этапе, комп сразу изолируют и все, он стоит без подключений

нам нужно как то красиво прокидывать коннект в сокс, что бы это ни где не палилось

АД креды + доступ к его сетевому интерфейсу типа ретрансляции его нам.

если у нас это тихо будет рабоать, нам ничего больше и не надо

а все закрепы которые будут порождать палевные процессы ни к чему не приведут, ты только добавляешь себе лишний этап в жизни.

все все равно упирается в инструмент через который ты будешь работать.

есть хороший тунель и креды, все мы в дамках )

ну коннект стабильный, пока его не закроют

это сокс, просто в какой то другой реализации

другой вариант это агент, которым ты будешь рабоать, типа кобальта, но это пиздец для ав и едр

едр тебя выебет в рот и в жопу =)))

и чистки чистки чистки )

написано же

ссш

надо сорсы кортесу

пускай смотрит

это нужно читстить, это нужно тестить

автоматом там все

автозагрузка

когда работает коннект

могу

но это опять танцы с бубном

блин

смотри

elizabeth.golden-kissel@innophos.com

December91945! - вот этот пасс и мыло ее можно чекнуть на МС онлайн

щас упало коннект

ты понимаешь у нас не сокс падает, у нас все падает )

давай пробовать, завтра с утра по тестируем все вместе и что то придумаем

я отойду на 20 минут

elizabeth.golden-kissel@innophos.com

я после того как палились сетки, чекал так

`rundll32.exe C:\Windows\123.dll,regsvr32`

> <@nickolas:talks.icu> конфиги от форти

на логин.мсонлайн лучше сильно не ходить, если вылезет типа аппрувните запрос в приложении, то это значит пользователю алерт в приложение полетел, о том что ты заходишь

отошел, 20-30 мин

```

а в мс попробовал ?

image.png

видишь какая фигня

на самом деле я думаю спалился или фиш или коннект

ага

100%

почти всегда пасс подходит в login.msonline

image.png

а вот по первому с рапидой, смотри куда меня перекинуло когда я ввел мыло в мсонлайн zkemble@dandh.com

image.png

а это тупо федерация активдиректори

и хуй, пасс не валидных

))))))))))))

пфффф

давай так

я когда скину сетку

вот в первый же момент пока она живая, ломись туда

и будет 90%

а когда умерла сетка, ее комп изолируют и креды банят

всегда так

у меня есть креды, где софт не поднялся )

да чего посмотрим

я же проверяю каждый раз

я же своим опытом делюсь, а не гипотезой

мы все на сегодня

до 12 по мск звоним

онлайн нету

image.png

воуля!

там где не запускали софт а только сняли креды

все нахуй живо

доброй ночи

image.png

image.png

вот и вот, если видишь такое окошко с циферкой - дела плохи, алерт улетел на телефон

картинки не пришли ?

должно загрузиться

Screenshot from 2024-05-14 18-28-20.png

Screenshot from 2024-05-14 18-28-03.png

aesarstone

```

ломись на их соник с этими кредами ---- CS:Kym.Benevides:Marble2642!:\\CSUS-DC1

вот два сервера

https://66.57.180.50:444/

ага

не заходит (

щас проверю не сменила ли она пасс

image.png

да, не дает(