Trojaner in Gamehack? Haben sie mich jetzt ausgetrickst?

C

cyberceline

0
Hey,
Also es geht um das Spiel "TDU2".
Was aber eigentlich völlige irrelevant ist.

Habe über Skype (von einem Freund) eine .exe geschickt bekommen.


Ist ein "Hack" der auch einwandfrei funktoniert, was mich schon ein wenig skeptisch gemacht hat.


Ich habe es mal mit VirusTotal gescannt...
Hier das Ergebnis: https://www.virustotal.com/en/file/...ea7119b9db3cf518423f0528/analysis/1390478579/


Und hier nochmal ein MEGA Link: Bitte nur mit einer VM öffnen, will euch nicht infizieren. LINK : https://mega.co.nz/#!RdZnkCiB!oIJPgtACU6FgROmRNrHgz7YUTG0J6ZyGOS6RVzZNYF4

Bitte nicht steinigen, wusste jetzt nicht genau ob man hier Links posten darf.
Nochmal, das ist eventuell nen Virus, also nicht auf sein eigenes System ziehen !



mfg :)
 
Die Einträge bei Virustotal finden ja zum Großteil gar nichts, oder deuten auf die Cheatengine, die für das Spiel genutzt wird hin.

Bis auf McAfee und VBA32 wird da also nichts schädliches gemeldet.

Unterm Strich muss das also nicht heißen, dass es sich hier wirklich um Malware handelt.
 
1) extrahiert nach "C:\Documents and Settings\VMUser\Local Settings\Temp\cetrainers\CET1.tmp\"
CET_Archive.dat
cyborg II.EXE
und startet diese.
2) diese extrahiert/startet wiederum dbghelp.dll, lua5.dll und cyborgII.exe in
C:\Documents and Settings\VMUser\Local Settings\Temp\cetrainers\CET1.tmp\extracted

alle Execuables/DLLs wurden schon vor längerer Zeit bei VT gescannt und haben nur 1-2 Treffer von "exotischen" Scannern.
Es gibt keine üblichen Anti-Debugger/Anti-VirtualBox Tricks.

Zumindest in der zuletzt extrahierten Exe gibt es Codeteile, die zum Verbingungsaufbau genutzt werden können("bind" "connect" "send" "receive" Aufrufe der ws2_32.dll) - allerdings können diese einfach zum Cheatenginetemplate gehören und werden zumindest in der VM nicht angeworfen.
Außerdem ist diese Executable VT schon länger bekannt:
https://www.virustotal.com/de/file/...1b9257a3cf783f544efed710/analysis/1390495076/ (siehe "Additional Information")

Blöd ist nur, dass man nie sagen kann, dass etwas sauber ist, nur weil man nichts findet ;)

VT&Co Scans sind mit Vorsicht zu genießen, da hier, afaik nur ein Dateiscan stattfindet - also keinerlei Verhaltensanalyse (welche sich auch relativ einfach umgehen lässt).
Anubis und ähnliche Seiten: https://anubis.iseclab.org/ sind wiederum relativ rar und es gibt schon länger bekannte "Anti-" Tricks.

Es lässt sich also nur sagen, dass es in dieser Form zumindest ein unüblicher Infektionsweg wäre (von der "Verpackung" her) - mehr nicht. Wer cheaten will, muss mit sowas leben *scnr*

PS:
Ist ein "Hack" der auch einwandfrei funktoniert,
Zum Vergrößern anklicken....
Es ist zwar schwer zu glauben, aber Leute, die Cracks/Hacks/Keygens usw ertellen, haben in der Regel andere Interessen, als "Opfer 0wn3n" ;). Es ändert allerdings nichts an der Tatsache, dass coole "Hacker-Anfänger" diese Releases dazu nutzen, um eigene Malware anzuhängen oder einfach Fake-Trainer/Cracks usw. in den Umlauf bringen.

Edit:
"Analysiert" wurde in einer VirtualBox VM mit XP SP3 mittels OllyDbg 1.10
 
cyberceline hat gesagt.:
Genau deswegen hab ich geschrieben, das ich etwas erstaunt war, das der "Hack" (Da sind Gänsefüßchen ;) ) funktioniert
Zum Vergrößern anklicken....

Jetzt überleg doch aber mal wie sinnvoll es wäre einen infizierten Hack zu verteilen der auch funktioniert. Da würde der sich doch viel besser von selbst verteilen. Oder schickst du deinen Freunden einfach aus Spaß Dateien die nix bringen? :wink:
 
Um etwas konkreter zu sein, warum das ein unüblicher Infektionsweg wäre:

Ein 0815 "Hacker" nimmt normalerweise einen "Köder" (Crack/Trainer/Keygen/"Hacktool") + Trojaner/Stealer/Bot + Binder.
Diese gibt es zu kaufen (ca. 5-10 bis 100 PSC - bis nach oben offen) oder auch umsonst (sogenannte "Leaks" oder "cracked Trojaner/Stelaer usw").

Rein praktisch sorgen schon die Kids, die solche Tools selbst verkaufen dafür, dass die "Konkurrenz" möglichst schnell einem AV zugesendet wird (und schon gar frei verfügbare) ;)
D.h es wird schwer sein, einen kostenlosen Trojaner und Binder im Netz zu finden, der von keinem AV erkannt wird und auch noch keine "Geschenke" beinhaltet.

Also braucht der 0815 "Hackexperte" einen Packer/Obfuscator, der den Trojaner für den AV unkenntlich macht. Die Kids nennen das "Cryptor" (klingt cooler) und die gibt es wiederum zu kaufen oder "frei" (mit schon erwähnten Problemen). Der "Crypter" ist oft gleichzeitig auch ein Binder.

Diese Tools kann man grob in 2 Kategorien unterteilen:
1. "Anfänger-Cryptor" - entpackt verschlüsselte Malware auf die Platte und startet diese.
2. "Elite-Cryptor" - entpackt verschlüsselte Malware im Speicher.
D.h bei 1) kann man als Verkäufer hübsch mit VT-Scans angeben ("schaut mal, es ist FUD!" - FUD=fully undetectable!), allerdings wird die angehängte Malware auf einem Desktop-PC von quasi jeder AV-Software entdeckt, da diese (Malware) zwischendurch auf der Platte landet.

bei 2) muss die AV Software schon etwas mehr Aufwand betreiben - sprich Verhaltensanalyse & Co während der Laufzeit, im Prozessspeicher.

Die Kids nennen das "Scantime-FUD" und "Runtime-FUD"
(konnte mir den Sarkasmus nicht verkneifen, da man auch bei "Elite-Versionen" an den Fingern einer Hand die Fälle abzählen kann, bei denen der Autor auch wirklich verstand, worum es geht und nicht nur blind den Code kopiert hat :rolleyes: )
--------------------------
Jetzt kommen wir zum interessanten Part:
Die Exe, die Du hier gepostet hast ist in C(ev. mit C++ Elementen, kompiliert vermtultich mit MS C++ 8 ), und das was entpackt wird ist C/Delphi "Mix" (=> vermutlich FreePascal).
Damit spielt es automatisch in einer "höheren Liga" (da kein VB, NET oder AutoIt & Co :rolleyes: ) - wofür auch ausreichende Fehlerbehandlung für Systemfunktionsaufrufe & Co spricht. D.h es wäre erstmal auch möglich, dass der Code Anti-Debug/Anti-VM verwendet, die ich nicht kenne/finde.

Allerdings wäre für solchen Code passender, die Malware im Speicher zu entpacken und auch möglichst die Systemfunktionsaufrufe zu verschleiern (beides nicht der Fall).
Da der erste Scan bei VT auf den 9 Mai 2013 datiert ist, müsste es schon ein sehr selten verwendeter Trojaner oder Crypter sein, dazu noch "hochwertig genug", um sich vor dem Debugger/VM zu schützen und nicht aufzufallen. Die "Halbwertszeit" eines 0815 Malwaretools ist (genauer gesagt: war vor paar Jahren) üblicherweise 3-5 Wochen.

Ergo: jemand muss so ein Teil selber schreiben oder relativ viel Geld ausgeben, damit der Autor das nicht an weitere Leute verkauft, um es dann nur "unter der Hand" weiterzureichen und sich nur mit wenigen "Opfern" zufrieden zu geben. Unüblich/etwas unrealistisch ;)
 
Ja, habe auch mal mit DarkComet (hieß das glaub ich) Trojaner erstellt.

Nen wenig kenne ich mich da auch aus...
Aber danke für deine ausführliche Beschreibung und Hilfe ! :)
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben