Reversing #1: Simple Patching and Keygenning

[ocz]

Hey,

hab über das Wochenende mal ein kleines RE tut verfasst. Richtet sich an Einsteiger, die vielleicht schon mal was gepatcht haben, und jetzt einen Einstieg ins Keygenning suchen. Im Laufe des Tutorials wird ein Nag gepatcht, der doch etwas zäher ist als zuerst angenommen, dann eine Keyroutine analysiert und ein Keygen geschrieben.

Vielleicht gibt es ja hier Leute, die das interessiert, wenn ja würde ich mich über Feedback freuen.

Mirrors:

hxxp://www.share-online.biz/download.php?id=U9ST2M3L7ET
http://rapidshare.com/files/41324028...Keygenning.zip
http://uploaded.to/file/x0xchj
http://www.megaupload.com/?d=YXET7P8B
http://www.filefactory.com/file/b2f2...Keygenning.zip

Danke an Shini und DoS für die Mirrors.
grz

[firefox15]

bei mir ist es infected!

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 6. Juni 2010 20:39

Es wird nach 2190565 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows 7
Windowsversion : (plain) [6.1.7100]
Boot Modus : Normal gebootet
Benutzername : Mike
Computername : MIKE-PC

Versionsinformationen:
BUILD.DAT : 10.0.0.567 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 17:22:49
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 17:22:53
VBASE007.VDF : 7.10.7.219 2048 Bytes 02.06.2010 17:22:53
VBASE008.VDF : 7.10.7.220 2048 Bytes 02.06.2010 17:22:53
VBASE009.VDF : 7.10.7.221 2048 Bytes 02.06.2010 17:22:54
VBASE010.VDF : 7.10.7.222 2048 Bytes 02.06.2010 17:22:54
VBASE011.VDF : 7.10.7.223 2048 Bytes 02.06.2010 17:22:54
VBASE012.VDF : 7.10.7.224 2048 Bytes 02.06.2010 17:22:54
VBASE013.VDF : 7.10.7.225 2048 Bytes 02.06.2010 17:22:54
VBASE014.VDF : 7.10.7.226 2048 Bytes 02.06.2010 17:22:54
VBASE015.VDF : 7.10.7.227 2048 Bytes 02.06.2010 17:22:54
VBASE016.VDF : 7.10.7.228 2048 Bytes 02.06.2010 17:22:54
VBASE017.VDF : 7.10.7.229 2048 Bytes 02.06.2010 17:22:54
VBASE018.VDF : 7.10.7.230 2048 Bytes 02.06.2010 17:22:54
VBASE019.VDF : 7.10.7.231 2048 Bytes 02.06.2010 17:22:54
VBASE020.VDF : 7.10.7.232 2048 Bytes 02.06.2010 17:22:54
VBASE021.VDF : 7.10.7.233 2048 Bytes 02.06.2010 17:22:54
VBASE022.VDF : 7.10.7.234 2048 Bytes 02.06.2010 17:22:54
VBASE023.VDF : 7.10.7.235 2048 Bytes 02.06.2010 17:22:54
VBASE024.VDF : 7.10.7.236 2048 Bytes 02.06.2010 17:22:54
VBASE025.VDF : 7.10.7.237 2048 Bytes 02.06.2010 17:22:54
VBASE026.VDF : 7.10.7.238 2048 Bytes 02.06.2010 17:22:54
VBASE027.VDF : 7.10.7.239 2048 Bytes 02.06.2010 17:22:54
VBASE028.VDF : 7.10.7.240 2048 Bytes 02.06.2010 17:22:54
VBASE029.VDF : 7.10.7.241 2048 Bytes 02.06.2010 17:22:54
VBASE030.VDF : 7.10.7.242 2048 Bytes 02.06.2010 17:22:54
VBASE031.VDF : 7.10.7.252 87552 Bytes 06.06.2010 17:22:54
Engineversion : 8.2.2.6
AEVDF.DLL : 8.1.2.0 106868 Bytes 06.06.2010 17:22:58
AESCRIPT.DLL : 8.1.3.31 1352058 Bytes 06.06.2010 17:22:58
AESCN.DLL : 8.1.6.1 127347 Bytes 06.06.2010 17:22:58
AESBX.DLL : 8.1.3.1 254324 Bytes 06.06.2010 17:22:58
AERDL.DLL : 8.1.4.6 541043 Bytes 06.06.2010 17:22:58
AEPACK.DLL : 8.2.1.1 426358 Bytes 19.03.2010 11:34:51
AEOFFICE.DLL : 8.1.1.0 201081 Bytes 06.06.2010 17:22:57
AEHEUR.DLL : 8.1.1.33 2724214 Bytes 06.06.2010 17:22:57
AEHELP.DLL : 8.1.11.5 242038 Bytes 06.06.2010 17:22:56
AEGEN.DLL : 8.1.3.10 377205 Bytes 06.06.2010 17:22:56
AEEMU.DLL : 8.1.2.0 393588 Bytes 06.06.2010 17:22:55
AECORE.DLL : 8.1.15.3 192886 Bytes 06.06.2010 17:22:55
AEBB.DLL : 8.1.1.0 53618 Bytes 06.06.2010 17:22:55
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: C:\Users\Mike\AppData\Local\Temp\03a50dca.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: G:,
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Sonntag, 6. Juni 2010 20:39

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'G:\tuts\key gen\OpCode_No1_Patching___Keygenning.zip'
G:\tuts\key gen\OpCode_No1_Patching___Keygenning.zip
[0] Archivtyp: ZIP
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Generic.3605
--> OpCode_No1_Patching & Keygenning/crackme.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Generic.3605

Beginne mit der Desinfektion:
G:\tuts\key gen\OpCode_No1_Patching___Keygenning.zip
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Generic.3605
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48e84f69.qua' verschoben!


Ende des Suchlaufs: Sonntag, 6. Juni 2010 20:39
Benötigte Zeit: 00:00 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
7 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
6 Dateien ohne Befall
1 Archive wurden durchsucht
0 Warnungen
1 Hinweise

[ocz]

Ist nicht infected. Runterladen oder lassen.

[Cristhecrusader]

Du bist aber verantwortlich und wirst gebannt falls es backdoored/infected sein sollte

[DizzY_D]

Habs grad mal überflogen und sieht wirklich super aus!
Man merkt, dass du dir Mühe gegeben hast und nicht nur einen Text aneinandergeklatscht hast.
Für Keygenanfänger ist dieses Tutorial sicherlich sehr geeignet.
Wird es weitere Tutorials von dir geben?

Du bist aber verantwortlich und wirst gebannt falls es backdoored/infected sein sollte

Für so einen Kommentar solltest du gebannt werden!
Meinst du allen Ernstes er legt ein infiziertes Crackme bei, das er selbst analysiert hat?


Edit:
RSS hinzugefügt!

[Hunter]

.

[Cristhecrusader]

Tut mir leid ich habs mir noch nicht runtergeladen ich mein ja nur auf den Kommentar
"Runterladen oder lassen" ....

[ocz]

Habs grad mal überflogen und sieht wirklich super aus!
Man merkt, dass du dir Mühe gegeben hast und nicht nur einen Text aneinandergeklatscht hast.
Für Keygenanfänger ist dieses Tutorial sicherlich sehr geeignet.
Wird es weitere Tutorials von dir geben?

Hey,
Danke für das positive Feedback. Wenn es weiterhin positive Rückmeldungen gibt, könnte ich mir schon vorstellen, da ne Art Serie mit steigendem Schwierigkeitsgrad zu machen.

Tut mir leid ich habs mir noch nicht runtergeladen ich mein ja nur auf den Kommentar
"Runterladen oder lassen" ....

Das sagte ich, weil ich der Meinung war, dass man allein mit gesundem Menschenverstand in der Lage sein müsste, zu erkennen, dass in dem Archiv nichts infected ist. Das 15kB Crackme, das 15kB gepatchte Crackme, ein Keygen Sourcecode, ein kompilierter Keygen 16kB ("Keygen.exe" führte wahrscheinlich zur Detection), ollydbg.ini und eine pdf. Keine der .exe Dateien ist groß genug um da irgendwas ernsthaftes reinschmuggeln zu können. Abgesehen davon habe ich das crackme selber gedebuggt und den Keygen selber geschrieben und kann somit mit absoluter Sicherheit sagen, dass es nicht infected ist.

grz

[moppelito]

Habe es bei mir geprüft und Clean!
Ich denke mal das schlechte AV's wie Avira das erkennen da es nunmal ein PAtcher ist der anbei liegt!

Großes Lob an den Autor!
Serh gut und ausführlich geschrieben!
Einfach Klasse und betrifft genau das was mcih grade sehr interessiert, die Prozedur der Entstehung eines Keygens!

THX nochmal!

[sn0w]

Wäre dir dankbar, wenns nicht nur in .pdf verfügbar wäre
Ansonsten schonmal danke für die Mühe

MfG