он угвею и слала первый так

++

Ugway

давай

жду

что за чамп. ?

ну конечно

ага

все верно

и отправить тем письма кому ты не смог руками это сделать

через TeamsPhisher

Снимок экрана 2023-10-05 в 20.39.33.png

ну вот они за два дня руками назаражали машин смотри сколько

все через тимс

а у них базы нету еще

они руками где то что то собрают ))

> <@lapa:matrix.bestflowers247.online> ну как я понял, они находят доступ от сетки в тимс

именно так

> <@usernamegg:matrix.bestflowers247.online> sent an image.

> <@usernamegg:matrix.bestflowers247.online> sent an image.

с письмом

)))

у них нету базы

матерьяла нету столько сколько у нас

и нету средст

я говорю же они молодцы

трудяги

нашли способ хороший

инбоксит

100 %

но маштабировать не могу

они не могу стабильно по 10-20 компаний в день заражать выборочно

две ну три ...

а нам если делать выборочно 10 - 20 компаний в день и все, мы будем загрежы под самый потолок

что нам это даст ?

ответят

2 человека

вывод какой ?

+++

епать ))))

это не страшно

страсово и в ибокс

погоди погоди

лучше на юсу сразу )

ауф

мне нужны два домена

ТТ

все что им собрете мелкор

не надо сейчас ничего слать

очень крутую штуку мы нашли

навай грамотно с ней разберемся

я сейчас лоадер дарк гейт пернесу на новый сервр

привяжу у нему новый домен

сделаю чистый msi подпишу его EV сертом

и качествнно прошлем все

пдф + js + msi (подписанный сертом)

> <@lapa:matrix.bestflowers247.online> да, и заоодно вообще посмотрим, ответил ли кто

но только без нагрузки слать

просто файлы какие нибудь аттачем

никого не пугая и не заражая

а я подготовлю дак гейт

ну да

с аттачем можешь

а по какой базе слать ?

com

да

> <@lapa:matrix.bestflowers247.online> так как все же те ребята подругому шлют

можно делать день ознакомительный

завтра те кто ответят им уже фаил вкладывать )

день знакомств а потом день заражения

> <@lapa:matrix.bestflowers247.online> ну они же находят реальные акки компаний, смотрят с кем чел переписку вел и всем в ответ шлю файл

на одном

ты как ?

и сразу его привяжи

к

81.19.135.139

вот сюда

да

к одному

81.19.135.139

вот к этому

они начнут раследвание и прикрытие уязвимости только тогда когда мы начнем массово слать

пока мы тихо шлем по немногу и без заражения все хорошо будет

так

родной

2 домена сделай мне

НОООО

привязывай только один

хорошо ?

один оставим про запас

домен

может его к другому серверу привяжем

а как с самого аутлука не будет доходить?

там страна то какая ?

по которой ты слала?

ты отчекал скриптом тех кто есть в тимс и по ним прослал ? или просто без проверки на тимс прослал ?

может там европпа была

не юса не канада

ааа

а на тимс чекнул ?

сейчас

акки начинать делать ?

это все руками бы бабахнул?)

https://eimskipafelagislands-my.sharepoint.com/personal/dieterfassbinder_eimskipafelagislands_onmicrosoft_com/_layouts/15/onedrive.aspx?id=%2Fpersonal%2Fdieterfassbinder%5Feimskipafelagislands%5Fonmicrosoft%5Fcom%2FDocuments%2FMicrosoft%20Teams%20Chat%20Files%2Ftext%2Ezip&parent=%2Fpersonal%2Fdieterfassbinder%5Feimskipafelagislands%5Fonmicrosoft%5Fcom%2FDocuments%2FMicrosoft%20Teams%20Chat%20Files&ga=1

ссылка на скачивание зипа))

без какой авторизации ?

на акке ?

аа дак тем кому ты руками отправил

они видно по тимску что не у компа

ты зашел?

смотри

там кто через скайм аторизован

сразу подписано

скайп

видно статус у них что они не на месте

акки делать будем ?

сделаю про запас 10 акков бизнесовых?

))

ты слал по своим почтам мелки

которые заспамили уже )

выбери из свежих

кого недавно выкачал

ааа

ааа

точно точно ))

ну сейчас ты залетел в инбокс

ну придут , ответят

видно же что не на местах

++

++

что бы это значило

аа

это через тимсфишер слал или как ?

давай

я пока с акками проработаю историю

++

я сделаю 10акков

хм

тимсфишер, так в примере почты вот такие @EimskipafelagIslands.onmicrosoft.com

EimskipafelagIslands вот это в почте

EimskipafelagIslands - это название организации

оно автомато созает когда регаешь акк ты указываешь компанию в конце регистрации тебе дает такй ник сам тимс

понял ?

ну точно тебе говорю

ну тут по такому же типу только тут на домене все завязано

вот твой ник тут @lapa:matrix.bestflowers247.online

а если бы ты был организей ?

* а если бы ты был организацией ?

ага

можно

и вот примеры куда слать

тестово "hello

> <@usernamegg:matrix.bestflowers247.online> а если бы ты был организацией ?

ну по такой логике думаю тимс и работает

onmicrosoft.com - это аутлука

my really cool totally real tenant

@myreallycooltotallyrealtenant.onmicrosoft.com

да короче ты все понял

я нудить уже начал

++

добрых снов

getldrrgoodgame.com

вот этот домен

зайди туда в аакк

отвяжи А запись 81.19.135.139 этого сервера

> <@usernamett:matrix.bestflowers247.online> 81.19.135.139 ты этот IP уже давал на этот домен getldrrgoodgame.com .

https://techcrunch.com/2023/10/05/qakbot-hackers-are-still-spamming-victims-despite-fbi-takedown/?guccounter=1

++

ну по сути у них такой адрес там

> <@usernameugway:matrix.bestflowers247.online> > что за чамп. ?

)))

подачей ты его выбил ?

ты акки тимс сам добываешь ? без 2фа прямо бывают ?

либо лучше вбивать ?

и самому делать акк

проплаченный

я прослал тестово 40 писем

жду пока кто то ответит

тество

++

давай

да именно так

добрых снов

вот на это обрти внимание

```

imdisplayname": "phish her

а в TeamsEnum он не брутит имена он по стандартну подбирает и много пропускает

давай добрых снов

мне тут бен уже пару билдов сделал на разных стабах

ааа

новая точка входа будет ?

тимс вообще прикльна етам

```

imdisplayname": "phish her

вот это меня смущает

он дает какую то цитату при отправке

какую ?

поймал дллку

[21:10:20] Bentli криптер vasishtha: a9bba7ca43370ae36ca4d4fb11a9f288

[21:14:10] Bentli криптер vasishtha: http://temp.sh/PNNTr/Final.7z

вот он уже сделал на двух разных стабах

да

хорошо

++

там разбор есть на iPikaBot в интернете

как они узнаю название вообще

там много чего ты хорошего применил

что им нужно понимать ?)

все я спать

завтра обсудим

доброе

я с утра видел что ни кто не ответил , но это вообще не страшно , нужно сейчас подкручивть я знаю/ 100% что способ рабочий

Снимок экрана 2023-10-06 в 10.13.07.png

хорошо

давай

доброе

это пинг ) +++++

щас буду

я в пути

акка нужы

доброе

сделали

а то надо понять как будет туда инбоксить

ни кто не отписал пока нам

хч

хм

вот это уже грустно

надо другой акк сейчас

что бы посмотреть как это в инбокс приходит

и настроить на нем ограничения бы

что бы не мог ни от кого принимать левых письма

сейчас будет акк

сразу на другом рдп все поставлю

и будешь тестить и смотреть между двумя рдп

> <@lapa:matrix.bestflowers247.online> а зачем?

imdisplayname": "phish her

ты это видел

?

мне вчера прогер объяснял который рядом сидит что он дает пометку плохую

надо типа это исправлять

я думаю надо сказать тебе

что там еще ты увидел в скрипте на определение

https://github.com/sse-secure-systems/TeamsEnum

в этом

> <@usernamegg:matrix.bestflowers247.online> ```

распиши мне

++

Снимок экрана 2023-10-06 в 10.34.47.png

ты софт для чего писал по накрутке ?

твича ?

это прогер второй , который софт по накрутке twitch.tv самый топовый создал , он немного понимает

жду

ща по второму коду на отправку даст коректировки

++

???

доброе

можешь дать еще один акк от тимса хочу потестировать отправку и посмотреть как приходит

только корп акк

а нет, в первом скрипте всё в порядке, это во втором тоже

Снимок экрана 2023-10-06 в 10.51.47.png

сейчас поблема в другом

https://www.microsoft.com/en/microsoft-teams/compare-microsoft-teams-options?market=af

привет

отправил уже итальянца привет ?

да , сейчас будем пробовать

Снимок экрана 2023-10-06 в 11.25.59.png

так

если придумал, давай реализуй

я просто сейчас тимсом занят

массово слать не хочу пока

у тебя есть акки бизнес тимс ?

креды

где их взять

варианты какие

?

я вчера один сделал сам

но лучше где то массово заказывать

что бы делали

вот сейчас надо второй акк что бы тестово проверить доставку

как приходит письмо

угвея нету

нет надо бизнесс

мы по корпам рабоатем

я лучше сделаю сейчас

сейчас сделаю как аакк

дам доступ к впске

сделаешь тест

[23:42:53] mrlapis: Без детектов

вот залей туда новый билд

на всякий случай

я купил EV серты вчера две штуки для точечного просыла

надо очень уникальный фаил собрать для тимса

я по большим котром потому что смогу прослать и по нужному мне роду деятельности

отлично

я просто не уверен что точено нужно слать на Пику

у драк гейта не дохнут таргеты

вчера перенес его на другой домен

msi чситый

vbs 3 детекта

да

я

но вышел уже

есть свои не бизнесс акки тоже но я хочу бизнесс именно сделать

> <@lapa:matrix.bestflowers247.online> написал со своего не бизнес акка

> <@lapa:matrix.bestflowers247.online> ну на такой тимс onkjfbd8h@outlook.com скрипт не отправил

если это не бизнесс

аа

потому что скрипту нужен только корп

а это обычный

мне не под отправку

мне принять на него надо

я сейчас на одно рдп поставит бизнесс тимс на отправку а твой поставлю на другом на прием и буду тестировать

> <@usernameugway:matrix.bestflowers247.online> exe мы можем выдавать ? или атачить при спаме

> <@usernameugway:matrix.bestflowers247.online> msi например чистый и его можно отправлять

Eudtq ghbitk

Угвей пришел

сейчас они свой акк мне дадут для тестов бизнес

я на рдп установлю еще один тим тебе и зайдешь

ХХ

мне позовите его

срочно

а у тебя тоже триалочка

Снимок экрана 2023-10-06 в 11.47.33.png

мм ответь

> <@usernameugway:matrix.bestflowers247.online> если план норм, сделай мне такую нагрузку сейчас прошлем

ну мы потратим на трой просыл EV серт который стоит $4000 + сборка pdf + msi - 1k копий $500.

будет стоить шкурка выделки ?

притуд таргеты ?

> <@usernameugway:matrix.bestflowers247.online> а если без серта

они так быстро прикроют

тут точечно надо

Nibble-2048 / 50GB / chicago / Windows (Windows 10 Pro)

готово ту второй акк тимс

тестируй

я там в настройках

выйдешь

что за компании есть ?

по ревеню прям нужно отбирать и тай фаил слать

очень хорошим компаниям

если по юсе будешь слать то нужно в 17 начинать

если по европпе то сейчас

фильтровать нужно

там все те кого я смог выдернуть с биржи торгующие своими акциями

msi + EV

как лучше отправлять его через тимс

pdf + msi ?

или прям голый лучше msi

вот думаю и советую со сборщиками и с тобой

буду слать по жирным конторам

Capture.PNG

вот так приходит с левого акка ?

если его нету у тебя в списке контактов

а если уже есть переписки то по перепискам шлешь и все ?

да

вижу

да да

Нужно называтся как то по осбенному что бы желаение было открывать

> <@lapa:matrix.bestflowers247.online> по италии например

больше не надо

Снимок экрана 2023-10-06 в 12.02.13.png

хорошо делай

все ранво тестим

ХХ

ответит пускай

++

ну еще я вам могу выдавать почты от конкретного таргета по домену, если они у меня будут в базе!

что бы больше было вариантов заразить юристов например больших

помнишь были юристы в начале

которые в офф ушли ?

вот у них какой домен был

найти надо

юристов от 1b

и собрат ьпо ним почты и я по свой базе соберу

и прослать по ним

несколько контор

штук 10

в гугле введи 10 топовых контор юристов по USA CANADA

домены мне скинь

я соберу всех по своей базе и ты все что найдешь в интрнете

и прошлем

я сберу фаил ближе к 17

хороший

под точку

для тимса

на свой лодаре

https://avcheck.net/id/xAprNSSxaJL2

мои msi

подпишу его сертом еще и красота будет

> <@usernameugway:matrix.bestflowers247.online> да, я найду по ревенью

да, но ему слать нечего пока.

соберем сегодня чистый фаил

и возьмем 10 контор юристов

соберем по ним все почты

и отчекам на тимс

и прошлем его

Снимок экрана 2023-10-06 в 12.00.02.png

Снимок экрана 2023-10-06 в 12.00.06.png

конечно от таких названий люди не охотно будут открывать

по юристам шлем например создаем тим который будет назван какой нибудь Адвокатская палата (Bar association) USA https://www.americanbar.org/en/

ну в скрипте при создании чата не передается название чата

# See https://posts.inthecyber.com/leveraging-microsoft-teams-for-initial-access-42beb07f12c4

тут такой комент в скрипте

> <@lapa:matrix.bestflowers247.online> да, проще просто в тимсе поменять название

> <@w:matrixtcFJHPDblmt2rg.network> Во-вторых, данный метод позволяет избежать заведомо опасного действия по переходу по ссылке в электронном письме, чему сотрудники многих организаций уже были обучены в течение последних лет, что значительно снижает вероятность того, что типичный сотрудник обнаружит это как фишинговую атаку. Пейлоад теперь будет загружаться с доверенного домена Sharepoint и будет поступать в виде файла в папку «Входящие» нашего таргета. Таким образом, пейлоад будет использовать репутацию Sharepoint домена, а не какого-то случайного вредоносного фишингового веб-сайта.

> <@usernamegg:matrix.bestflowers247.online> sent an image.

Снимок экрана 2023-10-06 в 12.18.43.png

> <@lapa:matrix.bestflowers247.online> видимо раньше этот скрипт обходил предупреждение это

Capture.PNG

да

вот так приходит

видимо раньше этот скрипт обходил предупреждение это

Снимок экрана 2023-10-06 в 12.18.43.png

да

слова подтвердились

в смысле многоходовка? какие ссесии ? снача привет как дела ? потом когда они отвечаю вторым заходим им шлешь пейлоад ?

по счет пейлоадов читаю

Во-вторых, данный метод позволяет избежать заведомо опасного действия по переходу по ссылке в электронном письме, чему сотрудники многих организаций уже были обучены в течение последних лет, что значительно снижает вероятность того, что типичный сотрудник обнаружит это как фишинговую атаку. Пейлоад теперь будет загружаться с доверенного домена Sharepoint и будет поступать в виде файла в папку «Входящие» нашего таргета. Таким образом, пейлоад будет использовать репутацию Sharepoint домена, а не какого-то случайного вредоносного фишингового веб-сайта.

https://xss.is/threads/92785/#post-644841

Снимок экрана 2023-10-06 в 12.23.56.png

Я обсудил этот вопрос с главой службы безопасности JUMPSEC (Том Эллсон), и не более чем через 10 минут мы обошли ограничения безопасности и смогли отправить файлы в целевую организацию. Эксплуатация уязвимости была простой, используя традиционную технику IDOR для переключения внутреннего и внешнего идентификатора получателя в POST-запросе:

да мы сами добьемся этого , они тестово пускай шлют а мы смотрим

Снимок экрана 2023-10-06 в 12.22.59.png

Снимок экрана 2023-10-06 в 12.23.11.png

Снимок экрана 2023-10-06 в 12.23.23.png

Снимок экрана 2023-10-06 в 12.23.32.png

Снимок экрана 2023-10-06 в 12.23.47.png

Снимок экрана 2023-10-06 в 12.23.56.png

++

Снимок экрана 2023-10-06 в 12.41.50.png

что бы каждый фаил был уникальный а то он живет только одно движение и потом палит

Снимок экрана 2023-10-06 в 12.41.59.png

Снимок экрана 2023-10-06 в 12.42.12.png

Снимок экрана 2023-10-06 в 12.42.27.png

Снимок экрана 2023-10-06 в 12.42.37.png

Снимок экрана 2023-10-06 в 12.42.47.png

Снимок экрана 2023-10-06 в 12.43.00.png

Снимок экрана 2023-10-06 в 12.43.15.png

image.png

вот тоже будет полезно прочитать

https://xakep.ru/2023/09/14/storm-0324-microsoft-teams/

Снимок экрана 2023-10-06 в 12.23.56.png

https://xakep.ru/2023/09/14/storm-0324-microsoft-teams/

https://xakep.ru/2023/09/14/storm-0324-microsoft-teams/

что ты мне вчера это все не скинул ??

капец как интересно

сточно всего

спасибо

читаю дальше

https://xakep.ru/2022/09/15/microsoft-teams-tokens/

капец нчитался

сейчас ребутну инте

симку надо поменять в модеме

почитай пока все что скинул

очень много инфы

кладь просто

+++

проплаченый или триал ?

https://xakep.ru/2023/09/14/storm-0324-microsoft-teams/

я тут

> <@w:matrixtcFJHPDblmt2rg.network> https://xss.is/threads/92785/#post-644841

> <@w:matrixtcFJHPDblmt2rg.network> https://xss.is/threads/90615/

давай

посмотрим

ее видишь активно юзают

++