shell tot chto ti mne skinul

1kb chto vesit

хорошо

камерон сказал что у них уже разработка идет ихнего софта что бы работал DNS

kakoy ?

nu shell kod ?

ne vazhno kakoy glavnoe shell kod dlya injekta

mozhno s yubovo binarnika snyat' shell

to est' ispolnyaemi kod

* mozhno s lyubovo binarnika snyat' shell

серваки на завтра надо будет или есть пока?

ну я сомневаюсь в кербах

там же можно по разному снимать, еще и с трастов

так что лучше пока мы сами будем снимать так как снимаем

ок

банк короче приходил и ушел

но он сказал что он появляется

на 11б

там цитрикс

я ему заметку сделал на случай если не будет никого

vzyal uzhe

X 2023-12-14 в 01.25.56.jpg

excel file))

там на citrix запрет стоит на ctrl+c ctrl+v из нашего RDP в цитрикс, даже текста

то есть мы тупо даже туда файл свой ни текстом ни файлом не передадим и хуй позвать

da on skinul vse

ok

но там у бота инета нету, но winscp стоит с сохраненными пассами, там доступ на linux тачку у которой инет есть и через нее макаром выкачать файл так можно))

* но там у бота инета нету, но winscp стоит с сохраненными пассами, там доступ на linux тачку у которой инет есть и через нее макаром выкачать файл так можно боту на пк))

ok

ne vizhu

ok

в iPika есть DNS?

не придет

да я же сказал там инета нет нихуя

и файл он просто так туда не зальет никак

только через ту linux тачку которая славай айяцам там сохранена

v linuxe

тачка linux стоит в внутренней сети и у нее есть инет

pomnish togda pisal chto tam dazhe linux serv est'

* только через ту linux тачку которая слава айяцам там сохранена

ya ne chekal tam inet

NN cheknul

гемор короче

to est' tamnetu dns ?

nu kak ya pomnyu

pingi ne shli no IP opredelyalos

c etix DLL imeesh vvidu , oni bez DNSa?

ne ponyal

* v etix DLL imeesh vvidu , oni bez DNSa?

у камерона там будет dns какой то хитровыебанный с какой то технологией от гугла которую они туда засунут

ну да

охуенно

khcrx.us

mne tam zakrepitsya?

vi ix zdelali

khcrx.us

перс бот

я отдаю стилака WORKGROUP

они же не могут быть сетками потенциальными

ну я отдаю таким стилак

или ждать пока вы чекните на сети

ne puskaet

18.134.6.74

бля заебись софт

a net ne nado

on stuknul

s starogo

если допилить ровня кваку и с ке

есть с чем работать

Bot ID SL1VMKHCAP01_simon.booher_5B57F6DD

она была уже?

кто ее брал?

$$ esli ne oshibayus

ну надо будет сапа мне тоже доступ сделать ,чтобы он сидел отдавал команды на стилак внц и вообще все чекал я уже дальше в работу брал

oni ozhili

мой сап с 17 года пашит в кваке тоже плавал

тоесть не далекий

пока 1 хватит доступа

конечно

просто ставлю в курс

CrowdStrike Falcon

отдохнуть ходили перед постановой

в 3 часа начнем

F9CFFCF80000089B2174136491

веб инжектирование сделать мне сюда

полетят ваера по 200-400к

ну одд делал хорошо тоже

ну вы потом выебыли

все

хотябы автоматизировать надо стилак

дальше формграбер

ладно услышал

мосвка не сразу строилась

мне интересны боты которые вы не берете в работу

корп

я могу им отдавать стилак

мне корп нужны) не персы

которые вы не берете в работу

напрмер ревью 5кк

или 10 пк

> <@usernamegg:matrix.bestflowers247.online> денег много уходит в разработку но главный ресурс это не деньги а люди и время.

всяких уебков не пускай чтобы даже панель видели

как цыгани распиздят всему инету

вот арик не пускал никого

кроме своих

даже админку показать

все тока слышали

квак

уууу

)

CrowdStrike Falcon жестко

бб

че там бро

?

66.42.98.90:41205 GG00SDCHPNET

66.42.98.90:39213 HPLKMS01

* 66.42.98.90:41205 GG00SDCHPNET HOTELPLAN \\ hotelplanuk.net

* 66.42.98.90:39213 HPLKMS01 hotelplan.co.uk

GEORGE.BIRD@EXPLOREWORLDWIDE.COM

PDQ@EXPLOREWORLDWIDE.COM

dcsync_exploreworldwide.com.txt

est' kto online?)

++

shas skinu

`{BDAA8EA7-4F91-4EC0-A290-EF806DF44BC5} CrowdStrike Sensor Platform`

https://www.zoominfo.com/c/talisker-club/180551762

18.134.6.74

otkril tam

rdp

https://jonas.taliskerclub.info/RDWeb/Pages/en-US/login.aspx :taliskerutah\steve:Password1

zabral ?

++

```

EXPLOREWORLDWID

sojralo fail

nujen crypt new

ok

tam windef

da,no eto zavtra uje

ok

66.42.98.90:34421 GG00SDC3 hotelplan.co.uk FIZ

51.222.194.213:35147

51.222.194.213:38885

```

dobroe!

доброе!

dobroe

Dobroe!

доброе

> <@usernamess:matrix.bestflowers247.online> 3e76e1dc40f6da041f0d9150a9187314

dobroe utro

```

доброе всем

Добрае

спулае мулае

хеллоу

`KiviAGT01.kivibros.com` non strop!!!!!!

Привет! Ав на сипанелях жесткий. Я сейчас подругому сделаю пролив скриптов. Через фтп сделаю. И поменяю и сделаю рандомизацию скрипта для выдачи файлов. Потому что даже если обфусцировать скрипт, ав удаляет из скрипта сроку, где линк на наш сервер выдачи прописан.

Надеюсь к юсе успею

51.222.194.213:35109

доброе

доброе

доброе

все транзакции висят с вчереа со вчерашнего

> <@usernamehunter:matrix.bestflowers247.online> 3e76e1dc40f6da041f0d9150a9187314:I$la0w3n1!

```

скоро

Доброе

> <@cameron777:matrix.org> Bot ID SL1VMKHCAP01_simon.booher_5B57F6DD

https://hukerpinta.com/WuN/{random}

для js

ok

Bot ID LK-CITRIX02_cgaldi_5AB8D71B

Bot ID SMA-RUS-VDA01_kathy.french_5F6F1CF7

image.png

это на вчерашний дропер в iPika

ПРивет

Привет

> <@usernamegg:matrix.bestflowers247.online> DLLEntryPoint: Enter

Доброе утро

Щас сделаю

сори, проспал(

делать не хуй

буду заходить и отключать

++++

у меня не убирает серт

> <@usernamegg:matrix.bestflowers247.online> sent an image.

много раз уже пробывал, дедекты серт не уберет

> <@usernamegg:matrix.bestflowers247.online> а подпись сертом интресно уберет вакатак ?

хотя вакатак такая хуйня

оно детктить мелочи

оно детектить общую картинку и детект выплевываает на рандом место

чаще всего оно тупо показывается при MOTW

когда с инета скачано

а так чисто

ага, щас сделаю билд

минут 15 и скину

ну сегодня же новый буду делать?

или тебе старый нужен?

Я тебе щас буду делать - GG14TH

и потом сделаю GG_PEREGRUZ_1

Занимаюсь

вот этот скрин?

.meusburger.com

я не знаю, ты скинул его ZZ

твой файл

щас

18.134.6.74

sec

`dropper_GG_PEREGRUZ1_WE.dll`

это название dll которая была 1 файлом в архиве, которую я вчера запускал и которая приходила

est' kto mozhet pozvat' ottuda?

inet est' vnutri

++++

Revenue

могу попробовать зайти позвать

ok zaxodi

почти сделал проливку скриптов своих через фтп

может даже европу успеем прослать

там Falcon стоит

ne zdelat' nechego ?

ща попробую

moy file tozhe mozhjno zapustit' tam dll

через rundll32 можно?

regsvr32 /s file.dll

da mozhon dumayu

* da mozhno dumayu

shas proveryu

Ок

проверь

regsvr32 tolko tak zapuskaetsya

potom pozovyom po shell kodu

* potom pozovyom po shell kodu

* potom pozovyom po shell kodu

TranceOracle.dll

пробую

там Access Denied на запуск сторонних файлов

и rundll32 тоже

a esli powershellom kak to

кобовским?))

nado podumat' kak etix falconov unhook zdelat', kak amsi delaetsya

запустил твой файл

msiexec v taskax est'?

ща гляну

нету

!!!!)

ltkf.

делаю

скоро скину

otkrubaet novie porocesi

* otrubaet novie porocesi

IP же свежие ставил как всегад с утра

всегда

+

4 из 7 IP в онлайне, поэтьому должно стучать

жду дллку еще

линки вроде делаются, вроде пока ав не удаляет мой скрипт

ну на сипанелях ав норм так уже работать начало

я вот проливал шелл свой

шелл не удаляло

но когда делал запросы на свой шелл, тупо палило запрос

видило короч, что я файл пытался пролить

ладно, нужно будет все равно переодически чистить

я уже запустил биплд

12 новых чистых IP

js норм скачался

запуск проверю как будет дллка

на какое то время прилетал щас?

удалось запустить, но там выскочило что то на немецом типа хелпа потом))

и дискануло с рабочего стола

видимо фалкону что то не понравилось

ne prishlo, tam 3 procesa dolzhno bilo zapustitsya

ну процесс запустился

и сразу потух

но запуск произошел

Falcon мог тачку отправить в ребут

tenaequip tozhe shas online , tam regsvr32 disallowed

или перевести ее в safe mode

> <@cameron777:matrix.org> tenaequip tozhe shas online , tam regsvr32 disallowed

shop shas otkroyu

PASS: 0eb05c2ced2bf031b5ad65f0e7fb9e0f

dropper_GG14TH_f0adda360d2b4ccda11468e026526576_9LiTcaZZI.zip

Вот исходник

делаю перегруз уже

скинешь крипт как сделают, я пролью его на закреп

meusburger.com сессия на совсем пропала?

poka chto propala

ну там logoff произошел прям из винды

как будто logoff прожался или вобще ребут

завершение рабочего стола короче

13.52.211.166

ya skinul uzhe tam file vnutri dll

regsrv?

regsvr32 /s TranceOracle.dll

da

k

делаю

```

PEREGRUZ DLL:

dropper_GG_PEREGRUZ1_TH_f0adda360d2b4ccda11468e026526576_aIt8FA4S.zip

каждую проверил на стук если что

X 2023-12-14 в 13.36.29.jpg

DynamoNexus.dll

mozhet etot zapustitsya

exe есть?

EchoTracer.exe

есть?

netu poka chto

1-2 часа. Чищу.

1 процесс

запустил оба dll

пришло?

на 25 минут отойду, скоро буду

net vidimo vchera s shellom nachudil koder chto to ...

s gaetom vidimo problemi

* s gate-om vidimo problemi

tena.com

daa est'

msiexec.exe - 3 процесса

ууф ну отлично

Windows Defender

shas dam shell

dayte skinu na server

все норм

в кобу позвал его

ok

у тебя закреп в атозагрузке?

грязь не выдаю.

линками сегодня прошлем

+

```

щас я отключаю деф, заву в кобу, иот туда в мету, мигрирую в 64 и из меты креплю в днс 64 процесс

хуита какая то

я прям нервничаю больше обычного

вебрут у меня обошел на той неделе

у VV тоже что то обошел

ну и все впринцыпе

da

+

Popular domain zones

европа

Popular domains

plesk dec 1.txt New: 6

тачка ушла в офф

биконы откисли

cameron777: у тебя живет шелл?

net

v offe

и сессия citrix тоже пропала

`execute-assembly NTLMv2.exe`

est

* est poderzhka obe versii)

ok

segodnya zdelaet esho zapusk dll

там деф стоял который с щитом

* там деф стоял который с щитом зеленым

ТТ любит этот деф

v pamyati

`http://temp.sh/LQFoJ/WHAFHGROUP_tree.txt.zip`

`pass: 47sFg0dQwGXT7B1B7`

я на деф его дропал - не удаляло никогда

вчера дропал

to es't ?

ok

> <@usernamegg:matrix.bestflowers247.online> тут стейджерс и стейджересс

> <@usernamegg:matrix.bestflowers247.online> тут стейджерс и стейджересс

AGFP_kekhash.txt

kak zaydut damznat', tam avtorun vrode ne puskaet pisat'

SenseIR.exe

NisSrv.exe

nsclient++.exe

SenseIR.exe

это пиздец

* kak zaydut dam znat', tam avtorun vrode ne puskaet pisat'

shas pozovu gde nit'

> <@cameron777:matrix.org> kak zaydut dam znat', tam avtorun vrode ne puskaet pisat'

sn > runsc x64.bin -A64

chekni

спроси из dist папки ему файлы нужны?

dolzhen bit' k2b.net

uhu

+

plesk dec 1.txt New: 6

А бен сможен для трафа длку криптануть?

щас

я тут в рдп вешу тачки

shas malenki probnu

Obf1.7z

вот скаченный уже

Спроси, ничего если у нас постоянный ребилд идет?

chekni

proces visit

с постоянным ребилдом будет заменятся

32bitni zapustil

Я к тому хз что он там переделал, может его не нфдо его ребилдить или еще что

> <@usernamegg:matrix.bestflowers247.online> [14:27:12] decryptdata - чистка артефактов : ребилд нет

18.134.6.74

Ок

ща зайду

тебе в шелл не прилетел я так понял

```

* ```

ok)

> <@usernamegg:matrix.bestflowers247.online> sent a file.

kstati tam

> <@usernamenn:matrix.bestflowers247.online> тебе в шелл не прилетел я так понял

ok)

da nu ya vse zhe shell im dam

kamandi vse napishu

a to ne uspeyu vse

bivayut momenti mnogo targetov

ne uspevayu

tam v helpe napisanno vse no ya skinu insutrukcii

oni pust' skinu ssvoi ya skinu po imeni na serv

nu na vsyaki nado instrukcii vsem dat'

ага, щас скину

vi mne svoi fayli po mieni kidayte

* vi mne svoi fayli po imieni kidayte

nu 64 tozhe ok

shas

probnem

shas eto torublyu

* shas eto otrublyu

* shas etot otrublyu

PASS: f05884404d0097a398a17418a9afa6bb

dropper_SSD_TRAFF_f0adda360d2b4ccda11468e026526576_AvbipOgTB.zip

shas kill process zdelayu zapushu x64

cameron777: копипаст отключен, инета нет

yasno.. , zhdyom drugovo

v offe verno ?

сделать бинарники?

и в таргет скинуть?

при скачивании да

так нет таких ав у нас

koba

а не вроде есть инет

когда msi скачивается идет палево wacatac на dll в msi

нам не на чем проверить

ya terminate zelal process

x86

при обычном дропе на тачку чисто

image.png

v offe? zapuskat' x64

* v offe? zapuskat' x64?

это что ты в таргете написал? про пайлоады

sn > runsc m64.bin -A64

na tom zhe zapustil

с новым артифактом

ил что?

теперь увидел

сверху

+

это типа мне джампаться надо будет на сервер?)

ща вчерашний от бена проверю

может чистый

палит, не смог скачать

ок)

> <@usernamegg:matrix.bestflowers247.online> Да. Или твое нутро сопротивляется ?)

image.png

пока делаю

и деф тоже сопротивляется

ну сначала нужно проверять джамп без замены файлов и что бы деф не давал

а потом с заменой и так уже понять как почистили

а это уже должен быть чистый рантайм

а это исключено я не верю в эти сказки

lutche 64 bita po defoltu

только точечный крипт или чистка целой командой артефактов, либо 1 супер гением

сейчас добавляю функционал в генератор msi чтобы сразу подписывалось

чтобы лапу не дергал каждый раз

биконы перезапускать, я понял

ну что когда грузим

я готов

сейчас сделаю

сделать?

ага

у нас автоматом с 15 начинает

net , tot malenki tolko pashet pust', budet DNSx86

и весь траф бюджеты приходятся на утро

по юсе

> <@usernamess:matrix.bestflowers247.online> биконы перезапускать, я понял

заменить файлы

и сделать условно стейджлес или стейдж

exe

положить на тачку с дефом

обновленным

и увидеть как почистили

только не на официальных площадках" это не понятно что

удалил сразу и алерт вылетел

Б А З О В Ы Й К Р И П Т

exe 86

сори, просто мы тут в слух говорим еще раз об этом и никто ничего не отвечает, приходится спрашивать еще раз чтобы криво не заехать

но все равно получается криво

* net , tot malenki tolko pashet, pust' budet DNSx86

hotelplan.co.uk

image.png

вот алерт на сгенерированный файл

это сервер

не вин10 деф как на скрине может по этому

но я пока в замешательстве

пусть ребята тестят

пойду курну) успокоюсь

щас ZZ сделал с этими новыми артифактами пайлоады на кобы

вот там и посмотрим)))

payload.zip

да посмотрим, может есть шанс на существавания такого артифакта

но конкретно у меня нет)

здесь мета+коба

shas nado imena dat' faylam

i zagruzit'

chtob znal kto gde

моя сеть не показатель, тут надо в общей массе смотреть. я пока на старом поеду потму что кручу сетки интересные.

там все файлы с именами

у нас щас 1 ак может 1к евро скрутить

я это к нему что надо тока файл нормальный

подкачали бюджеты

надергал подписей с контор котроые у меня были , сейчас разберусь как делать нормально и скину как выглядит

+++

na vnc nado najimat hdesk temp?

da

Еще делаю.

из user пользуйтесь только user read, чтобы не испугать юзера

это просто вьювер

остальные из user дают вам управление на рабочем столе и видеть он это может

> <@w:matrixtcFJHPDblmt2rg.network> остальные из user дают вам управление на рабочем столе и видеть он это может

hdesk temp - создание временной сесии, она не сохраняется, а обычнгый hdesk сохраняет вашу сессию при след открытии ( тобишь все, что вы делали в браузере сохраниться ) а в hdesk temp - профиль его будет скопирован еще раз

по мси есть примерное время

час два

ok

++++

ждем крипт и сразу собираю и заливаю

может его как то на обед будем просить готовить по мск

и сколько билдов примерно делает тебе он

у нас на дргуом софте больше 100 уходило в день

ммси

мси

билдов

32 PC, no trusts

такое можно брать

я сделаю мног обилдов

ну Msi

и буду и рандомно выдавать

куда брать?

внц

хочу зайти на бота

32 PC, no trusts франция

BOT #21519

payloads(VV,JJ).zip

mrlglobal.com

kobu

dayte kakoy zapuskat'

+

одну и ту же сетку поставили они получается? )

это пиздец )))

Еще надо добавить как банк

тока коин

coin

запрос

сможем

?

привет. да, старые вакатаки уже

тут особо не разогнаться с вариантами

coin?

просто coin?

доброе утро))

я когда делал блог, там два сайта один с большим ревеню другой с маленьким

давай

.co.uk был тот что поменьше - я по ним сделал блог. а другой был большой .net c большим ревеню. я так понял что это одна и та же сеть просто одна менее глобальная другой. ввот теперь интересно кто что поставвил

хорошо, но максимально разные они не будут, потому что крипт он по сути одно и тоже делает. но буду другим кобу

да

или линки дать

давайте отдельный чат с кобой

* .co.uk был тот что поменьше - я по ним сделал блог. а другой был большой .net c большим ревеню. я так понял что это одна и та же сеть просто одна менее глобальная другой, скорее всего разные трасты однйо конторы. ввот теперь интересно кто что поставвил

если они одно и то же поставили то это жОстко.

palit v pamyati S1

соберу ок

просто я ж говорю что особо тут вариантов крипта именно для дефа ебаного нет. поэтому нашел вариант - им делаю, как вылез вакатак, меняю

Я дроперы делаю не стабом, а инфецированием. Вообще другая технология.

dnsx86 zapuskal

я уже подзаебся честно говоря искать эти варианты, эта падла все хавает

ОТдельный стаб - хорошо. Надо несколько дней написать тогда его.

kbyrb kexit

линки лучше

nado shell kod kriptanut' ,, esli takie metodi chto menayut infu vnutri

то есть вариант один, а файлов всяких дофига. поэтому такая петрушка(

+

и локер, и дроппер, и коба и все хотят без дефа

стабы это проекты легал, куда я сую шелл пошифрованный, грубо говоря. вылез вакатак, я сменил проект на другой

ок

shas koder prishel budem smotret'

щас посмотрю, вакатак для начала)) вылез щас или нет...

все не просто

image.png

короче да не .net. скорее всего www.exploreworldwide.com.

а ты мне скинул конкретно блог делать по https://www.zoominfo.com/c/hotelplan-ltd/347186800

так что возможно что и не одно и то же поставили а просто разные трасты. ) надо разбираться с этим.

exploreworldwide.com - эти меньше вообще. получается, те ребята поставили тот что больше. хз надо смотреть что выкачивали. мб XX вообще уже ставил качать залоченную дату ))

ты им вообще объясни,что вакатак это general detect, он им обзывает всё, не зависимо от стабов, и прочего

понял :D

как обновить внц

не если не подрубается

я спросил у $$ что это за сетка он же бдит. он сказал что "что то помнит" и выдал мне бх по этой сетке )

скрин бх

синхроинизруй его

если он не в онлайне он уйдет в офф

и опять прогружай

сложная

> <@usernamegg:matrix.bestflowers247.online> sent an image.

я деф отключаю и норм)

рдп не смотрел? не коннектит