```

zakrilos no u menya online

uspel zapustit' ?

запустить успел ошибка была, не пришел

нужно звать еще

Bot ID CACIT00STS13_C0MTL001PHUA_592D932D

> <@cameron777:matrix.org> Bot ID CACIT00STS13_C0MTL001PHUA_592D932D

врядли будет чистый, деф еще обновился

ок, скоро сделаю

Хорошо

принял

нет

другие сделаю

отлично

готс?

какой готс?

на плюсах не нужно

зачем

да не goc на плюсах не нужен

я уже рубеус не юзаю почти

не шелл код тоже не нужен в goc

там где нужен шелл код он уже есть

> <@usernamegg:matrix.bestflowers247.online> будешь значит

я юзаю bof

```

агрессор скрипт

ага

Окай

позже уже только

я всю ночь не спал, с ontex ебался

скил поднял мальца

* скилл поднял мальца

> <@usernamemm:matrix.bestflowers247.online> ++

S1 kogda chto to ne ladno vse v korne ubivaet

> <@usernamegg:matrix.bestflowers247.online> ты сделай одну до конца что бы можно было ее в разбор отдать и на выкачку поставить что бы мы воткнули их

flyit если только

с прокладками просто в 10 тачках заркрыт полностью пока что движений вобще нихуя сижу чекаю сессии пытаюсь за что нибудь ухватится

нашел тачку где драйвер запустился

нихуя не дало у них трафик режется или фильтруется

+

полный пиздец

по поводу переписывания на шелл коды или плюс не нужно, весь софт который есть написал уже изначально на то что нужно, менять не нужно

тоже до 2мб нужен будет

длл

писать нужно дополнительный софт для заметы метасплойту на шарпе smb_login полнофункиональный на шарпе с поддержкой хешей

* писать нужно дополнительный софт для замены метасплойту на шарпе smb\_login полнофункиональный на шарпе с поддержкой хешей

privet

s vcherashnego dnya u nas problemi s faylami

vse ubivaetsya

идеи есть что писать, но потом

nu chto gruzite

```

nu ya vchera chto skinul vse umerlo

segodnya tozhe

> <@cameron777:matrix.org> https://www.zoominfo.com/c/barrack-rodos--bacine/3998523

mnogo chego

> <@cameron777:matrix.org> s etim chto to vishlo ?

cameron777

tenaequip

paru botov

tak ne smogli zapustit' tam nechego vse otvalilos

> <@usernamegg:matrix.bestflowers247.online> тачки с более свежей виндой есть ?

nu nado zhe s etim reshit'

nu tak ne bivaet

```

> <@usernamegg:matrix.bestflowers247.online> в твоем лоадере случайно не поддерживается выполнение cmd\powershell кода?

prosto ochen bolshie kodi nelzya zapuskat'

esli do limita to ok vse

dll segodnya zdelaet

zapusk v pamyati

https://www.zoominfo.com/c/united-audit-systems-inc/104693904

https://bajarangabali.com.np/OW8i/{random}

для js

sheeheyvt.local

kerbov netu tam

> <@cameron777:matrix.org> sheeheyvt.local

znaesh delo v chem

i tipo takix AV

vi zhe robotaete postoyanno

cheknuli bi file pered zalivom

nu tak esli est' pochemu MM zalil palevni file)

i vchera tozhe tak

da konechno prochital

da ya eto ponyal

no tot ego kript chto ti napisal chto zalil

pered zalivom nelzya cheknut'

ili na skanere k primeru

> <@usernamegg:matrix.bestflowers247.online> они там все сломают

neskolko EDRov v odnom meste)

net ya sproshivayu pochemu pered zalivom na target ne chekaete u sebya

nu format roboti kak bi nado zdelat'

nu i skaner zhe est' mozhno dazhe bez ineta tam cheknut'

chtb uploada ne bilo

бро

.ost файлы тоже пойдут?

все я в откол, добрых

буду вечером

это типо как pst

я все переделал, сейчас инбоксит атач зип под пасом

попробую прослать чтонибудь отпишусь

не знаю

нужно посмотреть

ебались вчера с нагрузкой,msix 3-5 дней будет в ауте

нашел еще одно решение

есть пример ost файла?

жду сегодня

говорит пока нет в базах ав по динамике

`Короче говоря, файлы PST используются для архивирования и резервного копирования. Файлы OST используются для автономного доступа к данным, хранящимся на сервере Exchange. Файлы OST хранятся на компьютере пользователя и синхронизируют изменения с сервером. Файлы PST могут храниться локально или удаленно и не поддерживают синхронизацию.`

ну и сканер норм результат дает

ну вот нашел у лоеров

могу выкачать

ladno eto reshim kak to dumayu

я тогда выкачаю и дам путь

они просто весят по 400мб

jr

ok

js норм скачались, жду новый длл

file: smtp_dec_2.txt

JJ: cinfab.com a s etim? esho online

> <@cameron777:matrix.org> JJ: cinfab.com a s etim? esho online

178.236.246.138 9_1

все, разобрались

она сделана

сегодня будет до конца

`cinfab.com`

Привет

я тут

делаю билды

пиздец))))

> <@usernamegg:matrix.bestflowers247.online> ушло

> <@usernamegg:matrix.bestflowers247.online> что ?

не подходит, потому что там к низ 2аф

как и у гугла

и еще у некоторых крупных 2аф есть

* не подходит, потому что там у них 2аф

но, если у него чекер авторизовался, то пусть все равно сбрасывает

жду дллку

запустил билд

pop3 тоже заберу

пусть сбрасывает

ну он же такой формат и сбрасывал раньше

ещ 5 минут

dropper_GG15TU_f0adda360d2b4ccda11468e026526576_kjVh26GlV.zip

PASS: 1afc8a2f7237ea8426386c93b556a559

вот под спам

щас делаю под траф

и перегрузк

скину чуть позже

щас к ляпису залью

пару минут

залил

скину тебе, првоеришь чисто ли будкет с JS

Принял. Занимаюсь

Не могу сказать. Как пойдет дело

Деф лютует сильно

aga

сори, что подьебал тебя так сегодня

сам не ожидал

да

GG15TU.dll.sa

уже готово

вот пробуй

только строку у него спроси

+

Behavior:Win32/PikaBot.ZX

process: C:\Windows\SysWOW64\rundll32.exe

кажется палит запуск

ща перепроверю еще

а можешь скрин скинуть

да

сразу же как запускаю, палит

но может у бена не будет палить

щас проверю еще

дллку палит

я отдельно ее проверял

скачалось спокойно

но когда запускаю, палит

Behavior:Win32/PikaBot.ZX

в динамике палит

ща

ааа

ну да, это в крипте динамика идет

странно

http://temp.sh/EWlKU/Capture19.PNG

ааа

так он дроп делает

походу

SysWOW64

а там PH стоит

из-за этого детект

надо делать как или бурито или бен

они передают поток в том же процессе

а ляпис сделал перезапись нового процесса

ну щас ячя еще точно проверю

у меня с криптом угвея такая херня

они где то взяли какой то

а он там миллион дропов делает

и меня палит в каждом запуске кажды йраз по новму

ага)

а что пишет?

просто?

ну да согласен

и так голова кипит

ну я без админ прав проверяю

image.png

деф вчерашний

не буду туда к нему заходить

ща еще через js проверю

щас обноавлю

какая сигна для размножения дллки?

image.png

вот теперь палит

сегодня что то сделали походу

ясно

да js и предыдущие норм, js не палит

сек

а тут бот походу пк вырубил

+

а или нет

тупанул

есть все

поднялся

+

у него инет пропал походу

ну пропадал

> <@usernamegg:matrix.bestflowers247.online> они там перезагрузили опять сервак

---

brintons.co.uk

pecofoods.com

подсветить их пора

по ним дата уже загружена если что.. пока их в пору только подсветить по таймеру.

sek

хм

софт запустился реально

но детекут на крипт походу

ну не статика

а именно динамика

вот

GG15TU.dll.sa

но бот мой запустился

то есть мой код дропера отрабатывает

а вот тьакое чувство, что после меня их палит

хотя нет

хер его, точно не могу сказать

сингу еще сбросте для размноженя

Behavior:Win32/PikaBot.ZX такой же у меня дедект

behavior: process: C:\Windows\SysWOW64\rundll32.exe

ну если уверены, что запускается все, тогда можно пустить

запускаю тогда европу?

все равно конечно херово, там у всех орать будет деф

+

скоро посмотрю

kuka.com они на атулуке. туда оч сложно залелететь

плюс всякие предупреждения на письмо вешают

винда 7?

876 писем есть

ну так а в дллке этой уверены?

мне по ним запускать сейчас?

> <@usernamegg:matrix.bestflowers247.online> какой будет у нет размер ?

8

думаю 200кб потолок

сейчас посмотрю проблему

а если с win32u.dll в папке, то же самое?

кроме trendmicro где-то мой билд пробовали?

работало?

а какой EDR был?

слава богу

стараюсь делать все сразу и нормально

так по kuka.com пускать сейчас эту дллку которая палится?(

* так по kuka.com пускать сейчас эту дллку которая палится?)

если что-то не так, фикшу

> <@usernamegg:matrix.bestflowers247.online> ps1 сделаешь?

загрузчик сделаю, без проблем

будет намного легче чем с .bin

я просто поясню в чем сложность, для .bin придется шеллкод писать с нуля, это очень долго и сложно

проще будет с помощью повершелла скачивать + это андетект

я еще как время будет, попробую переписать eclusive плагин, посольку там вроде winapi используется для протекта памяти и аллока, а это очень плохо

и в слипмаске кобальта crt есть, вырежу

а чего не BRC4?

давай счас перекомпилю арсенал под 4.9

а то старый пахать не будет

> <@usernamegg:matrix.bestflowers247.online> есть brc4

а, понял

ну очень крутая штука насколько я знаю

офигеть

кстати, я пока что всем устраиваю?

кроме trendmicro и x86?

там возможен вариант что на тренде задетектился eclusive

> <@usernamegg:matrix.bestflowers247.online> тебе залить его?

но я не особо знаю как и что там с настройкой и тд

я думаю там из коробки андетект в рантайме

в рантайме?

и с меня сейчас .ps1 загрузчик + x86 только под 10-у?

* и с меня сейчас .ps1 загрузчик + x86 только под 10-ку?

> <@cob_crypt_ward:matrix.bestflowers247.online> и с меня сейчас .ps1 загрузчик + x86 только под 10-ку?

> <@cob_crypt_ward:matrix.bestflowers247.online> а если с win32u.dll в папке, то же самое?

сейчас 8 поставлю, все скажу

++

привет

всем

вчера сколько было за сутки ботов от меня

понять не могу а то группа которая

Привет

SSD_TRAFF_2

ждем крипт и летим

сегодня должно быть лучше чем вчера

думаешь они чистый?

щас проверю

он же вчера запускало

* он же вчера запускал

аа ты про то что на крипт отдать

чекаю

да

щас сделаю

сек

> 8k.txt [-2484072932] [Suitable: 1,889] [Emails: 0] [US corp emails: 0]

щас старый проверю

1900 уже есть новых

но еще чекается

походу снова европу не прошлем

ну 8к может и не быть, так как какие-то доступы у нас могут еще быть в бд

палит уже

щас скину файлоы

билды уже готовы

+

dropper_GG_PEREGRUZ2_TU_f0adda360d2b4ccda11468e026526576_HPzO5dP.zip

PASS: 19fdafe94f167c99a3857b73fcd14ffc

dropper_SSD_TRAFF_2_f0adda360d2b4ccda11468e026526576_t7TMCA9f.zip

вот 2 билда

понял в чем дело, тоже нужна win32u, мой косяк, извиняюсь

только на >=10 не нужна она

> <@cob_crypt_ward:matrix.bestflowers247.online> понял в чем дело, тоже нужна win32u, мой косяк, извиняюсь

вчеера чет вообще мимо все куда то улетело

продублировать надо доступ для моего сапа

чет гг не вижу в сети

или тут ГГ

сильно мешает вторая win32u dll?

принял

я про ту дллку, которую нужно класть рядом с основной в папке

она сильно мешает, или стоит решить как-то?

* я про ту дллку, которую нужно класть рядом с билдом в папке

* она не сильно мешает, или стоит решить как-то?

8k.txt [-2484072932] [Suitable: 2,744] [Emails: 0] [US corp emails: 0]

2744 валида вышло

ща я еще перечекаю, и посмотрю еще сколько было в бд и в какие именно не получилось войти

продублируй доступот сапа плиз

есть запасной сингл впн?

+

да, я сказал

счас 86 делаю

думаю сегодня сделаю

и что у вас вчера с файлом было

у меня вышло за позопрошлую неделю за пятницу и ту неделю целлую вышло 4к

открута

мы норм отлили

могу показать

1.7z

строка - 20dog802pifB9BcyV8c5W3nLR0kkhwjEYZipnFJWWYAqZ

+

Проверяй

+

да, размножу, пролью и проверю сразу через js

да, вижу щас вот тестирую

чисто с дрпоом

с дропом чисто

ждем от GG Ответа как при запуске из JS

++спасибо

+

чисто

пущу европу

по kuka сначало только запущу

сейчас отойду поесть на час, поесть, ок?

а блин, не получится

он же на аутлуке

я их письма не кешировал

ладно, завтра

закешировать их письма еще нужно

пустил по европе пока по всем

завтра еще прошлю

30 мин прошлю по всем

и подготовлю kuka

https://www.zoominfo.com/c/first-coast-logistics-services-inc/565807610

AV vrode netu

в сутках времени не хватает

щас

> <@cameron777:matrix.org> https://www.zoominfo.com/c/first-coast-logistics-services-inc/565807610

+

да, шалом

вакатаки опять... щас

+

чисто по компаниям шлю

++

KVSZ2: 692296 5 \ 1 \ 4 \ 20%

по так такой отстук

делаю

> <@usernamegg:matrix.bestflowers247.online> dropper_GG15TU_f0adda360d2b4ccda11468e026526576_kjVh26GlV.zip

100k ушло, что-то не особо то и сыпет

signed_BBB65BDC79.7z

> <@usernamegg:matrix.bestflowers247.online> ах епать

вчера бля сделал все на утро, не было. вот щас им делаю - вакатак. как бля я хз...

точно фаза луны

скоро по kuka пущу

ага, окей

я тогда вечером сделаю

до скольки он тут?

37S.bin

> <@usernamegg:matrix.bestflowers247.online> dropper_GG_PEREGRUZ2_TU_f0adda360d2b4ccda11468e026526576_HPzO5dP.zip

signed_BDA49CB958.7z

от саппа

списание бюджета на траф

мы льем за свои же деньги

ок, скоро их подпишу и поставлю на выдачу

не понял, это как? из айпики в айпику?

по kuka уже шлю

kuka мы вообще цепляли хоть раз?

++

Хорошо, сейчас сделаю IP для завтра

ок, а почему именно по ним?

продублируй доступ

да, вчера очень много кстати реверсеров сыпало с трафа и ios, macos, linux

прослал по kuka

> <@usernamegg:matrix.bestflowers247.online> у нас каждый день все хорошо с файлом

значит файл отрабатывает по разному

перезапущусь по всей европе

а так же делает кодер по разному выдачу

не в чистоте даже дело

ладно льем дальше

всмыслде выдача разная?

ну с дропа

была

> <@usernamegg:matrix.bestflowers247.online> dropper_SSD_TRAFF_2_f0adda360d2b4ccda11468e026526576_t7TMCA9f.zip

signed_B4C84CB6CD.7z

щас просто

ГГ дай еще раз доступ плиз

а, понял

от сап доступа

2.7z

строка - 20dog802pifB9BcyV8c5W3nLR0kkhwjEYZipnFJWWYAqZ

да у меня почены их письма, что это крупные

но они на аутлуке

выдать доступ для его сапа?

мы туда уже очень плохо инбоксим

lockers.zip

нужен крипт

kuka.ca mx записи нет

+++

```

там уже можно пасс если что менять

ага)

kuka.co.uk на атлуке

NL_1_MSF443_thread.bin

kuka.au mx записи нет

до 18 буду слать европу

с kuka уверен что все не просто будет... банально может наш линк у них не открыться, или js вообще отрублен

с таким крупняком все не просто

да я не проебываюсь вроде

файл никак нельзя раньше выдавать

?

да, я прослал если что

завтра можем еще по ним прослать попробывать

> <@cob_crypt_ward:matrix.bestflowers247.online> только на >=10 не нужна она

+++

laposte.fr вот это крупная

вроде стукнула

34B

* аж 34B

спс

> <@cameron777:matrix.org> po revenu vozmohno etot

esho snyal hashi

++

https://www.laposte.fr/

hashes.txt

SentinelOne

tam

fritz-winter еще вроде эта стукнула на 700М

ok

интересно, что это два энтерпрайза и без дефа

просто думаю, что деф на энтерпрайзе подругому может работать

как обычный аутлуке и бизнес атлук

а обычном атулке нет плашки красной(желтой)

а в бизнесе есть

270к ушло

реверсеры по моему

а так нет

еще 10 мину прошлю

и юсу запущу

это ж две разные конторы

да

image.png

FILE.zip

> <@usernamezz:matrix.bestflowers247.online> sent a file.

FILE.zip

> <@usernamezz:matrix.bestflowers247.online> sent a file.

я ж по французам не работал)

почта же это

для юсы сделаю еще линков побольше

через 15 мин запущу юсу

> <@usernamegg:matrix.bestflowers247.online> выкачались почты ?

потому что при просыле, даже при том, что я закешировал обработку писем

все равно нагрузка 50%

сек, смотрю

* все равно нагрузка 50-80%%

* все равно нагрузка 50-80%

Goods_5k.txt_17.12.2023.txt [-196927549] [Suitable: 4,008] [Emails: 11,926] [US corp emails: 3,187]

вот видно, что со вчерашних еще накачалось

я щее посмотрел, много в imap.windstream.net не авторизовалось... буду проверять в чем проблема

> <@usernamegg:matrix.bestflowers247.online> с новым js ?

> <@usernamemm:matrix.bestflowers247.online> сервер 2008 win32u нужна?

файл никак нельзя раньше выдавать

> <@usernamemm:matrix.bestflowers247.online> sent a file.

> <@usernamemm:matrix.bestflowers247.online> крипт под SentinelOne

MM: ne zaydyosh na RDP ?

понял

там с 2.6к у нас там было в базе, и с 2.2к у нас проблема авторизоваться

по ней крипт жду, пока то что выше забрал смотрю

ok

пустил юсу

x86 ток под десятку идут, ок?

спасибо большое

на x86 не встает eclusive если что

сейчас попробую заменить его чем-то

и то что некоторые файлы по 926 байт, это норм?

например 38_443_x64.bin

bc1ql6szv5pzppy53a6tgvht45rd6u3whsfr0egemz

4100

ага, часть IP поблочили, они уходят в офф, на пару минут и потом опять возвращаются

и там без плагина eclusive

а x64 компился без eclusive?

но некоторые не понимаю почему отваливются

херня какая то

hashes.txt

`Thiel01::FRITZ-WINTER:1122334455667788:577da8f30da11714f41ab780ab3f8fca:0101000000000000debcbd5c8e32da01666e3b562eec44350000000008003000300000000000000000000000002000007f2a88a628c65b4d55049dd43bd905fddf4388acb2a8cb7f61ffdcd4f39cc22a0a001000000000000000000000000000000000000900280046005200490054005a002d00570049004e005400450052005c0054006800690065006c00300031000000000000000000`

$krb5tgs$23$*servicecitintranet$mymaax.domain$,,59d51:q1w2e3r4t5

++

$krb5tgs$23$*servicecitsapkerbsol$mymaax.domain$SAP/servicecitsapkerbsolman*$2cc00a4,,fce6:QazWsxEdc123!

++

$krb5tgs$23$*servicecitsapkerbtes$mymaax.domain$HTTP/www.mymaaxbi.com*$568b8,,11ec0ea51dedef2aa9b8ae77a797f7803c203f82d5b3893f44727bb4dd00b01158f16689c968c00c6773ef10049bdf64890991aeaf44c08282a73a:Qwertyu1

imap.windstream.net не хочет конектится через прокси наши, другие попробую

++

это коба?

сейчас проверю

+

APSRV1_emt001_5E7BC6AE

etot bot online

esho i citrix

tam Symantec

day exe zapushu

чет и через другие не хочет, странно

спросите ктсти у чела, через какие соксы он чекал нам базу эту на 8к

https://www.zoominfo.com/c/tdx-group-ltd/99533120

kekhash.txt

что за av там?

```

> <@cameron777:matrix.org> tam Symantec

a chem meta luchshe? u menya 2 beacona sdoxlo shodu

о через, через сокс бот один сокс подконектился

короч как спам закончится

еще перечекаю через сокс от соксбота

> <@usernameff:matrix.bestflowers247.online> sent a file.

shas probnu kerbi zabrat'

а у вас JS чистый?

3.7z

++

pusto po hasham

скоро проверю

powershel lpashet

* powershell pashet

деф обновился

x64 точно без нужных плагинов

чисто

или у вас 4.9 теперь?

https://www.bleepingcomputer.com/news/security/fbi-disrupts-blackcat-ransomware-operation-creates-decryption-tool/

tam Symantec, no mozho file dobavit' v isklyuchenia

no ne adminski dostup

ya tak zapustil svoy

The FBI says they seized the website after obtaining the public and private key pairs for the Tor hidden services that the website operated under, allowing them to take control over the URLs.

sil'no

в следующем цикле надо будет поменять домены

могу перекомпилить арсенал кит

100k уже ушло по юсе

т.е. по новым давно уже ушло

та не знаю, бот вроде как норм стучит

у меня на тестовых тачках

ошибок нет

деф фуловый

из-за того, что IP некоторые отпали, стучит с промежутком в 3-4 минуты