+

> <@lapa:matrix.bestflowers247.online> https://giyahgostar.com/perferendismollitia/i.exe соксы

83.242.96.115

уже добавил

ну я включил там все пункты, которые от реверса идут

пиздец)

он такое тут намудрил

билды теперь по другому делать надо

вот ащс делаю

надо теперь отделаьно делать .exe билд

потом надо делать au3 и dll downloader

чтобы сделать MSI

179.60.149.234

* 179.60.149.234

DOMAIN topsource.co.uk 25kk UK

смотри, походу вот этот DarkGate глобаль это как переносная панель

MSI сделал тебе уже, протестишь его

Это по сути DarkGate глобал можно ставить себе на пк, чтобы не заходить на сервак

и там будут все твои боты

вот добавляешь туда домены, и оно походу будет мониторить их аптайм

не упали ли

все ли живое

типо как обычная система мониторинга

вот думаю так это все работает

это можно сказать тупо клиент, чтобы не заходить на рдп каждый раз

и типо иметь эти разные панели у разных членов команды

и заходить и смотреть ботов

> <@usernamegg:matrix.bestflowers247.online> мне надо 10 штук с разными хешами

или ты их сам размножишь?

а, понял

щас сделаю быстро

да

+

так а я жду qr и будут письма для эвилпрокси

прошлем тестово?

второй сервис получше вроде, работает

протестили

щас зальтю

сек

збс

в архив без пасса же?

и на какой фо лучше?

https://dropmefiles.com/N3qXD

вот

качай

там 10 MSI уже готовы

сделал билды разные

скажешь как запустишь

я посмотрю, пришло или нет

есь

есть

а бот есть

image.png

хм, может и должнга быть такая ошибка

ну это новый метод билда, по другому по идее нельзя сделать

щас сек

ага

каждый раз разная

это походу такая тема

типо так и должно быть)

щас посмотрю, может это можно как то отключить

не, не отключить походу

сокс пришли

везде все что с ошибкой связано

у меня отключено тут

надо расте писать

спрашивать

давай

но там не изменится ничего

ибо это DLL Downloader

типо SIde Loading

+

отпишешь как запустишь, тоже проверю быстро

пришел или нет

нет походу

но если серваки одинаковые

то могло и почитать одинаковыми

щас я на своей машине какой то запущу

сек

win 10 обычная

на серваке?

могло зашить его из-за того, что там что то может стоять

надо на юзерских тачках тестить

более приближенных к этому

типо обычных Win 10

или обычных пустых серваках

щас, сек, я на WIn 10 с акком проверю

пришло

image.png

тоже ошибка

да

давай

заходи

не пришел мой

где я запустил

😄

там смотри, сначала идет .exe билд - во вкладке builder, потом билд DLL Downloader, потом уже MSI

не знаю

charlie chaplin

пришел?

> <@usernamegg:matrix.bestflowers247.online> sent an image.

потом после того как оно у тебя сбилдилось

ты переходишь в BUilder и выбираешь

msi

и там уже выбираешь эту длл, которая вышла от DLL Downloader

я отойду на минут 20-30, смена позиции 😄

скоро буду тут

а то из отеля не могу работать, камер дохера слишком, приходится менять локакции по городу

пока не снял себе что то

+

> <@usernamegg:matrix.bestflowers247.online> sent an image.

+

подписываю и делаю линки

> <@usernamegg:matrix.bestflowers247.online> живые еще ?

вручную смотреть нужно

какой пасс от архива?

+

нет

у меня еще ее нет.. там как-то иначе?

+

вбс тогда тип сделать лучше?

ну я пдф и не буду слать

в пдф там другие линки

я линками прошлю европу

короче давайте msi

подписал уже их

скоро сделаю линки

138.201.248.52 это новая баста

138.201.199.104 это новый блог

+

да вот только сделал линки

скоро проверю и буду запускать

запустил европу

еще большой вопрос а долго ли эти линки от майкрософта будут жить

может их тоже быстро заблочат

+

+

hi

бро

как дела с teams? нужны еще акки?

++

++

я тут

а вбс тоже билдился через dll downloader?

это виидмо именно особенность downloader

> United Kingdom [GB]------------- 59 0 0%

ну именн длл

ну скачивания есть

а отстуки?

хм, проверю линки

может уже локнули

ага, вот а DLL Downloader

видимо дает ошибку

ну ладно

кстати может

потому что я запутился на 77.105.147.44

у меня тоже была ошибка

и смотрю вроде не стукнул

а хоте не

стукнул

+

так а что мне на линки проливать?

для сборщика?

+

+

> <@usernamegg:matrix.bestflowers247.online> как сделать vbs с разными хешами ?

> <@usernamegg:matrix.bestflowers247.online> vbs ты сам сможешь размножить с разными хешами ?

просто как разные билды сделать и все

разные переменные

и так далее

ну переменные заменить на рандомные значения

ну у меня система для нагрузок это все умеет

http://149.28.44.192/Vwq/{random}

нет, у меня генератор нагрузок который

линки, но пока там не вбски

по шаблону все меняет

делает билды

дай мне 1 вбс

сделаю тебе

ага, щас

зайду

сек

захожу

ок, я сейчас перезапущу чисто по компаниям

запустил чисто по крупным компаниям

> <@usernamegg:matrix.bestflowers247.online> сколько сделать копий ?

а какую нагрузку будете слать, как в пятницу?

да

окей

скоро скину

120k ушло уже

приходят или нет?

> Germany [DE]-------------------- 168 0 0%

германия и юк вроде как есть

https://telegra.ph/Besplatnyj-VPS-10-08

Archive: GG4_VBS_TO_VBS_100_e4803dc0abca40f2b776e429e605eaac; PASS: 4MCvS0zVtdFzK0HE3T5q6XtIFMAqXAtv

поднимаем кобу на гитхаб серверах?

🙃

нашел норм контору в ботах, они ремонтом двигателей занимаются

авиационных

сама она не большая но переписки с нормальными

вот

GG4_VBS_TO_VBS_100_e4803dc0abca40f2b776e429e605eaac.7z

отпишешь, если ок, то запущу хоть 10к тебе таких

Archive: GG4_VBS_TO_VBS_5000_601f2f5cca1a447c9d0e1b626ea30a28; PASS: AGBQTm72NFra6giU8qMxtzGZowVd7qS3

вот тебе сразу 5к, чтобы время не терять

GG4_VBS_TO_VBS_5000_601f2f5cca1a447c9d0e1b626ea30a28.7z

отпишешь, если что переделаю

+

эм, я только могу выдачу поменять

+++

ок

> <@usernamegg:matrix.bestflowers247.online> [13:50:45] coder: 32413421432534512545242 http://temp.sh/DBoBl/outs.rar

что-то распоковать рар архив не могу

смотря какой архив скачал

там я тебе скинул выше

под каждый архив

https://dropmefiles.com/vC1t0

тут письма с qr

я тебе 2 архива скинул

какой ты скачал

где 100 или 5к

4MCvS0zVtdFzK0HE3T5q6XtIFMAqXAtv

вот пасс к нему

базу скинуть или просто выберем любых под тест

ясно, ну не особо что-то приходит

+

AGBQTm72NFra6giU8qMxtzGZowVd7qS3

вот

+

> <@usernamegg:matrix.bestflowers247.online> ты сможешь его размножить подписанный ?

а подпиши, я гляну как выглядит он

и скажу, могу или нет

ну мне каждый файл надо будет подписывать

потому что контент же файла менется

а в серте будет хеш файла

ща, не скачал еще даже

надо получается сначала размножить, а потом подписать каждый

+++

через certutil?

вы же так подписываете?

сервер где подписываю что-то не работает

разбираюсь

----

я могу тебе скинуть доступ в админку эвил

посмотришь в каком формате там данные

блин, походу новый серв нужно брать, что-то с тем случилось

чтобы брать оттуда и вставлять в фишер и делать рассылку внутри конторы

два вроде как у меня

может ему дайте

он сам быстрее подпишет думаю

так как мне сервер нужно поднимать

рдп в смысле

да я уже не скажу, рдп этого нет

> <@usernamegg:matrix.bestflowers247.online> EV37mkzns_r_o_[SSL.com].rar

-----

https://cpanel.pua75npooc4ekrkkppdglaleftn5mi2hxsunz5uuup6uxqmen4deepyd.onion/

------

350k ушло

понял.. попозже напишу тогда

+++

пришли ли сетки?

бро а нагрузку делали как в пт мы тестили?

ясно, но вообще слабо конечно

над попробывать будет прослать не мои шеллы, в прямые линки на msi

наверное

но на юсе уже попробуем

просто думаю их если слать, то локнут оч быстро, как вандрайв линки раньше

ну трастовые редиректы эти

пришла ли хоть одна крупная?

просто я шлю по крупным уже много

+

`EAUXSOY2\Jochen Koester @ EAUXSOY2`

+

ну 400к ушло

скоро закончится просал

> <@usernamegg:matrix.bestflowers247.online> делали уже ее

я сейчас перезапустил по всем

думаю будет мелочь в основном идти

а но может и крупная будет

не получится это автоматизировать

ибо если подписать 1 файл и менять его, то хеш будет менятся, а подпись уже будет не валид

ибо она считывает хеш файла и только так валидирует, что подпись валид

рассылку пока с W сделаю

отпишусь

target_FORTIVE.NET_CRG3705.txt

$krb5tgs$23$*CRG3705$FORTIVE.NET$fortive.net/CRG3705*$4a096cf2096eca602c9...7b0a2607a7:Tek12345!@#$%

> <@username777:matrix.bestflowers247.online> $krb5tgs$23$*CRG3705$FORTIVE.NET$fortive.net/CRG3705*$4a096cf2096eca602c9...7b0a2607a7:Tek12345!@#$%

10/09 07:57:02 *** initial beacon from n0nm@192.168.1.55 (N1L206)

да

domain: number1.local

нет пока ничего больше

по 1ой бх и принткаунт не работают

> Germany [DE]-------------------- 700 0 0%

скачиваний не мало вроде как

10/09 08:07:09 *** initial beacon from emma@10.0.0.72 (PAC-PC06)

есть

1 дц там

```

+

скрор поставлю тогда его

пролил

но пока мне еще сервер не выдали

чтобы проверить исо

10/09 08:14:00 *** initial beacon from Ellen@192.168.1.193 (ELLEN)

все

убили линки

попробую перезалить

не в домене еллен

10/09 08:18:49 *** initial beacon from Pc@192.168.11.60 (53MATCOLO)

XPS17AC] ANTCORSO

+

ну потому что еще на одном акке сделаны

тоже не в домене

можно конечно сделать 100 акков, и автоматизировать пролив

но все равно думаю локнут

10/09 08:22:36 *** initial beacon from spa@192.168.10.195 (PCSPA)

да

перезалил в другой акк

ладно, все равно ничего нормального не пришло

да я понимаю

я про то

что слал по сеткам

и тишина

мелочь только хорошо идет

ну в целом не вижу смысла юзать их линки, так как блочат быстро

наверное скоро сделаю зипы и поставлю просто выдачу со своих линков

10/09 08:26:48 *** initial beacon from LEGER Nicolas@192.168.1.26 (NICOLAS-LEGER)

`[LAPTOP17] Giorgio.DiSandri || трастов нет || 57_pc || molaro.it || revenue <5M`

ок, тогда нужно атачи делать

пока нету ее

10/09 08:34:06 *** initial beacon from maryline.delafenetre@192.168.0.48 (PC-MADELAFENETR)

> <@usernameff:matrix.bestflowers247.online> 10/09 08:34:06 *** initial beacon from maryline.delafenetre@192.168.0.48 (PC-MADELAFENETR)

в 1ом днс тихо

MY_kekhash.txt

$krb5tgs$23$*boservice$Mycomeurope.local$BOSSO/boservice.MYCOMEUROPE.LOCAL*$d1ab5dba27b28857d0d...6c5a1f2c6a:Admin350

++

$krb5tgs$23$*pc$Mycomeurope.local$HTTP/sakura.mycomeurope.local*$6ba649c52dee5a77a93...d0fc59e63f:verkko

++

> <@usernamett:matrix.bestflowers247.online> sent a file.

muaddib6: тут?

все файлы с той недели палятся

123.7z

Првиет

pass 123

тут 86 и 64

Не вижу

Да

`[TECNICO-MI] matteo16 || трастов нет || 23_pc || мыльников нет`

`nhussein::NGG-NET:1122334455667788:d0e9ef12d6617fc2a711b3558fd6319b:0101000000000000b845039ca9fad901b1dc587a17fe04240000000008003000300000000000000000000000002000004d39f2482b041b5249a5529654287180880c2ec407de22d6816d4c20fcedbd280a00100000000000000000000000000000000000090020004e00470047002d004e00450054005c006e006800750073007300650069006e000000000000000000`

NHUSSEIN::NGG-NET:1122334455667788:d0e9ef12d6617fc2a711b3558fd6319b:0101000000000000b845039ca9fad901b1dc587a17fe04240000000008003000300000000000000000000000002000004d39f2482b041b5249a5529654287180880c2ec407de22d6816d4c20fcedbd280a00100000000000000000000000000000000000090020004e00470047002d004e00450054005c006e006800750073007300650069006e000000000000000000:maxgenius1

++

zwzpeJPTfM2V

https://file.io/avlAs9feEui6

минут как 15 выдаю без редиректов

Так, по сплойту у меня пока не очень новости, из этих 1к попыток, которые я сделал, только 11 получается обвеначились успехом, что я туда влез куда надо, щас меняю кол-во нопов, чтобы оффсет был побольше

и запускаю это еще раз

кароче надо найти вариант максимально оптимальный

по этим оффсетам

чтобы как можно болльше забирать

редко очень попадает куда нужнор

ну чтобы выполнилось

тупо рандом, но щас попробую подстроится под этот рандом

может есть тут все таки какая то закономерность

от ОС по идее очень сильно зависит

exim по сути в любом случае билдится с gcc

редиректы отваливаются

редиректы это в смысле линки на sharepoint

по поводу бота своего, щас буду менять закреп и добавлю функционал подтягиванию всей C2 инфры на ботов, даже если новая добавилась, чтобы каждые 5-10 стуков обновление было, чтобы боты жили постоянно и никогда от нас не ушли

```

ну я кстати препдопологаю почему может еще реверсы пошли

щас тут для угвея быстро запущу спам по его qr кодам

потому что я редирект делал на js

и продолжу по боту заниматься

а боты может не выполняют js

CVE запустил уже тесты эти, сплойт максимально неприятный в этом плане, что тупо нет точности

последний не полный

FF взял его

> <@usernamehunter:matrix.bestflowers247.online> последний не полный

> <@usernamegg:matrix.bestflowers247.online> тут поднимите

на всех

`[PC-04719] nhussein || показывает траст, но в нем только одна DC и все. В целом 653 компьютера || сайт: nesseler.de || revenue <5M`

https://www.zoominfo.com/c/royal-institute-of-technology/21808236

msi может и правда нет смысла слать, так как тупо запускать может его нельзя из-за настроек

чека мыло и пасс от тимса... там шлак будет

нам по сути нужны доступы от крупных сеток

идет что то с msi?

а туда не войти, даже если пасс будет верный, 2ай

2аф*

> <@usernamegg:matrix.bestflowers247.online> что там с исо ?

ага, отлично

+++

жду пока винду выдадут

но вбс на линки я пролил

да, давайте

```

> <@usernamess:matrix.bestflowers247.online> все файлы с той недели палятся

Когда палится начали?

запускать не дает деф и карбон

но лежат

ну я по мелким тоже слал

я же говорил

можно сказать по всему что есть прослал

у тебя логов много которые можно чекнуть? brevo.com можешь отобрать плз

пока нет

а стучат?

не, ничего не приходит

> <@usernamegg:matrix.bestflowers247.online> ```

щас попробуем тогда по-другому

https://www.securitylab.ru/news/542549.php

Trojan:Win32/Sprisky.U!cl

не смог исо скачать

C:\Users\Administrator\Downloads\3E.iso

орет

https://www.londonstockexchange.com/news-article/VLX/notice-of-cyber-incident/16157458

при том, что деф еще не обновился даже

на 3% акции упали

ага

в днс стучат еще

`W0015-F7 || трастов нет || в кобе не чекинится || при запросе количества PC - дохнет || Вероятнее всего реверсер`

image.png

ниче нормального(

не пришел

10/09 09:41:14 *** initial beacon from sandrine *@192.168.64.126 (MIC-ACCUEIL2)

> <@usernameff:matrix.bestflowers247.online> 10/09 09:41:14 *** initial beacon from sandrine *@192.168.64.126 (MIC-ACCUEIL2)

скоро еще на другом дедике проверю

ну мне выдали

только вот сделал перезапуск, и все, что-то не работает

ага

ну да

то что я тебе и писал

> <@usernamegg:matrix.bestflowers247.online> где брали ?

> <@usernamegg:matrix.bestflowers247.online> ip проверить надо

а другие меты

все брал в разным местах

image.png

> <@usernamegg:matrix.bestflowers247.online> https://avcheck.net

а проверь еще эти плиз

15.204.49.234

91.132.139.169

другие сервера меты

> <@usernamegg:matrix.bestflowers247.online> вот тебе результат

да я еще обновляю деф на дедике

что-то долго все обновляетс

ну я могу его файлы поставить на выдачу и прослать уже канаду

> <@usernamegg:matrix.bestflowers247.online> это фаил где стоит ?

87.120.254.114 BGMSF443.bin

image.png

не понял

вы домены проверяли?

ну ок, скоро посмотрю msi на выдачу

поставлю *

* 87.120.254.114 BGMSF443.bin

ж0стко

но не факт конечно что сами msi не палятся

скоро проверю

+++

209.127.27.23 должен стукнуть

но msi зависает так капец

и на выдачу поставил уже

эту видимо потому, что я сделал редиректы на js

> <@usernamegg:matrix.bestflowers247.online> надо вот как в начале слали с норма доменами делать просыл

я слал в письмах свои домены

а редиректил на линки шеапоинт

короче, я сейчас поменяю выдачу

сделаю двойной редирект

но сейчас это не спасет

так как я уже прослал сегодня

реверсы будут еще ходить по европейским линкам

а вы уверены?

там юса летит?

я ничего не шлю

европа только может достукивать сейчас

да

сейчас будут идти в пятничный

даркгейт

я скоро канада запущу

10/09 10:26:31 *** initial beacon from odt442@10.2.180.100 (ODTRHUC0003)

ясно

скоро запущу канаду

фууз

нет

я не могу те пдф прослать

линками

как и европу

да, и шерпоинт линки не буду делать, так как их локают, бестолку

канаду запустил

умер походу

rundll32 file.dll, examining у длл

понял

стопнул

переделаю выдачу

добавлю туда js

1.7z

prestigiousdentistry.com

* prestigiousdentistry.com = 162.33.179.65

ясно

ну я не заблочу их уже

> Canada [CA]--------------------- 136

странно еще что 136 скачиваний с канадский айпишников

но никто не стукнул

поменял скрипт для выдачи

может поменьше будет

реверсов

делаю линки по новой и снова запущу канаду

Trojan:O97M/Sonbokli.A!cl

да

деф уже все

палит выдачу msi

$DCC2$10240#arajanala#47286dcb1e1fd85e69b1eab31fec5ac5

$DCC2$10240#arajanala#47286dcb1e1fd85e69b1eab31fec5ac5:Password-1

> <@usernameboy:matrix.bestflowers247.online> $DCC2$10240#arajanala#47286dcb1e1fd85e69b1eab31fec5ac5:Password-1

ну кстати сегодняшний у меня не спалило

вернул сегодняшний msi

ничего не пришло что-то

один пришел и моменитально отвалился

сразу умирают

jr

ок

100k ушло уже на канаду

скачивания есть

стукнул ли кто с канады?

капец

так я поставил на выдачу уже сегодняшний msi

т.е. в новый даркгейт должен стучать