ну можно тип слать специальный линк, где будет зашит линк на ситрикс

но опять же, чет мне кажется, обычные юзеры авторизуются в приложии десктопно ситрикса, а не в веб версии

мы же слали, маловато было авторизаций со 100к писем

* мы же слали, мыло было авторизаций со 100к писем

все же авторизация майкрософт намного больше знакома им

QUENDT_kekhash.txt

отлучусь на 30 мин

```

900$

adc_kekhash.txt

неа

не появляется на винде подпись

уже проверил

я знаю в чем проблема но решение найти не могу

https://50.205.125.234/RDWeb/Pages/en-US/login.aspx elena@mn89inc.com Mn89inc! MN89Inc\elena@mn89inc.com

добавил еще генерацию пассов в зависимости от имени пользователя... добавил афексы 2020-2023

уже что есть новое

* `https://50.205.125.234/RDWeb/Pages/en-US/login.aspx elena@mn89inc.com Mn89inc! MN89Inc\\elena@mn89inc.com

* добавил еще генерацию пассов в зависимости от имени пользователя или домено компании... добавил афексы 2020-2023

* дополнил еще генерацию пассов в зависимости от имени пользователя или домено компании: добавил афексы 2020-2023

* дополнил еще генерацию пассов в зависимости от имени пользователя или домена компании: добавил афексы 2020-2023

* дополнил еще генерацию пассов в зависимости от имени пользователя или домена компании: добавил афексы 2020-2024

```

бля пиздец

нужен эксперт

если я потерял все деньги я ебал

> <@usernamemm:matrix.bestflowers247.online> sent a file.

++

они есть но их нет

привет

```

все ок

можем сегодня твой сокс софт юзать?

я смотрю там все чисто

ну да

пару часов назад

`adminhla:$DCC2$10240#adminhla#500c8c8f8466ff41e51d77b77b5def12`

ага спсб

слушай

такой вопрос

если есть только сокс

без кредов

есть смысл крутить?

ну скан и брут это наверное 90% засекут и прибтют сокс, не?

понял

я думаю может если креды верные не удалось взять, то все таки запускать cmd удаленную

37_443_payload_x64.bin

37_443_payload_x86.bin

37smb_payload_x64.bin

37smb_payload_x86.bin

Првиет

Привет

щас вот локером занимаюсь

> <@usernamegg:matrix.bestflowers247.online> как успехи с локером ?

> <@usernamegg:matrix.bestflowers247.online> какие у нас еще варианты по запуску коб ?

lightshoot вроде как

щас гляну, пару минут

занимаюсь

скоро

принял

а какое видео?

* а какое видео посмореть?

а, ща

Я вот не знаю на счет смартфонов, далекая от меня эта тема )

получится только андроиды делать, айос сразу отпадает

там нужны нулики, без этого никак, с андроидом тут проще все, ты можешь устанавливать прилки не из плеймаркета

ну есть citrix wordspace, откуда они могут получить доступ ко всем нужным приложениям

тут же предлагается скачать его

я по моему это приложение и реверсил, чтобы посмотреть какие запросы делать

щас подниму тестовую тачку, гляну быстренько какой файл можно сделать

для атворизации

это по сути же и есть впнка от ситрикса

> <@usernamegg:matrix.bestflowers247.online> на какой стадии локер ?

> <@usernamegg:matrix.bestflowers247.online> тебя на какие то мысли наводит это ?

> <@usernamegg:matrix.bestflowers247.online> андройд бота можно попробовать

массом распространять?

чтобы через него получить доступ к впнке?

)

уже грузиш чтоли? )

> <@usernamegg:matrix.bestflowers247.online> по статистике сколько человек читаешь у нашу рассылку с телефона ?

ну там пробив думаю будет неочень

но опять же, там еще не только android есть

ios популяр же

* ios популярен же

чтобы апк поставить надо 5 раз подтвердить что ты дебил )

ща попробую с клоаке найти статистику

пока что не надо, я код сделаю главное, а потом уже буду тестить, чтобы ничего не ломалось

Привет! они приняли файлы в ночь с пятницу на субботу

тачка линуксовая под тест есть

и сказали что проведут ревью в понедельник

ага

они сказали сегодня

Ок

я потороплю их сейчас

нечего кота тянуть, там просмотреть файлы и всё

хотя у них в штабе вроде только 7 утра

но всё равно, пусть поторопятся

да, но запускается же с тачик линухи?

ну вы когда запускаете локер по esxi, вы запускаете их с linux тачек?

ну сам локер с линукс тачек?

33088 Total

в клоаке adspect посмотрел

с нажего просыла

все же с пк намного больше

да, но линуксовый билд же?

в 10 раз

да, их надо убивать

> <@usernamegg:matrix.bestflowers247.online> ну конечно

ну по сути можно что-то на телефон выдавать, а что для пк

с linux + esxi чуть чуть посложнее, поэтому там надо сделать просто работающий код под linux, который быстро может файлы лочить, а потом уже будем делать так, чтобы он убивал esxi, и лочил именно правильные файлы, а те которые есть в whitelist, не трогал

т.е. для пк допустип форма авторизации

а для телефона что-то друго выдавать по линку

чтобы не только чисто для телефонов слать и упускать виндовс

ага, окей

так рецессия во всю идёт

ты ещё и лочишь в основном компании с серьёной технологией, с финансами - по ним сильнее всего рецессия бьёт

В другой смотрел - там голяк просто полный

там лочятся сетки крохотные, которые просто отказываются платить

проверяют что их файлы и сливаются с разговора

если бы ты видел как в других тимах, ты бы понял, что у тебя всё в шоколаде ахаха - там совсем грустно всё. Кроме Акиры, я слышал там неплохо, но у них выплаты по 100-200, хотя и регулярные

> <@usernamegg:matrix.bestflowers247.online> ну прям насторожила меня эта рецессия

еще 1 вопрос по самому локеру

надо ли делать safe mode?

ну сервисный билд, чтобы safe mod можно было делать

+++

окей

сделаю

всё решилось

я восстановил кошелек и всё заработало

просто суета

как вообще так делать можно

у меня чуть сердце не выскочило

вот вот!

охх они там расписались

да, просто перезашел в него

да, всё на месте и транзакции работают

> <@usernamegg:matrix.bestflowers247.online> все остальное это суета

нет, открыл в новом окне с новым бекапом

для восстановления кошелька требует кстати все 3 сида

с 3 кошельков

так что сложно взломать такой

даже хз что лучше 2фа или это

аахха

обидно

ну за нас радостно, но вообще обидно)

ответил им

дал риск анализ, пусть сами считают - цифры не в их пользу

++

что то часто мы в новостях начали появляться на блипенге))

+

> <@usernamegg:matrix.bestflowers247.online> есть что то свежее ?

пока тишина

чекается еще

брутится

в блэксюте, но я думаю, пора уходить оттуда

с мыла и пасса пока тишина

ну потому что прочекали почти все уже

ну и +/- с ребятами хорса отношения поддерживаю

https://50.205.125.234/RDWeb/Pages/en-US/login.aspx elena@mn89inc.com Mn89inc! MN89Inc\elena@mn89inc.com

но в целом, за пределами басты, выжженная пустыня

что-то как-то получалось у альфви, но их закрыли федералы, причём, возможно, даже российские, а так в общем-то всё

я думаю у крупной компании несколько сетей

т.е. есть разные внутренние проекты у компании

и все они могут быть в разных сетях

а вы не лочите типо, если мало компов в сети, но от крупной компании?

просто это может же быть важная сеть для компании и они заплатят

ну это всего лишь предположение

сотрудники внутри крупной компании работают над разными проектами же

image.png

`https://59.100.173.172/RDWeb/Pages/en-US/login.aspx deji.folami@navitas.com Navitas2020 navitas\deji.folami@navitas.com`

```

ну админы видимо так и настраивают

> <@usernamegg:matrix.bestflowers247.online> ку

cobs.zip

> <@usernamegg:matrix.bestflowers247.online> sent a file.

https://64.90.104.45/RDWeb/Pages/en-US/login.aspx agordon Winter2023 POLARISTRANSPORT\agordon

это вроде на 50 млн

* эта вроде на 50 млн

+

ок

делаю

`5e7f9e4b3caa5749ddffad180eabe0b5`

`MCS472#T[b*(op`

```

офнусь

```

fb94bcf8b556941680eb410b8af4ebd6:btryon:Mahanta60

++

d29f23f979f980568f2c79af460ce6b2:mkellam:Savings1

4566b1d433659f4d4d1a122f17d035ed:rlamason:$HEX[4a6572656d696168393a3233]

> <@usernameboy:matrix.bestflowers247.online> 4566b1d433659f4d4d1a122f17d035ed:rlamason:$HEX[4a6572656d696168393a3233]

kekhash.txt

> <@usernamett:matrix.bestflowers247.online> sent a file.

++

image.png

@usernamegg:matrix.bestflowers247.onlinerundll32.exe dll.dll,GetModuleProp

cobs.zip

> <@usernamezz:matrix.bestflowers247.online> `5e7f9e4b3caa5749ddffad180eabe0b5`

сегодня-завтра скину сурсы

сорян что не сейчас

9b2aad6f700b836200ec86d85c3716b9:administrator:nP(2597

> <@usernameboy:matrix.bestflowers247.online> 9b2aad6f700b836200ec86d85c3716b9:administrator:nP(2597

Analysis Group как там удалось чтото сделать?

> <@usernamegg:matrix.bestflowers247.online> sent a file.

строка:

mdTgVUQu3BZ9zNY4sHnJ5Cp7q6LjhSckKrXA8x2wfRGDbWvtME

1.7z

```

D08_WV6434_1.txt

тук тук

будешь таргет брать ?

privet ok

`$DCC2$10240#BigBoss#1a3d623b19dc1daf5b4bf3d6fd792e36`

уже забрали себе

будет вомзожно что то еще

$DCC2$10240#bigboss#1a3d623b19dc1daf5b4bf3d6fd792e36:nP(2597

++

ага

да

звоним

ну я сегодня так, местами здесь

у тебя как ? починили реверс майкрософта ?

ну хотя бы что то идет

нам конечно по звонкам надо подтягиваться, вектор вроде хороший, но стлько факапов пиздец

ну там да, нажал две кнопки и все пошло

возьмеш еще?

аа ок

щас уже в принципе вектор через емайл, он очччень сложный

APRIO_Veronika.Fan_1.txt

```

если что, чак тебе дошлет инфу

я отойду на 1 часик

скинул ник

сек

> <@usernamegg:matrix.bestflowers247.online> креды живые www.aprio.com ?

ну попробуй

APRIO_Veronika.Fan_1.txt

блин

naladili po DNS, shas stalo stabilnee

skro budu gruzit'

* skoro budu gruzit'

naladilos s medom ?

kekhash.txt

$krb5tgs$23$*SCCM-SQLService$corp.hppelzer.local$MSSQLSvc/troy-sccm2.corp.hppelzer.local:1443@corp.hppelzer.local*$4d2c47662bb2fc5c7fc...ab11c6e3b4:Thomson@123

++

$krb5tgs$23$*SVC-SCCMAdmin$co66be06085:Whe@tway

++

$krb5tgs$23$*adminjashton$corp.h///b280ea550c86e:Cm112399

* $krb5tgs$23$\*SVC-SCCMAdmin$co66be06085:Whe@tway

++

отвалились(

```

без кредов

сорвалась

не успели выкачать, бросила трубку

---

elutia.com

будем ставить эту сетку? медики

ща дозванивают

остатки

* ```

ne tolko

как у тебя ?

da pochti

raznie pod soft

tolko temu ne rasprostronay

emu budet krishka

shas vot xochu uzhe gruzit')

ну с двумя таргетами, что давали

чего то успел сдалать ?

я просто чака не успел застать

1 poka chto

да пздц падает :-(

no smenim dumayu shas

pod citrix imenno ?

да да да, геморой конечно еще тот

nu tam nuzhen otdelni loader

potom chtob bota tuda zagruzili a to spalim vse

potom mesyacaymi budet chistit'

nado po umnomu zdelat'

davay ya poka zagruzhu delo poydyot

i podumaem nad spamom

ya delal loader mogu posmotrit' s palevami kak shas

* ya delal loader mogu posmotret' s palevami kak shas

NN budet ?

tak kak tam ochen bolshie budut

dumayu eto kak raz po ego profilyu)

* dumayu eto kak raz po ego profilyu budet)

ppc..

on sam da lechitsya ? ili kto to iz blizkix?

ploxo voobshem pereday emu privet i krebkogo zdarovia

* ploxo voobshem

shas xotite otoyti ?

nu ya zhdal etogo DNSa vot segodnya tolko koder dobilsya bezoshibochnogo tunnelinga

okok spokoynoy nochi

kekhash.txt

```

> <@usernameww:matrix.bestflowers247.online> sent a file.

Ага, дважды, один раз в сводке, один раз по новой уязвимости. Биток по 71к опять, круто

```

кошелек для вчерашнего

напомню, что жду дабл и сингл, мне надо в кобу зайти для тестов софта

++

+++

```

> <@usernamett:matrix.bestflowers247.online> ```

da

> <@usernamett:matrix.bestflowers247.online> ```

++

> <@usernamett:matrix.bestflowers247.online> ```

akdenizchemson.com - походу я ее пропустил, либо у них еще вчера было чуть времени. тоже таймер, надо подсветить.

ну тогда я буду автоматизировать это дело

хорошо

> <@usernamegg:matrix.bestflowers247.online> там стоит какая то хуйня которая не дает качать

че может я приеду чтобы не писать это?

ну некоторые защиты и я обойти не смогу, конечно, но лучше сделаю

> <@usernameyy:matrix.bestflowers247.online> че может я приеду чтобы не писать это?

немытый сижу

Доброе утро!

CISCO_VALID_ITEMS.txt

VALID_BRUT_CISCO.txt

VALID_BRUT_RDWEB.txt

VALID_BRUT_SONIC.txt

AUTH_VALID.txt

ага оккупирова)

* ага оккупировал)

принял душ прохладный

щас 30 мин соберусь выезжаю

а под андройд что-то шлют ?

kekhash.txt

не, я про то, чем заражают андроид

```

> <@usernameww:matrix.bestflowers247.online> ```

++

> <@usernameww:matrix.bestflowers247.online> ```

++

> <@usernameww:matrix.bestflowers247.online> sent a file.

++

скоро посмотрю, получится ли сделать чекер

ясно

можно

только вот походу нет смысла, потому что они авторизуются через приложение, а не веб

и опять же 2аф еще нужно как-то ловить

> <@usernamegg:matrix.bestflowers247.online> но надо как то именно по компаниям слать в которых стоит именно соник этот фейк для входа

> <@usernamegg:matrix.bestflowers247.online> форма входа стандартна]

но боюсь нет смысла, им такая форма тупо не известна

как с форти думаю будет и ситриксом

потому что им админы ставят приложения на комп

может лучше пока adfs пособирать ?

он молчит ?

> <@usernamegg:matrix.bestflowers247.online> я тебе скинул , давай отчекаем

есть хоть один валидный adfs ?

и который не через login.microsoftonline.com авторизуется

privet

ясно

net esho zhdu vidachi buildov

ладно, попробую найти

https://sts.paaet.edu.kw/adfs/ls/ я смотрю у многих "An error occurred

VPN_13_05_2024.zip

лучше для чего?

+

просто тут еще у каждой компании свой айпишник соника

еще и несколько бывает

но это в линке могу передавать, куда ему конектится к какому сонику

пошло

https://adfs.andersencorp.com/adfs/ls/idpinitiatedsignon.aspx:fureyjuliana@awtools.com:JosephT22!

нашел один валидный

делаю пока еще чекер

за сегодня закончу думаю

image.png

тут просто после авторизации еще просит выбрать куда войти

image.png

а список не маленький

ADFS_VALID_idpinitiatedsignon.txt

валид

еще будет

вы проверьте, что вы там с этим дальше будите делать

потому что смотрю после авторизации просит выброать группу

ADFS_VALID_idpinitiatedsignon.txt

много валида, но там 2аф походу

как я понимаю, туда ходишь и дальше идет 2аф этап

через разные сторонние сервисы

нет, не все

я даже пока стопнул

потому что там уже 2500 валида

> <@lapa:matrix.bestflowers247.online> sent a file.

зря делал?)

ну я эти креды поставлю на чекинг

посмотрим до завтра что выйдет

ну я могу чисто com пока почекать

но как я понял, входишь, и потому выбирешь sso(а там 2аф)

поставил чисто пока .com проверить на валид

id:fe7dff20-bca8-4262-b3d5-5830e31216f3

++

4file.lockers.zip

Han: burrito

Ок

в процессе

привет

я тут

> <@usernamegg:matrix.bestflowers247.online> голова кипит уже

я в ожидании фейков, чет расстраиваюсь по звонкам

> <@usernamett:matrix.bestflowers247.online> sent a file.

++

мс

все там уже финишная прямая, уже письма и шлюза для точечной рассылки готовим

да тема работает, только блять все умирает, ничего не живет

нужен какой то другой вектор входа

+

> <@usernamegg:matrix.bestflowers247.online> отчекалось ?

скоро сброшу

ADFS_VALID_idpinitiatedsignon.txt

привет

чето там в соксы набежало

вы грузили или песочницы?

понятно

слух, а можно кодера попросить чтобы сделали сортировку по времени первого появления сокса? чтобы новые наверху появлялись

было бы удобнее намного

а то они расплодились, трудно там найи свой

* а то они расплодились, трудно там найти свой

который только что пришел

спасибо

ага ща гляну

да круть

фух )

придумал )))

я думаю флуд нас сильно палит

будем флудить заранее, а перезванивать будем через 2-3-4-5 дней

5.161.250.129

и будем говорить, что просто будем ставить спам фильтра

таким образом мы снизим активность безопасников и админов, которые на шухере из за флуда, а причина все так же оставется

да знаешь, просто мысли не приходили в голову

оно же сам знаешь как бывает, сидишь сидишь и приходит озарение =)

я вот недели две не мог придумать, чем бы улучшить схему.

и все понимаешь, что блин че-то не то...

ну я тут чисто .com чекаю

если нужно все прочекать все же, скажите

2024-05-21T18:01:19+03:00 https://o365.pttgrp.com/adfs/ls/idpinitiatedsignon.aspx znakkaphun.y@pttdigital.com Namnoue@@0828524454@@

вот тут интересно, просто вход и все

без выбора группы

можно еще наши базы мыло и пасс прочекать на adfs эти

если нужно

`https://idp.rockwellautomation.com/adfs/ls/idpinitiatedsignon.aspx devil28@jacksonsshop.com create-accountA4`

> <@usernamegg:matrix.bestflowers247.online> отчекать и эти креды как минимум это доступ в впну

нихера пока нет с этих кредов доступа в впн

> <@usernameww:matrix.bestflowers247.online> sent a file.

1.7z

хорошо

мне где то час на всё про всё понадобится

там просто не таблица вообще)

ага хорошо

а хотя

+

это опционально или везде так сделать?

ок

не mysql?

не берите может пока, а то сейчас поймете, что сделать собо ничего не можете

ясно

не могу подключиться к билдеру 95.216.228.249

поднялся

5.161.250.129:80.bin

готово

`https://adfs.mavex.mavenir.com/adfs/ls/idpinitiatedsignon.aspx mavex.com\george.adamopoulos Mavenir$1234`

я вот тут пошел вообще в какую-то crm систему наверное

38.180.146.165:443.bin

38.180.146.165:80.bin

5.161.250.129:443.bin

подключаться также

* подключаться также

🤣

```

`2024-05-21T18:10:18+03:00 https://adfs.s2hgroup.com/adfs/ls/idpinitiatedsignon.aspx s2h\rkmunar S2h123456+`

вот тут вот есть cisco

но 2аф просит

> <@usernameww:matrix.bestflowers247.online> 4file.lockers.zip

lcrs.zip

ADFS_VALID_idpinitiatedsignon.txt

привет

офнусь

пожалуйста)

++

ага принял, спасибо

> <@usernameww:matrix.bestflowers247.online> ```

++

хорошо

возобновим сотрудничество )

ну закинь если не сложно, а мы тогда с понедельника возобновим

спасибо тебе

он у нас долго без работы был

а потом мы начали ssh грузить, ну и ему вобще делать нечего стало

ок

с какой точкой входа сделать?

понял. занимаюсь

64 битные?

шеллкоды только x64

хорошо

Спасибо

Почему?

Ок

а что это за формат файлов?

.bin

архив какойто?

А что именно?

Пусть говорят, что не так

аа

все понял

то есть вы его изначально как шеллкод делаете

Хз, у нас с ним технологии плюс минус одно и тоже

Если какой-то ав именно, тогда надо его обозначить

Инфицирование такое же как у него сделал с месяца два назад

Если там какой-то ав стоит, у него может пробить, у меня нет, тут только такая ситуация может быть. Или наоборот, смотря короче какой ав там

```

```

```

```

привет

+ tireguru.net

revenue is $5.7 Million

по инфраструктуре вроде крупные

* `+ tireguru.net`

винду не искал, а серверов много. баз данных много. даже карты летят, но не найду пока как до них добраться

там кустомеров по 2-4ляма в каждой бд

да

теща приехала. без меня справляются)