ждем от RSA

да, инфру подбили сильно

> <@usernamegg:matrix.bestflowers247.online> процесс появился из syswow64

это оно

процесс до сих пор есть?

> <@usernamess:matrix.bestflowers247.online> pay_crypt_meta_all_arh.zip

cobs_signed.zip

> <@usernamegg:matrix.bestflowers247.online> какой другой ?)

так щас скажу

что на завтра поднять

еще

tableau

а сколько он оперативы жрет?

anydesk

ну процесс этот

должен уже давно стучать

там таймаут - 30 сек максимум

Traffic Link Discord CF:

> <@usernamejj:matrix.bestflowers247.online> ++

не джонит почему то

добавь 3 линка

в работе

ааа

там тренд

у меня для него стоят таймауты

именно для тренда

> <@w:matrixtcFJHPDblmt2rg.network> LANDINGS:

чтобы чисто было в динамике

он долго за прцоесс следит

> <@w:matrixtcFJHPDblmt2rg.network> anydesk у меня нет

минуты 3 может следить

еще что нету

а то и больше

++

anydesk у меня нет

принял?

да, туда и отправил

посмотри личку GG

только его нет

> <@ssd:matrix.bestflowers247.online> в лендах бы поменять ориг линк начало на похожие

получилось сгрузить?

таск еще не могу посмотреть не грузит

щас он вернется к этому IP снова

соксы не видят, ищем другие

инфра подбитая сильно

166 тачек

завтра с утра будет свежая

хорошо будет стучать

думаю да\

щас таймауты между задачми большие из-за этого

пробну с др отпишу

отпишешь как придет

https://teamwewer.ovmv.net

https:// нам не нужно оригу у нас с траблы могут быть

хотя щас уточню

> <@usernamegg:matrix.bestflowers247.online> sent a file.

может и пойдет

у сеня коннекты

пошло

он в архиве?

мне завтра надо к 13 к нотариусу

туда обратно

тут недалеко

окей

отпишешь

я с работником поеду туда, он по своим делам в больничку, и мне закажет пропуск

я быстро обернусь

семейная суета(((

он меня до нотариуса довезет. ему на КТ завтра в больничку

> <@usernamegg:matrix.bestflowers247.online> самому бы не подхватить ничего, лука наелся и чеснока лежу благаухаю )

нормально)

137273 objects по японии

и еще снимается

> <@usernamegg:matrix.bestflowers247.online> бля юристов смогли позвать

нет, не пришел, он похоже ушел в офф

\+

с пики исчез и снова появился

жду, ничего не делаю

нет

не в офе

давай

посмотри щас

ку

пришел или нет

я тут

если нет то инжект пробуй в процесс делать

а он проверил перед выдачей?

Create REmote Thread

потому что мне сим нужно будет менять полностью и на новый сажаться с новой сим

нет не пришел, сейчас сделаю

делай create remote thread

> <@usernamegg:matrix.bestflowers247.online> ты же сейчас стейджер инжектил?

без стейджера

дело в доменах

ты же сейчас стейджер инжектил?

у нас легли аки разом

как поменяли

короче везде надо поменять

на похожие

названия

тока не орига

> <@usernamegg:matrix.bestflowers247.online> ты же сейчас стейджер инжектил?

abobe

> <@usernamegg:matrix.bestflowers247.online> делайте инжект stager less в процесс какой то

teannviewer

делайте инжект stager less в процесс какой то

disscord

через Create Remote Thread

s1ak

zoonn

Оки

tab1eu

как то так

меняй

плиз

stager - это маленький вес файла

RSA скрин еще не прислал?

дак ты сам пишешь выше сделать большой

image.png

тьфу тьфу все стучит)

я переживал что все потухнет

ага, окей

сделаю

делаю маленький в Create Remote Thread

завтра с 16 го

тимку ленд дам позже

жду сам

stageless

для Create Remote Thread

x86

raw

\+

da

у нас нет 9 DNS

энидеск только нужно

не тимку

```

+++

зайди пожалуйста в морду

в локер

все соксы днс до этого они все сделали

а локер не льет, почему?

https://www.safebreach.com/blog/process-injection-using-windows-thread-pools

еще раз скину

это новая техника инжекта повторяю

> <@usernamegg:matrix.bestflowers247.online> все чисто делал как капибара

прикол

у нас там соседи

это не я

ааа

это коба бля

> <@usernamegg:matrix.bestflowers247.online> [02:02:49] RSA: он выключил все, включил фуллскан системы, в трендмикро)

> <@usernamegg:matrix.bestflowers247.online> что )

это или коба

или другая нечесть какая то

и стук походу через dns идет

не прошло и месяца после black hat eu

палит сам DNS стук

с показом новой техникой инжекта

там IP его локальной сети

да это DNS стук

вышел CNA под кобу

https://github.com/0xEr3bus/PoolPartyBof

так как у него DNS - его актив директори

идет стук туда

и палит его

нет

да

на порт надо

с каких пор тренд палит днс маяки

первый раз такое вижу

скан нас из системы не выкинет

все с детектами

35 самаяя свежая сегодня отвалилась

да

image.png

зови на порт

на порт прийдет

вот видишь

\172.17.10.13

у него вот ДА

инжектит только в x64

прикинь

тренд палит DNS

для меня это прям октрытие)

cob33 DUE DATA 25/12/2023 detected: 8/22

> <@usernamegg:matrix.bestflowers247.online> креды дай от 35

> <@usernamegg:matrix.bestflowers247.online> его подняли права

сек

минуту где то и скажу

в данном случае я не капибара)

от меня не зависит

нас тренд не должен выкинуть из системы

мы в системных процессах

только если он перезапустился

вырубил пк походу

может в мету попробовать

> <@usernamegg:matrix.bestflowers247.online> [02:07:43] RSA: бот оффнулся

а я грешил на себя, думал что моя инфра палиться

не ожидал что спалило днс

походу это не панацея вообще

\+

ага, это он у них в netsupport

ага

ну мну я знаю что оно сппалило

оно начало палить

саму сигнатуру коннекта

у кобы она уж очень особенная

ой да

если бы ты мне не написал в dns инжектить, я бы первым делом звал бы в мету

> <@usernamegg:matrix.bestflowers247.online> не прошло и месяца после black hat eu

ани

запросил уже

> <@usernamegg:matrix.bestflowers247.online> инжектит только в x64

ну это бофы

> <@usernamegg:matrix.bestflowers247.online> в мету надо было звать

вот бы заранее знать куда лучше звать

пойдудо завтра

в обед вылезу

ленд дам

а потом пробовал бы большим весом в DNS, потому что как мне кажется он лучше чем маленький

+++

окей

бартец

* братец

пойду отдыхать уже

завтра тут буду с утра

добрых снов

до завтра

ушел

\+

\+

ставим FR в ручную

жестко да, пздц как

вот это сильный маршрут...

такие таргеты конечно жалко

> <@usernamejj:matrix.bestflowers247.online> `$DCC2$10240#Administrator#c028086147312fa935e615e36b213660`

https://offensivedefence.co.uk/posts/making-amsi-jump/

image.png

Sentinel

> <@usernamess:matrix.bestflowers247.online> sent an image.

коба и мета все равно лучшие инструменты и методы евейда ав у них офигенные, брейкер их не скоро переплюнет

привет, сделаешь еще комплект?

66.42.98.90:35357 CTX4

`(づ ᴗ _ᴗ)づ♡`

Привет

Hello

Hi

привет

66.42.98.90:40413 MAILNY1

1. web

hi

3e76e1dc40f6da041f0d9150a9187314

* 1. web

* 1. web

d4903004e4bb5a1c778cac2c7d3ea477

d4903004e4bb5a1c778cac2c7d3ea477:Domino0318!

image.png

привет

image.png

```

image.png

image.png

image.png

image.png

image.png

Привет!

понял

есть впски?

с европы что-то берете в работу?

у мелкора что-то вообще не стучит уже

42 \ 0 \ 42 \ 0%

отвалилось наверное что-то

burrito: muaddib6 День добрый!

на крипт:

FILE.zip

image.png

Привет, делаю новые IP

и делаю билд вам

+

> <@usernamegg:matrix.bestflowers247.online> у тебя билд что-то вообще не стучит уже

ну ее заблочили уже

щас вот новая будет

можешь пергруз поставить

билд

ну тот криптованый

И тебе хорошего дня)

Hello

доброе

доброе, сейчас ставим

доброе, ночью возможно hotelplan ставить будем

кушает позвать?

++

не использовал

сейгодня вот заюзал их

Пивет!

но чет они не работают

* Пивет!

потому что два домена на одну впску привязаны

там серт битый

ща попробую вручную это исправить

+

+

доброе!

модуль просрочился... скоро обновлю

esx не подливался локер, версия esx 8.0, заходили вручную

> <@usernamegg:matrix.bestflowers247.online> модуль просрочился... скоро обновлю

тачки перебегали с одного на другой

по итогу запустили по шарам и ww gjdth[

* по итогу запустили по шарам и ww поверх

хм, не конектится

даты вроде 850 гб

Failed to connect to SOCKS5 server.

с соксами же все ок?

аа, понял

https://fertelion.com/mWF/{random}

нет

линки на js

разобрать?

++

Enter

доброе

Доброе

жду ленд от старого кодера

чет молчит со вчера

сегодня думаю с 15 -16 готовы лить

privet

image.png

13 новых чистых IP готово

билд уже делается

reshili s faylom, poka dll budet

+++

окей

segodnya zaymyotsya shellom

я залью тогда скоро дискордл

и tableau

и линки чуток подправить надо

Можешь сюда доступ продублировать от моей учетки в пику

да, помню

сделаю

Если там много меня может сап подменять начекивать аки мне нужные лить сам буду

и что поп проценту за логи в твою сторону

С трафом вроде разобрался могу начать отработку твоих логов

privet vsem

привет

13.40.155.112

privet

MeusBurger

++

Исходник:

dropper_GG14WE_f0adda360d2b4ccda11468e026526576_MO1Bz.zip

> <@cameron777:matrix.org> 13.40.155.112

щас залил к ляпису

проверю и отпишу

Website

Hi

citrix?

privet

da

стоит фалкон

blya

позвать не могли ее или что?

```

только зашли, мин 5 смотрю процессы

stranicu v webe derzhi aktivnim , inogda refresh delay

GeneralEnter.dll

Вот от ляписа

криптованая

> <@usernamezz:matrix.bestflowers247.online> только зашли, мин 5 смотрю процессы

в цитриксе

Ok

хочешь посмотреть взять?

Bot ID SMA-RUS-VDA01_kathy.french_5F6F1CF7

> <@usernamezz:matrix.bestflowers247.online> хочешь посмотреть взять?

> <@usernamenn:matrix.bestflowers247.online> можно попробовать, но пока потею над ontex

инет есть?

exe вобще не запускаются?

Bot ID NIP-BAR-VDA02_Accounts2_5E95ADC2

и доступа к дискам нет, только шары

cameron777: у вас файл чистый?

> <@cameron777:matrix.org> Bot ID NIP-BAR-VDA02_Accounts2_5E95ADC2

dls.dom

> <@usernamezz:matrix.bestflowers247.online> и доступа к дискам нет, только шары

cmd

> <@usernamenn:matrix.bestflowers247.online> cameron777: у вас файл чистый?

dll tolko

давай попробую запустить

ваш файл

google no ping

ya sP: zapustil chto to ne zapustilos

* ya P: zapustil chto to ne zapustilos

а дак дает запускать все таки или нет не понимаю

* ya P: zapustil chto to ne zapustilos

* ya s P: zapustil chto to ne zapustilos

> <@usernamenn:matrix.bestflowers247.online> а дак дает запускать все таки или нет не понимаю

ну зайди, глянь на чуть чуть, я потерплю

если инета нет, то звать только по DNS

дайте доступ гляну

```

жду тогда от тебя отмашки, чтобы дальше смотреть, как ты закончишь

+

> <@usernamegg:matrix.bestflowers247.online> [12:58:34] crypt supp xls : https://file.io/2mJ3bkaAB2ED

есть там диск C

куда ZZ ушел?

где все?

тут все

он вышел

делаю щас под SSD новый билд, бурито криптанет его и сделаю msi и залью уже

и сделаю для него дмоены

и сделаю для него домены норм

чтобы уже нормально запустился

и у себя тоже поменяю так, чтобы абузы не летели

+

скоро проверю

сессия проебалась

s weba tozhe vishlo ?

да

зайди глянь

> <@cameron777:matrix.org> Bot ID NIP-BAR-VDA02_Accounts2_5E95ADC2

ща, только там обновляется дедик еще

> <@usernamemm:matrix.bestflowers247.online> 5pc в сети , очень уж мелкие (

> <@usernamemm:matrix.bestflowers247.online> 5pc в сети , очень уж мелкие (

спаплило дллку

при скачивании

вакатак

> <@usernamegg:matrix.bestflowers247.online> пдф надо поставить генерить еще

> <@usernamenn:matrix.bestflowers247.online> зайди глянь

Хорошо

бро добавь плиз блог по whafh.com

> <@usernamenn:matrix.bestflowers247.online> Хорошо

rundll32 не дало запустить

я уже файл туда подлил

как бы запуск ебнул команду а в ответ тишина

rundll32 процесса не появилось

там байпасить запуск нужно было, уже начал и выбило

+

shas dam novi

еще 1 зашел?

ну да

палиту ляписа

положил дллку в зипе без формата

скачал и спалило также вакатаком

da no erorrit citrix

привет

хуево

еще один провайдер с 4,5к клиентов

+http://45.163.132.21:1881/admin/:henrique:G3Y8J9H42006!

и рутом от сервера

ага, ляписа при скачивании палит карчое

MTOW

* MOTW

> <@usernamezz:matrix.bestflowers247.online> burrito: muaddib6 День добрый!

rundll32 dll.dll,yPdvKaHUgdxQ

1.7z

Чищу. Какждый денеь новые замарочки

ctcapitolgroup

привет

> <@usernameyy:matrix.bestflowers247.online> я завтра на переливание пойду с 11:30 до 13 где то для волос

да, могу приехать

к 15 где то буду

еду?

ок

`accounts2::VDI:1122334455667788:6d256e44597fb023fde69624052887c1:0101000000000000e5e2c7dab72dda0156980efca6990eee000000000800300030000000000000000000000000200000638a4b79abb10f5785482c89610b4ae6ed62ad930a1e112b1392445d0d3bdb900a0010000000000000000000000000000000000009001a005600440049005c004100630063006f0075006e007400730032000000000000000000`

alexander-dennis.com

жду сам от бурито крипт

чтобы сделать msi

та и лендос жду , чтобы anydesk залить

lockers.zip

нужен крипт

ACCOUNTS2::VDI:1122334455667788:6d256e44597fb023fde69624052887c1:0101000000000000e5e2c7dab72dda0156980efca6990eee000000000800300030000000000000000000000000200000638a4b79abb10f5785482c89610b4ae6ed62ad930a1e112b1392445d0d3bdb900a0010000000000000000000000000000000000009001a005600440049005c004100630063006f0075006e007400730032000000000000000000:Tua56571

na meste? po sertu otvetil chel ?

ok

po sertu budet ? ili mne zakazat' prokachku ?

нет

окей

это же вчерашний?

щас точно гляну

но вроде как закреп не подловился

> <@usernamegg:matrix.bestflowers247.online> у тебя как коба работает сейчас ?

Крауд страйк много где стоит, не можем обойти

нет, закреп не поставился

он слишком мало был у нас

ни бурито ни бен крипты не помогают

мало стучал

4 стука всего было от него, надо минимум 10

толи нам цитриксы уже задроченные дают такие

ну все у нас так стучат, минимум 10 раз

вчера бы он простучал 10 раз, но инфра была подбита

имено 10 раз стоит, чтобы реверсерам в случае чего закреп не сделал

> <@usernamegg:matrix.bestflowers247.online> если он там оживет надо его снова будет позвать

можешь билдом, который вот тебе щас выдал

от ляписа

он при дропе чисто

только при скачивании палит

нет лендоса еще?

нет, который щас выдал

вы через мету?

+++

окей

> <@w:matrixtcFJHPDblmt2rg.network> sent a file.

мне в кобе сертификаты и керб нужны, всю рабту дальнейшую через закрепы и cme делаю

https://www.its-on.at/

`https://www.zoominfo.com/c/its-immobilien-treuhand-software-gmbh/508371211`

<5

ok

21 кобу днс давно регали?

> <@usernamenn:matrix.bestflowers247.online> 21 кобу днс давно регали?

для воды регали

свежая

к

у меня в cpanel лимит почему то стоит на 5 сабдоменов

какие 5 мне загрузить

> <@usernameboy:matrix.bestflowers247.online> ACCOUNTS2::VDI:1122334455667788:6d256e44597fb023fde69624052887c1:0101000000000000e5e2c7dab72dda0156980efca6990eee000000000800300030000000000000000000000000200000638a4b79abb10f5785482c89610b4ae6ed62ad930a1e112b1392445d0d3bdb900a0010000000000000000000000000000000000009001a005600440049005c004100630063006f0075006e007400730032000000000000000000:Tua56571

shas traff idyot v pustuyu

vchera tozhe shlo

ани еще

сделай

напиши списком

какие

сек

тебе предлагать таргеты где мы не можем?

Website

> <@cameron777:matrix.org> Website

давай посмотрим

13.52.211.166

так давай пока что есть

ставим

дай домены лендов

+++

щас пару минут

это еще кто?

жду

Открою для всех новость!

SharpShares не все показывает

я нашел тачку где я админ, а sharpshares обосрался

и скорее всего он показывает не все важные для нас шары для даты

adole.ovmv.net

вот

только там ща MSI стоит, которая палится

жду крипт новый

ну длка в msi палиться

жду кароче крипт длки

не все, тоже замечал что он не все показывает. но иногда показывает шары на хранилища, которых даже нет в списках.. как повезёт, как настроено походу

не удивил новостью

я про админа

больше то сказал

блин

траф идет

щас самые ништяки

реверсеры сейчас летят

щас уберу их

ладно ждемс

tenaequip est' no ne dayot regsvr32 dll zapustit

otkrit' ?

открой, но на сколько быстро получиться запустить это вопрос. может и не отработать. что та м по AV?

чистят дллку ?

* открой, но на сколько быстро получится запустить это вопрос. может и не отработать. что та м по AV?

ne smotrel

shas

что почему?

инструментарий такой же?

ну хотябы чтобы минимальный функционал был и приходило лучше чем кобу

я на file.io просто залил дллку без формата в зипе

и палило

а бена нет?

vishel etot

shas drugoy est' no zaskrivaet lyuboy zapusk

в смысле закрывает любой запуск?

nu zapuskaetsya injektitsya no potom zakrivaet process

takeo videl uzhe

это инжект палит может

shas skinu

net

ne palit

давай попробую запустить dll

18.134.6.74

dll tozhe samoe

заливаю фикс

пидоры блять

сильно они напакостили

vidimo po imeni procesa tam filtracia

их гнеморно очень удалять

и еще поумнели чутка

позвал

+

все залил

отбил

www.kivibros.com

> <@cameron777:matrix.org> www.kivibros.com

> <@cameron777:matrix.org> www.kivibros.com

полностью отбил атаку

все последствия решил

система стабильно работает

MM: забери ее

доп фильтры включены, проверил на отбивку реальных ботов не влияет

все четко стучит

++

esho est' dizaynerski 2 bota virtualbrat.com

mining?))

ya ne znayu chto snimi delat')

> <@cameron777:matrix.org> 18.134.6.74

+

tixo ochen v chatax, tak i dolzhno bit' ?

> <@usernamegg:matrix.bestflowers247.online> дроппер когда будет готов ?

2.7z

строка 836MapYjMg5joHrT2XlfyPicERzwehVLddSUinLlniF31gkChY

ssh root@216.128.183.163 = fertelion.com

вот он может заливать файлы сюда /var/www/html по фтп и проверять скачивание

ага, окей

тебе нужен инжект какой?

process hollow?

или create remote thread?

> <@usernamegg:matrix.bestflowers247.online> х64 можно будет инжектить ботам бинарник ?

у нас софт x86

я понял, щас отойду на минут 40, быстро поем и буду скоро

а то аж херовато

не ел ничего еще

бошка варит херово

cr.zip

> <@usernameff:matrix.bestflowers247.online> lockers.zip

> <@usernamegg:matrix.bestflowers247.online> ++

`backley::KIVIBROS:1122334455667788:398781d3ebaa56b77bd044c1c9ab79c1:01010000000000006fe59ac4c92dda017b8bc2792cf56e3c000000000800300030000000000000000000000000200000048d921f37a7a7d6c99de97c7af5702f4d614ee77fff6aaad0ec4eb22ccefc8f0a00100000000000000000000000000000000000090020004b00490056004900420052004f0053005c006200610063006b006c00650079000000000000000000`

оки

Bot ID PAGANO-AZ-VA_Administrator_5D125DA5

++

nu sertifikata netu

tot palitsya

+

Antivirus Processes (2)

tam

dostup ot Admin-a

попробую что нибудь сделать

> <@cameron777:matrix.org> Antivirus Processes (2)

> <@usernameff:matrix.bestflowers247.online> sent a file.

чисто

скоро запущу европу

> <@usernamezz:matrix.bestflowers247.online> не радует

tam zapustish

shas otkroyu

3.7z

запустился

ladno nashel revue tam malenki

* ladno nashel revenue tam malenki

> <@cameron777:matrix.org> ladno nashel revenue tam malenki

GG14WE есть один с фрацнции

щас дроппер скину, у дефа обострения...

да

> <@burito:matrix.bestflowers247.online> lockers

> <@muaddib6:matrix.org> Готово

> <@usernamegg:matrix.bestflowers247.online> не понял

potomu sproshivayu

esli ne varyant ya shas zakazhu prokachku fayla chtob postavit' a to traff xodit v nekuda

+

70k уже ушло

еще час буду слать

sps

есть конечно

90% нагрузка

я наверное сделаю заранее подготовку(чистку) тела письма, чтобы такой нагрузки не было в момент просыла

пока 11 запусков только

вчера вроде бодрее шло

rundll32.exe dll.dll,Enter

dr_signed.zip

наверное

+

щас

скажу

строка RibbonGadgets.pdb

shas koder zanimaetsya shellom

перезапустил на канаду

+

+

бро

добавь плиз

whafh.com

!!!

эти ребята походу жестко приехали

там есть судебные дела очень известных компаний

apple

electronic arts