Autor: N0S

Malware-Angriff auf das RR-Team

Gestern landete in den PN-Fächern von den (Super-)/Moderatoren des RR-Teams eine PN mit einem sehr interessanten Inhalt. Ein User bot den Moderatoren ein Programm an mit dem das Moderieren vereinfacht werden sollte. Es war aber nicht nur ein 0815 Text, sondern die PN war relativ gut geschrieben und vertrauenerweckend. Das Produkt wurde gut beschrieben und die Funktionen hörten sich sinnvoll an. Malware-Angriff auf das RR-Team weiterlesen

Fortgeschrittene Trainer erstellen – Teil 1

Wer schon mal einen Trainer für ein Spiel erstellen wollte hat sicherlich nach ein paar Tutorials/Anleitungen gesucht und kaum etwas Gutes gefunden. Es gibt sicher einige Artikel die einem helfen einen einfachen Trainer zu erstellen, aber für fortgeschrittene Trainer gibt es kaum eine Hilfe. Fortgeschrittene Trainer erstellen – Teil 1 weiterlesen

PE Header Infos

Wenn es um PE Header Infos auslesen und bearbeiten geht ist nach wie vor der CFF Explorer das beste Tool das man im Internet finden kann. Trotzdem habe ich mir für ein anderes Projekt (gibt es vielleicht bald im Blog) einen kleinen PE Info Viewer programmiert, der alle relevanten Infos in eine Textdatei schreibt und dabei die Namen der Structs dazu schreibt.  PE Header Infos weiterlesen

SFT Loader Hook v1.0

Einige werden sich sicher schon gefragt haben, wo den der wöchentliche Blog Artikel von N0S bleibt. Ich bin in der Tat etwas spät dran, aber ich denke das Warten hat sich gelohnt, denn es gibt eine neue Version von meinem SFT Hook. SFT Loader Hook v1.0 weiterlesen

Malware Analyse: TDL Rootkit 64-Bit Infektion

Ich konnte mir eine neuere Version des TDL Rootkits besorgen und diese hat schon Unterstützung für 64-Bit Windows Betriebssysteme. Von dieser besonderen Version konnte man auch einiges bei News Seiten lesen (z.B. bei Computerbase), denn es ist in der Tat das erste massenhaft in Umlauf gebrachte Rootkit, das in der Lage ist die Rootkit Funktionen in einem 64-Bit Windows zu nutzen. Trotzdem sollte man sich nicht beirren lassen: 64-Bit Windows ist immer noch viel sicherer als das 32-Bit Pendant. Wer also die Wahl hat (ab 2 GB RAM und halbwegs aktuelle Hardware) sollte sich unbedingt für die 64-Bit Variante entscheiden! Malware Analyse: TDL Rootkit 64-Bit Infektion weiterlesen

Malware Analyse: Gefährliches Rootkit TDL – Teil 2

Der Trick mit der DLL

Nun wird es erst richtig spannend. Um noch mal zusammenzufassen: Die EXE kopiert sich ins Temp Verzeichnis und veranlasst spoolsv.exe diese EXE als DLL zu laden. Spoolsv.exe verwendet eine LoadLibrary Funktion um die DLL zu laden. Damit wir wissen was unsere Malware nun macht, müssen wir das emulieren bzw. vorgaukeln. Malware Analyse: Gefährliches Rootkit TDL – Teil 2 weiterlesen