SFT Decrypter 2009

Auf der SFT Loader Webseite gibt es momentan zwei Encrypter mit denen man eine SFT-Datei erstellen kann. Einen SFT Encrypter 2006 und einen SFT Encrypter 2009 Beta 2.

Auf der Loader Seite gibt es noch mehr unterschiedliche Versionen, die aber nicht weiter relevant sind. Die Encrypter erstellen unterschiedliche Versionen des SFT Formats. Benutzt man den 2006er kann man jeden Loader zum Herunterladen benutzen. Beim 2009er funktionieren nur die neusten Loader. Die Unterschiede zwischen den zwei Formaten sind erheblich. Der Grund ist, dass im Juli 2009 ein eddy14 einen Decrypter für das SFT-Format veröffentlicht hat. Der SFT Coder war daraufhin gezwungen die Komplexität der Verschlüsselung zu erhöhen – und er war damit sehr erfolgreich. Eddy14 kündigte zwar an das neuste Format auch bald zu knacken, aber bis heute ist von ihm kein aktualisierter Decrypter erschienen.

Der Schwierigkeitsgrad hat sich seit dem Encrypter 2006 stark erhöht. Nicht nur das Format ist kompliziert, sondern auch ein stärkerer PE Protector erschwert die Analyse (Siehe Blog Artikel). Das neue Format setzt auf SHA256, RC4, RC Custom, Blowfish, Base64, und viele eigene XOR/OR/AND Algorithmen. Spätestens nach der Hälfte hatte ich kaum noch Lust weiter zu machen. Der Programmierer hat daher sehr gute Arbeit geleistet.

Der Grund für die Veröffentlichung eines aktuellen Decrypters ist die Entwicklung eines neuen RR Loaders, der SFT-Format Unterstützung bieten soll. Ich wünsche den Entwicklern mit diesem Projekt viel Erfolg.

Die Anforderungen an den Sourcecode, um es leicht in den RR Loader einzubauen sahen so aus:

• Reines C ohne C++
• Kein (Inline-)Assembler
• Keine Betriebssystemfunktionen
• OpenSSL Bibliothek benutzen

Die Anforderungen sind bis auf eine Ausnahme soweit erfüllt: Ich musste die Windows Funktion WideCharToMultiByte einsetzen, weil es die einfachste Möglichkeit war einen Unicode String in eine spezielle (ANSI Baltic) Codepage umzuwandeln.

Download (src+bin): sft_decrypter_2009.rar
Passwort: ToUpper(SHA-1(ToUpper(SHA-256("N0S"))))