Reversing #1: Simple Patching and Keygenning

Hey,

hab über das Wochenende mal ein kleines RE tut verfasst. Richtet sich an Einsteiger, die vielleicht schon mal was gepatcht haben, und jetzt einen Einstieg ins Keygenning suchen. Im Laufe des Tutorials wird ein Nag gepatcht, der doch etwas zäher ist als zuerst angenommen, dann eine Keyroutine analysiert und ein Keygen geschrieben.

Vielleicht gibt es ja hier Leute, die das interessiert, wenn ja würde ich mich über Feedback freuen.

Mirrors:

Zitat:

---

hxxp://www.share-online.biz/download.php?id=U9ST2M3L7ET
http://rapidshare.com/files/41324028...Keygenning.zip
http://uploaded.to/file/x0xchj
http://www.megaupload.com/?d=YXET7P8B
http://www.filefactory.com/file/b2f2...Keygenning.zip

---

Danke an Shini und DoS für die Mirrors.
grz

bei mir ist es infected!

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 6. Juni 2010 20:39

Es wird nach 2190565 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows 7
Windowsversion : (plain) [6.1.7100]
Boot Modus : Normal gebootet
Benutzername : Mike
Computername : MIKE-PC

Versionsinformationen:
BUILD.DAT : 10.0.0.567 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 17:22:49
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 17:22:53
VBASE007.VDF : 7.10.7.219 2048 Bytes 02.06.2010 17:22:53
VBASE008.VDF : 7.10.7.220 2048 Bytes 02.06.2010 17:22:53
VBASE009.VDF : 7.10.7.221 2048 Bytes 02.06.2010 17:22:54
VBASE010.VDF : 7.10.7.222 2048 Bytes 02.06.2010 17:22:54
VBASE011.VDF : 7.10.7.223 2048 Bytes 02.06.2010 17:22:54
VBASE012.VDF : 7.10.7.224 2048 Bytes 02.06.2010 17:22:54
VBASE013.VDF : 7.10.7.225 2048 Bytes 02.06.2010 17:22:54
VBASE014.VDF : 7.10.7.226 2048 Bytes 02.06.2010 17:22:54
VBASE015.VDF : 7.10.7.227 2048 Bytes 02.06.2010 17:22:54
VBASE016.VDF : 7.10.7.228 2048 Bytes 02.06.2010 17:22:54
VBASE017.VDF : 7.10.7.229 2048 Bytes 02.06.2010 17:22:54
VBASE018.VDF : 7.10.7.230 2048 Bytes 02.06.2010 17:22:54
VBASE019.VDF : 7.10.7.231 2048 Bytes 02.06.2010 17:22:54
VBASE020.VDF : 7.10.7.232 2048 Bytes 02.06.2010 17:22:54
VBASE021.VDF : 7.10.7.233 2048 Bytes 02.06.2010 17:22:54
VBASE022.VDF : 7.10.7.234 2048 Bytes 02.06.2010 17:22:54
VBASE023.VDF : 7.10.7.235 2048 Bytes 02.06.2010 17:22:54
VBASE024.VDF : 7.10.7.236 2048 Bytes 02.06.2010 17:22:54
VBASE025.VDF : 7.10.7.237 2048 Bytes 02.06.2010 17:22:54
VBASE026.VDF : 7.10.7.238 2048 Bytes 02.06.2010 17:22:54
VBASE027.VDF : 7.10.7.239 2048 Bytes 02.06.2010 17:22:54
VBASE028.VDF : 7.10.7.240 2048 Bytes 02.06.2010 17:22:54
VBASE029.VDF : 7.10.7.241 2048 Bytes 02.06.2010 17:22:54
VBASE030.VDF : 7.10.7.242 2048 Bytes 02.06.2010 17:22:54
VBASE031.VDF : 7.10.7.252 87552 Bytes 06.06.2010 17:22:54
Engineversion : 8.2.2.6
AEVDF.DLL : 8.1.2.0 106868 Bytes 06.06.2010 17:22:58
AESCRIPT.DLL : 8.1.3.31 1352058 Bytes 06.06.2010 17:22:58
AESCN.DLL : 8.1.6.1 127347 Bytes 06.06.2010 17:22:58
AESBX.DLL : 8.1.3.1 254324 Bytes 06.06.2010 17:22:58
AERDL.DLL : 8.1.4.6 541043 Bytes 06.06.2010 17:22:58
AEPACK.DLL : 8.2.1.1 426358 Bytes 19.03.2010 11:34:51
AEOFFICE.DLL : 8.1.1.0 201081 Bytes 06.06.2010 17:22:57
AEHEUR.DLL : 8.1.1.33 2724214 Bytes 06.06.2010 17:22:57
AEHELP.DLL : 8.1.11.5 242038 Bytes 06.06.2010 17:22:56
AEGEN.DLL : 8.1.3.10 377205 Bytes 06.06.2010 17:22:56
AEEMU.DLL : 8.1.2.0 393588 Bytes 06.06.2010 17:22:55
AECORE.DLL : 8.1.15.3 192886 Bytes 06.06.2010 17:22:55
AEBB.DLL : 8.1.1.0 53618 Bytes 06.06.2010 17:22:55
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: C:\Users\Mike\AppData\Local\Temp\03a50dca.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: G:,
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Sonntag, 6. Juni 2010 20:39

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'G:\tuts\key gen\OpCode_No1_Patching___Keygenning.zip'
G:\tuts\key gen\OpCode_No1_Patching___Keygenning.zip
[0] Archivtyp: ZIP
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Generic.3605
--> OpCode_No1_Patching & Keygenning/crackme.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Generic.3605

Beginne mit der Desinfektion:
G:\tuts\key gen\OpCode_No1_Patching___Keygenning.zip
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Generic.3605
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48e84f69.qua' verschoben!


Ende des Suchlaufs: Sonntag, 6. Juni 2010 20:39
Benötigte Zeit: 00:00 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
7 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
6 Dateien ohne Befall
1 Archive wurden durchsucht
0 Warnungen
1 Hinweise

Ist nicht infected. Runterladen oder lassen.

Du bist aber verantwortlich und wirst gebannt falls es backdoored/infected sein sollte

Habs grad mal überflogen und sieht wirklich super aus!
Man merkt, dass du dir Mühe gegeben hast und nicht nur einen Text aneinandergeklatscht hast.
Für Keygenanfänger ist dieses Tutorial sicherlich sehr geeignet.
Wird es weitere Tutorials von dir geben?

Zitat:

---

Du bist aber verantwortlich und wirst gebannt falls es backdoored/infected sein sollte

---

Für so einen Kommentar solltest du gebannt werden!
Meinst du allen Ernstes er legt ein infiziertes Crackme bei, das er selbst analysiert hat?


Edit:
RSS hinzugefügt!

.

Tut mir leid ich habs mir noch nicht runtergeladen ich mein ja nur auf den Kommentar
"Runterladen oder lassen" ....

Zitat:

---

Zitat von DizzY_D

Habs grad mal überflogen und sieht wirklich super aus!
Man merkt, dass du dir Mühe gegeben hast und nicht nur einen Text aneinandergeklatscht hast.
Für Keygenanfänger ist dieses Tutorial sicherlich sehr geeignet.
Wird es weitere Tutorials von dir geben?

---

Hey,
Danke für das positive Feedback. Wenn es weiterhin positive Rückmeldungen gibt, könnte ich mir schon vorstellen, da ne Art Serie mit steigendem Schwierigkeitsgrad zu machen.

Zitat:

---

Zitat von Cristhecrusader

Tut mir leid ich habs mir noch nicht runtergeladen ich mein ja nur auf den Kommentar
"Runterladen oder lassen" ....

---

Das sagte ich, weil ich der Meinung war, dass man allein mit gesundem Menschenverstand in der Lage sein müsste, zu erkennen, dass in dem Archiv nichts infected ist. Das 15kB Crackme, das 15kB gepatchte Crackme, ein Keygen Sourcecode, ein kompilierter Keygen 16kB ("Keygen.exe" führte wahrscheinlich zur Detection), ollydbg.ini und eine pdf. Keine der .exe Dateien ist groß genug um da irgendwas ernsthaftes reinschmuggeln zu können. Abgesehen davon habe ich das crackme selber gedebuggt und den Keygen selber geschrieben und kann somit mit absoluter Sicherheit sagen, dass es nicht infected ist.

grz

Habe es bei mir geprüft und Clean!
Ich denke mal das schlechte AV's wie Avira das erkennen da es nunmal ein PAtcher ist der anbei liegt!

Großes Lob an den Autor!
Serh gut und ausführlich geschrieben!
Einfach Klasse und betrifft genau das was mcih grade sehr interessiert, die Prozedur der Entstehung eines Keygens!

THX nochmal!

Wäre dir dankbar, wenns nicht nur in .pdf verfügbar wäre ;)
Ansonsten schonmal danke für die Mühe :D

MfG

Zitat:

---

Zitat von Dragonfighter21

Wäre dir dankbar, wenns nicht nur in .pdf verfügbar wäre ;)
Ansonsten schonmal danke für die Mühe :D

---

In welchem Format hättest du es gerne?

.swf wäre genial, so wie lena das damals gemacht hatte, reicht aber auch .txt (Wenn Bilder usw dabei einfach link zum bild bei nem imagehoster)

MfG

Gerade mal reingeschnüffelt, sieht sehr gut erklärt, besonders das mit dem Prüfsummencheck / Wiederherstellung des Nags, find ich mal ne gute "Aufgabe"

MfG

Genial! Geiles TUT vote 4 mehr davon :D

Downloadlimit von 10x wurde überschritten. Kannst dus reuppen?

Hier 2 neue Mirrors :)

Zitat:

---

hxxp://www.share-online.biz/download.php?id=U9ST2M3L7ET
hxxp://rapidshare.com/files/396051674/OpCode_No1_Patching___Keygenning.zip.html

---

Sehr schönes Tutorial :)

Zitat:

---

Zitat von Saedelaere

Sehr schönes Tutorial :)

---

Danke :)

Zitat:

---

Zitat von Dragonfighter21

.swf wäre genial, so wie lena das damals gemacht hatte, reicht aber auch .txt (Wenn Bilder usw dabei einfach link zum bild bei nem imagehoster)

---

Also es sind insgesamt 64 Bilder, von daher wäre ein solches Textdokument wahrscheinlich eher unübersichtlich :( Wenn gewünscht und weiterhin positives Feedback, könnte ich aber das nächste Tut der Serie als Video Tutorial machen. Obwohl ich eigentlich der Meinung bin, dass man da im Eifer des Gefechts nicht so viel (vor allem theoretisches) Wissen vermitteln kann.

grz

Sehr nettes Tutorial, habs auch nur mal kurz Überflogen und du hasts ziemlich gut erklärt wäre bestimmt nett von dir noch andere Anleitungen zu bekommen ;-)

MfG PAN

Das kann ich nur bestätigen, ist wirklichgut erklärt, freu mich auf weitere Teile... wobei viele "anfänger" sicherlich Verständnisprobleme haben werden, könnte ich mir vorstellen, was aber nicht am Author sondern an N00bs liegt

Bin noch nicht ganz durch ungefaähr die Hälfte finds bis jetzt Klasse und habs
auch verstanden :) hoffe es kommen mehr Tuts und gegen PDF FOrmat hab ich
nix einzuwenden. Es ist mir eigentlich egal nur ich denke als Video Tutorial
hätte ich das nicht so gut verstanden

habe es eend mal runtergelade und überflogen..sieht so schon mal nicht schlecht aus ...wer es mir die tage mal genau anschauen ;)
thx dafür :D

Sehr schönes Tutorial!
Übersichtlich und gut erklärt (weder werden Leser als Vollitioten noch als Supergenies betrachtet :D ).
Würde mich freuen noch mehr Tutorials von dir zu finden, evtl. auch über Fortgeschrittene Themen da es nun bald auch schon sehr viele Nagpatching und Keygen-Tutorials gibt.
Ich würde dir nicht dazu Raten das in Videoform zu machen, da man bis zu 70% weniger behält und es auch immer nervig ist wenn man eine Stelle nochmal lesen möchte.

Mfg

hat noch wer das tutorial und könnte es noch einmal uploaden? (alle links sind tot)

edit:// boah manchmal bin ich au bissl zu blöd :D
@robo share online ist doch noch on musst nur die hxxp, da die xx mit tt ersetzen ;)
mfg

Zitat:

---

Zitat von peterlustig55

edit:// boah manchmal bin ich au bissl zu blöd :D
@robo share online ist doch noch on musst nur die hxxp, da die xx mit tt ersetzen ;)
mfg

---

Bei share online ist der Download (zumindest bei mir) aber immer fehlerhaft. Wäre wirklich nett, wenn das nochmal jemand hochladen könnte.

@peterlustig55

Denkst du wirklich ich hätte die xx nicht mit tt ersetzt?

P.S.
habe es jetzt bei share-online laden können.

gestern kam da noch ein konfuse meldung von wegen freeuser können nichts mehr herunterladen um die servicequalität aufrecht zu erhalten.

da es mich so an ul.to's meldung erinnert hat, wenn da eine datei gelöscht wurde bin ich davon ausgegangen, dass die datei auch down ist.

OpCode_No1_Patching & Keygenning

-> Rapidshare //10x möglich
-> Uploadet
-> Zippyshare
-> Megaupload
-> Fileserve
-> Mediafire
-> Filefactory

Shini

Ich habe die Datei, die von OpCodez selbst auf Share-Online hochgeladen wurde, gedownloadet und ohne Veränderung auf meinen legal erworbenen Rapidshare Premium Account hochgeladen.

RapidShare: 1-CLICK Web hosting - Easy Filehosting

Die Datei kann jetzt also beliebig oft runtergeladen werden.

Mit freundlichen Grüßen
DoS