DLL Analysieren ; Schadcode ?

[NavanBethrax]

Ich hab mir eine DLL von einem Kollegen schicken lassen sie sollte in einem Game die Sendfunktion vor dem Crypten der Packets über nen Detour die Packets auslesen (Loggen) und auch das erneute Senden möglich machen.

Nun frage ich mich aber ob derSource Clean ist da ich einen verdacht habe wer der coder ist und dieser schon öfters so dinge erwähnt hat das er mal vorhat den Leuten die Accs abzuziehen.

Noch dazu mussich sagen das ich selber weiß das es in diesem Game sehr einfach ist die Logindaten auszulesen da sie unverschlüsselt im Clienten gespeichert werden und sogar mit Cheatengine ausgelesen werden können.

Nun wollte ich wissen ob villeicht irgendwer zeit und lust hat sich die DLL mal anzugucken und mir zu sagen ob da irgendwo ne Hidden Send funktion eingebaut ist die z.b. die Daten via SMTP sendet.

Hier die DLL:
http://www.multiupload.com/77D4ZP9KY9

Edit: Sorry ein bisschen dümmlich bin ich auch es geht ja um das "Reveersen" des Codes wär wohl besser in der Reveersing Section aufgehoben.
Wenn ein Mod moven kann würd ich das gerne in anspruch nehmen.

[Easysurfer]

Blöde Frage, aber warum machst Du dir nicht einfach ein "neues" Account mit dem Du die PacketAnalyse betreibst? Geht natürlich nur wenn das Spiel ein F2P oder ähnliches ist.

Die DLL ist auf jeden Fall in Delphi geschrieben, gibt einige (mehr oder weniger) gute Decompiler dafür. Villeicht dienen die ja ein bisschen mehr als nur Code in Olly.
Auf den ersten Blick habe ich auf jeden Fall nichts Entdeckt, aber für eine richtige Analyse braucht man den Namen des Spiels um eventuell das Teil auch zu injecten.

Wenn die DLL Backdoored ist, so müssen die Daten ja irgendwie übertragen werden. Wenn der Coder allerdings Ahnung hat wird diese Übertragung nicht einfach über SMTP, FTP oder HTTP erfolgen, also wird Wireshark auch nicht wirklich was bringen.

Eine weitere Idee wäre einen MemoryBreakpoint auf die Zugangsdaten zu setzen, Olly breaked dann ja und Du kannst abbrechen.
Aber wie schon gesagt, für 100% Sicherheit schreibst/findest Du dir einen eigenen Detour oder findest am besten gleich die Ent/Verschlüsselungskeys raus. Einfach von der Socket-Send Funktion ein bisschen zurücktracen, sollte sich was finden lassen, da die verschlüsselung ja in 95% aller Fälle direkt vor dem Senden passiert.

GReez