Malware-Angriff auf das RR-Team

Gestern landete in den PN-Fächern von den (Super-)/Moderatoren des RR-Teams eine PN mit einem sehr interessanten Inhalt. Ein User bot den Moderatoren ein Programm an mit dem das Moderieren vereinfacht werden sollte. Es war aber nicht nur ein 0815 Text, sondern die PN war relativ gut geschrieben und vertrauenerweckend. Das Produkt wurde gut beschrieben und die Funktionen hörten sich sinnvoll an. Malware-Angriff auf das RR-Team weiterlesen

Fortgeschrittene Trainer erstellen – Teil 1

Wer schon mal einen Trainer für ein Spiel erstellen wollte hat sicherlich nach ein paar Tutorials/Anleitungen gesucht und kaum etwas Gutes gefunden. Es gibt sicher einige Artikel die einem helfen einen einfachen Trainer zu erstellen, aber für fortgeschrittene Trainer gibt es kaum eine Hilfe. Fortgeschrittene Trainer erstellen – Teil 1 weiterlesen

Malware Analyse: TDL Rootkit 64-Bit Infektion

Ich konnte mir eine neuere Version des TDL Rootkits besorgen und diese hat schon Unterstützung für 64-Bit Windows Betriebssysteme. Von dieser besonderen Version konnte man auch einiges bei News Seiten lesen (z.B. bei Computerbase), denn es ist in der Tat das erste massenhaft in Umlauf gebrachte Rootkit, das in der Lage ist die Rootkit Funktionen in einem 64-Bit Windows zu nutzen. Trotzdem sollte man sich nicht beirren lassen: 64-Bit Windows ist immer noch viel sicherer als das 32-Bit Pendant. Wer also die Wahl hat (ab 2 GB RAM und halbwegs aktuelle Hardware) sollte sich unbedingt für die 64-Bit Variante entscheiden! Malware Analyse: TDL Rootkit 64-Bit Infektion weiterlesen

Malware Analyse: Gefährliches Rootkit TDL – Teil 2

Der Trick mit der DLL

Nun wird es erst richtig spannend. Um noch mal zusammenzufassen: Die EXE kopiert sich ins Temp Verzeichnis und veranlasst spoolsv.exe diese EXE als DLL zu laden. Spoolsv.exe verwendet eine LoadLibrary Funktion um die DLL zu laden. Damit wir wissen was unsere Malware nun macht, müssen wir das emulieren bzw. vorgaukeln. Malware Analyse: Gefährliches Rootkit TDL – Teil 2 weiterlesen

Malware Analyse: Gefährliches Rootkit TDL – Teil 1

Ein Raid-Rush Board User hat mich darum gebeten eine Datei zu analysieren, die bei RR angeboten wurde. Er schilderte mir, dass sich auf seinem PC ständig Webseiten im Webbrowser öffnen seit er diese Datei ausgeführt hatte. Nach einem ersten Blick dachte ich zunächst, dass es sich um 0815 Malware handelte, aber nach genauerer Analyse stellte sich heraus, dass es sich um die zurzeit beste und gefährlichste Malware handelt mit dem offiziellen Namen TDL, auch bekannt als TDSS, Alureon oder Olmarik. Malware Analyse: Gefährliches Rootkit TDL – Teil 1 weiterlesen

RCE – DLC Container Decrypter

Manually Unpacking XenoCode 2008 for .NET

Gestern wurde dieses kleine self-made Tool released: DLC.Container.Decrypter.v0.2-ContainerEx. Wie der Name schon sagt kann man mit dem Tool die DLC Container Dateien vom JDownloader entschlüsseln. In der NFO erwähnt der Entwickler neben anderen Beleidigungen, dass er Cryptload (in .NET programmiert) so mag und Java so „scheisse“ findet, deshalb habe ich mir gedacht, zerlegen wir doch mal das Tool in seine Einzelteile ;-). RCE – DLC Container Decrypter weiterlesen

RCE – SFT Loader 2008 – Teil 1


Manually Unpacking DotFix NiceProtect 3
Vor kurzem erschien der Loader 2008 in der Final (verbuggten) Version. Mit dem Update von 2006 -> 2008 wurde auch der Protector sehr verbessert. Es kommt nicht mehr Yoda’s Protector zum Einsatz, sondern ein anderer auch eher unbekannter Protector mit dem (lustigen) Namen DotFix NiceProtect. RCE – SFT Loader 2008 – Teil 1 weiterlesen

RCE – SFT Loader 2006


Manually Unpacking Yoda’s Protector 1.03.3
Vor kurzem erschien der neue SFT Loader 2008 in der Final Version. Da wird es auch mal Zeit, dass man sich den alten 2006er mal genauer anschaut. Ich zeige euch hier wie man den lästigen Protector entfernt. Grundlegende Reverse Code Engineering Kenntnisse sollte man haben um alles gut zu verstehen. RCE – SFT Loader 2006 weiterlesen