+

+

да, сейчас зайдет я распишу

ок кидай почту

ок

я пока как раз разбираюсь

настраиваю аутлук аккаунт для форвардинга

Конечно. По умолчанию так делаю.

lenon.pofactor@outlook.com

пока не отправляйте

я скажу когда

++

хорошо

и пусть скажет с какой почты мне придет письмо

чего они сами не проверили

если они могут такое слать

ладно

у вас есть почта от гугла?

чтобы сразу на инбокси в гугл проверить

ок

попробую создать, но там наверное номер телефона нужен

ок

скажите номер телефона

я тут уже создаю

потом скажете код

да мы используем reply-to

чет он много вопросов задает)

нам другое нужно

ладно, ugway сначало попробуем

447536665059

ладно, нам reply-to не нужно сейчас

нам подмена отправителя просто нужна

и все

нам просто нужно отправить якобы от state.gov

да, оно не за инбоксит, но нам так и нужно

state.gov -> на outlook.com

немецкий?

ок, а ты скажешь как будешь готов

от кого в идеале нужно прислать? от налоговой?

или юк номер это?

This phone number cannot be used for verification.

не хочет его использовать

1.7z

строка:

snauidh718iuaksd

+

https://avcheck.net/id/SFiH82kVVmZP

This phone number cannot be used for verification.

Скинул лапе если что

хм, тоже не хочет

Это JS

крипт от ляписа могу скинуть щас

кидать?

он чистый я проверил

На примере этого файла: Example namewin32encrypt_0kuzqzs8xj8_.exe

```

+

+

вы в нее вошли?

* ```

я тогда не буду заходить

вы там увидите придет ли письмо или нет

если же слать атачем

то в там в самом JS идет подкачка с IP

а не с домена

или я не правильно тебя понял?

настроил форвардинг

сейчас тогда жду почту, с которой мне придет письмо

* На примере этого файла: Example namewin32encrypt\_0kuzqzs8xj8\_.exe

надо пробовать с .iso

> <@usernamegg:matrix.bestflowers247.online> когда мне надо прыгнуть куда то на тачку в сети и я не могу по линку подлить фаил криптованный от кобы или меты dll или exe , у меня такие танцы с бубном это капец

можно в .iso запихнуть .js + .dll

и все

и запускать локально

размер правда не знаю какой будет

надо пробовать, щас сделаю прототип такой нагрузки

не знаю как будет

пару минут

да, но большой вопрос атачем будет ли такое заходить

+

вошел

ждем угвея

от майкрософт попробуем

и от налогов

налоговой*

примерно минут черзе 30 будем готовы

так

там еще важно

чтобы у домена

spf был атлуковский

ХХ попросил пропуск сделать

пусть точно мне скажет с какого будет слат

я проверю spf

вообще у меня есть идеи как можно автоматизировать это

попробую, если тест будет удачный

просто можно будет автоматически менять форвард почту

т.е. на кого конечного жлем

шлем*

бля но вообще это так легко прикрыть будет майкрософтом, если начнем что-то слать нормально)

HAMONGROUP_kekhash.txt

$krb5tgs$23$*SCCM_CP$hamongroup.local$MSSQLSvc/msgwsvps19.hamongroup.local:SCCM@hamongroup.local*$5b2c2529b4acf554031...ee8de42ad8:P@ssw0rd

++

хорошо

$krb5tgs$23$*sp_admin$hamongroup.local$MSOLAPSvc.3/MSGWSVVS43@hamongroup.local*$41b97cc1d8ve0663b00be551d95102afb21f6044e8c01abc2198656fe3a218e225271dd74d70:Sharepoint@147

++

европу может не прошлем, потому что я тут добавлю доп поля в базу в таблицу большую для просыла с прогревом мне нужно, и это видимо займет время нормально

уже час наверное жду

+

+

+++

пару минут, JS новые соибарю

и проверю сразу

> <@usernamegg:matrix.bestflowers247.online> ну что думаешь по счет нагрузки ?

и все будет четко

я думаю, что если подписать .iso/img

будет нормально

можно отправлять? мой зашел

ща отпишу 10минут

прошлем европу, завершился процесс

мелкор пока переделывает

а то там при запуске ошибка

> <@usernamegg:matrix.bestflowers247.online> Ugway

это важно

> <@usernamegg:matrix.bestflowers247.online> sent an image.

12_kekhash.txt

посмотрим, не могу сказать можно ли такой формат подписывать

ща сделаем бро, главное чтобы акк еще не сдох через который будем делать

я попросил записать как делает

да

```

домен будет от брево , там свои spf

и запишем гайд, на примере будет понятней

>в этой схеме spf так и не задействовался

бро давай отправлю меседж

ICTOWER_kekhash.txt

$krb5tgs$23$*crm$ictower.com$MSCRMAsyncService/ICT-CRM.ictower.com@ictower.com*$2cea1524e0829ea2931...deda35ed33:d0nk3y2006

++

стоп

нет

он почту даст или нет?

мне его почту нужно добавить в контакты доверенные

название домена?

домен будет от брево , там свои spf" и это не прокатит думаю

бля

> <@usernamegg:matrix.bestflowers247.online> Ugway

с которой мне придет письмо

короч все же думаю берите у тех ребят смтп

Clare.Walker@applause.com

+

там вообще не атлуке в spf

там гугл

ладно

попробуем

но уже эксперемент не такой как в пдф

ща скажу, когда можно отправить

мы разные варианты тестили, у нас не хватает знаний сходу сделать как в пдф

в смтп побольше шарите

отправляем?

можно отправить письмо на lenon.pofactor@outlook.com

да, отправляет пусть

но уже не то, что нужно

берите у тех ребят смтп

> это не ты постил ?

я никому не писал по этому поводу только тебе

еще интересно что за письмо он отправит

Screenshot_2023-10-30_12-58-14.png

это вот длка от бена

я хер его как это так)

как квака задетектило

ааа, ну квак же уже ифнру поднимает

Trojan:Win32/Qakbot.NS!MTB

может бен и ему делает

странный дедект при запуске

js

ага

это дллка

у бена так палится

ну дллка палит

и мелкор говорит что у него также дллку палит

>Your account has been suspended for not following our Terms of use.

да

бену чистить нужно

либо он не то закриптовал

забавно кстати, что боты доходят

ну считай с прошлой рассылки

да он не то делает видимо

дроп на вбокс

у него просто был акк компании

это статика прилетела

и он с него хотел прослать

это не то

без запуска

```

жду когда те ребята выдадут смтп

$DCC2$10240#sadw#0df012ff24ef916a022ef9d970433dd7:Virtual02

где он потом наберет акки от крутых трастовых компаний)))

++

отвалятся же после первого просыла

В

state.gov уже не содержит спф от атулка

v=spf1 mx a:_msiplista.state.gov include:_iplist.state.gov include:_o365spf.state.gov -all

видимо пдф не новый

нужно делать как в гайде бро, твои спецы могут воспроизвести эту схему?

ладно, с другого будем слать

там нам пофиг думаю, ру или нет

протестим

хорошо, это будет лучшим вариантом если сделают твои

мы первый раз все делать будем даже смтп сервер

это тяжело

но схема точно рабочая

не понял

у этих же ребят и делать такие смтп

которые могут подделывать отправителя

я тогда допиливаю тимсы под схему что говорил в прошлый раз, чтобы запусукать больше

ну если с пмта можно вставить любого отправителя, тогда берите, проверим

+

Привет всем!

Privet

privet!

привет!

Здарова

hi

hi

нормально смотрел чемпионат)

ну судя по описанию

у них просто содается новый смтп и он связан с определенным доменом

а нам нужно, чтобы мы могли подделывать отправителя

короч, это точно у кого-то из ребята было можно так слать

ага

ну я все смотрел игры

наши выиграли)

+

нет

я с них так не смогу слать быстро

бен делает дллку?

я на след неделе поеду к мелкому домой, либо он сам приедет

инфа должна быть по поводу ботнета он говорил пару недель

но сказал что сначала ему надо RCE доделать там где он начал

если дает добро и все у него будет получаться в чем я не сомневаюсь, главное бы он заднюю не сдал

то он напишет топ лоадер или ботнет

он знает как сделать охуенный закреп с ним по большей части закрепа разговаривал

ага

я с ним разговаривал по этому поводу что есть подчерк

он от части сказал что это правда но и не совсем прям так

)))

я бы с его дружком еще познакомился через какое то время может быть не факт который ему предлагал HVNC написать вдвоем

там тоже молодой какой то шаристый челик который не долбаеб совсем

одноклассник его

но живет тут где я щас

> <@usernamegg:matrix.bestflowers247.online> sent a file.

те, которые онлайн были последний раз?

строка fghb

+

ага, окей

деф как всегда...

+

+++

щас гялну

пока слал был чистый))

а деф как всегда мудак

заливаю апдейт сортировки

перезапускается система

+

вроде чисто

скоро размножу и запущу

готово если что

просто страницу обновите

https://i1ovfbpnlgg0hjks.tech/9568c16f-b420-43dc-8a59-f3500b0628fe/bots?date_start=10/23/2023&date_end=11/3/2023&countries=&streams=&display=

вот если что линк для всех ботов в системе с 23 октября по 3 ноября

ну js атачем

JS

сейчас выдам просто

.iso делаю

na meste

щас у меня новые 100 штук JS

делаются

я ему скину

так щас длку проверю

по панели нормально тебе показывает?

пойдет?

`deded57c916acf1fea669244ebdca828`

`find . -iname "*Recording Fee Per Page.pdf"`

> <@usernamegg:matrix.bestflowers247.online> там то что ты раскрутил VV , мы не разбирали и не качали в выхи, оставили работу XX

вижу

да

запустил

ага, все понял

окей

да, окей

+

> <@usernamegg:matrix.bestflowers247.online> не то залил ( удалить бы из cpanel

> <@usernamezz:matrix.bestflowers247.online> `deded57c916acf1fea669244ebdca828`

ну вроде есть два запуска

ждем

> <@usernamegg:matrix.bestflowers247.online> http://temp.sh/CzTKJ/dr1.rar

стучит

а вы криптанули новый дллку от мелкора?

вроде проста группа GG8 должна быть

ща спрошу у мелкора

ага

а в нее не стучит

в другую стучит

GG8MO

MO - Monday

а

не хотя уже в нее стучит

я буду в конце добавлять еще дни, чтобы не путались

3598888 12 \ 3 \ 9 \ 25%

идут запуски

12 уже есть, ждем

cnexbn

стучит

вот вижу ботов

https://i1ovfbpnlgg0hjks.tech/9568c16f-b420-43dc-8a59-f3500b0628fe/bots?date_start=10/30/2023&date_end=10/30/2023&countries=&streams=GG8MO&display=

вот по этой группе стата

за сегодня

---

получилось?

щас добавлю фильтры на online и in domain

да забрал все

чуть позже это все сделаю

щас сначала по боту решу

а потом уже остальное

```

$DCC2$10240#saah#bb166e4d947b1c6070b465f26669584c:Monday01

++

> <@usernamegg:matrix.bestflowers247.online> https://olddot.org

аа

> <@usernamegg:matrix.bestflowers247.online> https://forum.exploit.in/topic/143330/?page=9&tab=comments#comment-1390443

> <@usernamegg:matrix.bestflowers247.online> без макроса только нужно делать ) а это 0day

$DCC2$10240#sajp#0dbc0e37d6ebce7415dc0cd1eda79f72:Oilers94!

ну док этот ебаный надо мне доделать и будет нам счастье

++

решить проблему с этой памятью

image.png

> я не могу сделать пока подменные smtp

29 \ 8 \ 21 \ 27%

не оч остук

с нашего смтп идет только создание и отправка

> <@usernamegg:matrix.bestflowers247.online> получается подмена на стороне аутлука идет

это не подмена

а форвардинг

т.е. я просто говорю атлутлуку перенапрявлять все входящие письма на другую почту(почту жертвы)

https://www.bestflowers247.online/grain/o5s2isC8kYPev54mjW2Czq/

да

я просто не совсем понимаю какие смтп ты хочешь раздобыть для этого теста

но это опять же не по схеме в исследовании

у них была одна из задач в начале теста , масштабируемость

лист наш

рабочий

теоретически это должно быть относительно легко воспроизведено

со старым все ок

это другой лист

у тебя открывает его ?

image.png

хотя тут они пишут что сервер должен уметь отправлять поддельные сообщения

+

++

спс

да

200k ушло, не особо запускают

https://i1ovfbpnlgg0hjks.tech/9568c16f-b420-43dc-8a59-f3500b0628fe/bot/20866

она в сети если что

можете ее в кобу сгрузить

или она уже у вас?

скоро апдейт буду заливать

This file already decrypted. This is not raw text extension

2.7z

Строка

snauidh718iuaksd

```

+

пару минут проверю

> <@usernamegg:matrix.bestflowers247.online> I have seen that you can decrypt three files and that you have a lot of data. I can’t open file ad0a2c90-5ee1-4f3b-ab89-ffeee77b072f.evtx. Can you not decrypt it?

тут этот файл нормально открывается, так что он нормально расшифрован

xtnrj

четко отбработала

можете ставить на выдачу

я сделал что не делал еще никто =)

кроме меня конечно же )))

`GFS.LOCAL/Administrator:$DCC2$10240#Administrator#7f67d4bb03c88f151777a84c9b09d959`

пуха же надо поднакидать

не нихуя не получилось в итоге KDC_ERR_CLIENT_NOT_TRUSTED

сейчас буду систему обновлять, заливаю фичу

fast.txt

перезапускается система, минуты 2 и все будет готово

скину новые ссылки

ПОЛУЧИЛОСЬ НАХУЙ))

🐰

где ZZZ

хуй знает даже

просто ZZ попросил помочь

пришлось поебаться

https://i1ovfbpnlgg0hjks.tech/9568c16f-b420-43dc-8a59-f3500b0628fe/bots?date_start=10/23/2023&date_end=11/3/2023&countries=&streams=&display=&is_online=1&is_in_domain=1

```

> <@usernamegg:matrix.bestflowers247.online> ты в слепую говорят делал ?

стопнул европу

как глянешь, отпишешь, все ли подходит, если что пиши

я пошел по трафу заниматься

бля)))

и продолжу заниматься .iso

после того как доделаю .iso

буду дальше трафом заниматься

> <@usernamehh:matrix.bestflowers247.online> sent a file.

скоро канаду подготовлю и запущу

```

ruba1.txt

```

$krb5tgs$23$*Administrator$rekord.lan$KSCM8/Exchange201..223f57ce:ads23k

++

от бена

пиздец блять, он тупо спарсил этот сайт))))

хуйня то что он сделал)

щас я ему напишу

```

но там сетка настроена пиздец походу

```

приватного чата?

> <@usernamegg:matrix.bestflowers247.online> со сканами и описанием

пустил канаду

Ага

нормальная такая

zz сказал что она на 300м

```

он без исходников?

это чисто .exe?

та с этим можнм работать

щас проверю

окей

пару минут, с лендосом разберусь

быстро взгляну на hvnc

ты попробовал его уже?

окей

ну там автор нормальный чел пообщался с ним

он не продает исходники

fast.txt

это не тот VNC

тот что был в кваке был в разы пизже

по функцоналу

* по функционалу

тот что был последний у них

аа

ну вот тот что взяли за 2k$ в мес

то и получаем продукт в принципе за свои бабки норм нормальный HVNC

но тот что был в кваке он стоит дороже явно там уровень даже другой)

это сразу видно

окей

сек

как у вас это в кваке выглядело?

это квак?

ага, принял

отлично

тут есть апи

и шк

я могу по кнопке это все делать

чтобы моя система по апи стучала на эту

создавала билд shellcode

и закидывала его на тачку

а ты просто у меня в панели 1 кнопку нажимаешь

и потом тебе ссылка на HVNC сразу вылетает и ты смотришь

да, и пусть документацию скинут

как к их апи подключится

и сегодня вечером думаю уже сделаю это сразу

`ESET Endpoint Security 10.1.2050.0`

кто обойдет его ? нужен файл. сжирает на подлете

muaddib6: burrito

А что заф айл? Коба?

Unable to decrypt message

я не вижу твое сообщение

щас вижу, да коба

окей

Пришли попробу. Но коба сама по себе очень палевная на рантайме. А есть другие варианты софтов кроме кобы у вас?

тебе х87 или х64 ?

* тебе х86 или х64 ?

> <@usernameff:matrix.bestflowers247.online> sent a file.

`Malin.Schlemper::EVO_TOLLKUEHN:1122334455667788:22aab4181bd12b986f5a86d36d842bd4:01010000000000000e1d9dc43c0bda016ece9649810a4da8000000000800300030000000000000000000000000200000397b641420e612ffdb15a3f633d37f102a30f4e6c99d5feac777ac04c3a905ec0a0010000000000000000000000000000000000009003a00450056004f005f0054004f004c004c004b005500450048004e005c004d0061006c0069006e002e005300630068006c0065006d007000650072000000000000000000`

MALIN.SCHLEMPER::EVO_TOLLKUEHN:1122334455667788:22aab4181bd12b986f5a86d36d842bd4:01010000000000000e1d9dc43c0bda016ece9649810a4da8000000000800300030000000000000000000000000200000397b641420e612ffdb15a3f633d37f102a30f4e6c99d5feac777ac04c3a905ec0a0010000000000000000000000000000000000009003a00450056004f005f0054004f004c004c004b005500450048004e005c004d0061006c0069006e002e005300630068006c0065006d007000650072000000000000000000:04711

++

прикольно сделано

да это тот VNC

он пиздатый

да прогресс заметен на лицо))

да я уже зашел

16_smb.bin

х64 лучше, н опоробую и то и то

> <@usernamezz:matrix.bestflowers247.online> sent a file.

бля ну тут пиздец большая работа проделана

> <@usernamezz:matrix.bestflowers247.online> sent a file.

над этим vnc в вебе прям пиздец охуенско

x86

кейлогер или стилер?

+

muaddib6: щас скину файл

> <@usernamegg:matrix.bestflowers247.online> сплойт можно у даргейта за 50 к купить

3dns_beacon_x64.bin

+

сплойт по крипте?

а что такое существует?

++

> <@usernamegg:matrix.bestflowers247.online> видел ?

голова уже кипит, задач в ахуе сколько)))))

`erico:1122334455667788:9cce4b139d8864a28b0b6db5f83fcdc2:01010000000000007afe3f313e0bda01a0255de0051835a9000000000800300030000000000000000000000000200000bd13f24ddc0316965f3685da73a8393b3cd37160a2b0b83d9c7ddf18c92c4cf30a001000000000000000000000000000000000000900260054005700490054004300480045004c004c0043004f00520050005c0065007200690063006f000000000000000000`

щас гляну

ага, вижу

> <@usernameww:matrix.bestflowers247.online> `erico:1122334455667788:9cce4b139d8864a28b0b6db5f83fcdc2:01010000000000007afe3f313e0bda01a0255de0051835a9000000000800300030000000000000000000000000200000bd13f24ddc0316965f3685da73a8393b3cd37160a2b0b83d9c7ddf18c92c4cf30a001000000000000000000000000000000000000900260054005700490054004300480045004c004c0043004f00520050005c0065007200690063006f000000000000000000`

`erico::TWITCHELLCORP:1122334455667788:9cce4b139d8864a28b0b6db5f83fcdc2:01010000000000007afe3f313e0bda01a0255de0051835a9000000000800300030000000000000000000000000200000bd13f24ddc0316965f3685da73a8393b3cd37160a2b0b83d9c7ddf18c92c4cf30a001000000000000000000000000000000000000900260054005700490054004300480045004c004c0043004f00520050005c0065007200690063006f000000000000000000`

ну да, сильно

мануал по хвнц?

или по чем?

нихуя

не, а я смогу по API обращаться на сервак к ним в панель

чтобы получать билд допустим

и искать бота в этом HVNC по API

чтобы получить на него линку

не все данные с админки

```

щас 20 минут, я быстро угвею все выдам, чтобы он запустился, и сразу займусь дальше, а то обещал ему и забыл за него вообще)

https://forum.exploit.in/topic/232551/

видал эту хуйню?))))))

пиздец угар

пиздец

чел не в состоянии нанять кодера

и заплатить ему пару кесов

$DCC2$10240#ssoagent#b8fc509fb6c730fdbb13e276079f9d2c:Tw1tch3ll

++

ага

да не лучше не стоит прадавать ни за какие бабки

это может быть байт

> <@usernamezz:matrix.bestflowers247.online> sent a file.

подставной чел итд итп

хочу провести KrbRelay атаку как нибудь

сложная какая то хуйня пока не разобрался

не исходники

продать = слить в паблик

чисто 2 API

и все

потом понесуться расследования ну его нахуй

дак это статья же старая была

когда ее спалил кто то

пиздец же

ага

дак смысл если таргетов щас нет

* дак смысл если таргетов щас нет особо

нормальных как раньше

все попроебывали все жирные таргеты

когда я заболел 2 охуевших конторы проебали

на которых я уже и двинулся

все съебались на выходные

а там 2 пиздец какие сочные были конторы

потом 14 набрал на себя 5 контор

и в конце уже под выходные праздники вывалил

красавчик просто

ага, вот о том же

> <@usernamegg:matrix.bestflowers247.online> [17:54:51] bublegun: нет эти порты у нас закрыты

причем тут порты

нахуя спрашивается набрал на себя 5 одеял и не одно не вытянул