Bisa terlihat jelas bahwa captionnya menggunakan string yang acakadut. No problem, we’re not invalid. Kita lewati saja captionnya dan langsung menuju ke window classnya. Sebagai PoC (Proof of Concept) berikut ini source aplikasi kecil yang bisa digunakan untuk mematikan proses ragnarok 2 cukup dengan mencari classnya. Assemble dan link menggunakan fasm.

 format PE GUI 4.0
 include 'win32a.inc'

;// code //
 push   .done
 push   dword [fs:0]
 mov    dword [fs:0],esp
 invoke FindWindow,szcls,0
 test   eax,eax
 jz     .done
 invoke GetWindowThreadProcessId,eax,dwpid
 invoke OpenProcess,PROCESS_TERMINATE,0,[dwpid]
 test   eax,eax
 jz     .done
 push   eax
 invoke TerminateProcess,eax,0
 call   [CloseHandle]
.done:
 pop    dword [fs:0]
 add    esp,4
 invoke ExitProcess,0

;// data //
 szcls db 'TFClnMain',0
 dwpid dd 0
 hproc dd 0

;// imports //
data import
 library kernel32,'kernel32.dll',user32,'user32.dll'
 include 'api/kernel32.inc'
 include 'api/user32.inc'
end data

Sekian dan terima kasih…

• Mengenal Lebih Jauh PCMAV v3.0

Pendahuluan
Anda mungkin sudah sering mendengar soal antivirus lokal bernama smadav. Kali ini kita akan membahas proteksi pada registrasi smadav, termasuk nantinya akan diberikan source code untuk membuat keygen smadav.

Proteksi Key Bajakan
Jika Anda memasukkan key bajakan pada smadav, maka otomatis smadav akan melakukan beberapa hal untuk menandai komputer Anda sebagai pengguna smadav bajakan. Berikut ini adalah cara yang ditempuh oleh smadav untuk membuat komputer Anda terdeteksi sebagai pembajak:

• Mengcopy file ke sistem dengan nama PIRAsys.dll (huruf A nya adalah karakter delta khas smadav)
• Menambahkan value lfPitchAndFamily (lagi-lagi menggunakan karakter delta) ke registry pada subkey HKCU\Software\Microsoft\Notepad
• Menambahkan baris berisi # 241.241.241.241 antipiracyworld.com pada file %WINDIR%\system32\drivers\etc\hosts

Jadi jika Anda selalu gagal memasukkan key, maka coba Anda hapus file, registry entry dan entry pada file hosts sesuai dengan petunjuk di atas.

Membuat Keygen
Proses pembuatan key pada smadav sebenarnya tidak terlalu rumit. Yang perlu diperhatikan adalah smadav menggunakan nilai magic . Selain itu, smadav hanya mengambil karakter alphanumeric pada nama. Jadi untuk satu key, kita bisa menggunakan banyak kombinasi nama, misalnya "TKP Crew", "TKP|Crew", "TKP-Crew" semuanya menggunakan 1 key saja. Ok, untuk mempersingkat waktu, berikut ini source code keygen smadav (untuk perusahaan):

#include <stdio.h>
#include <stdlib.h>

int
main()
{
  int i, j, len;
  char szname[50];
  unsigned int a[6] = {0, 0, 0, 99, 99, 00};
  const unsigned int magic[] = {
  0x26,0x38,0x39,0x39,
  0x63,0x0F,0x3A,0x0C,
  0x0D,0x11,0x13,0x12,
  0x58,0x3A,0x34,0x34,
  0x0C,0x0D,0x0C,0x39,
  0x34,0x62
  };

  printf(
  "-----------------------------\n"
  "Smadav 8.2 Keygen by TKP Crew\n"
  "-----------------------------\n"
  "Nama (tanpa tanda baca): ");
  fgets(szname, sizeof(szname)-1, stdin);
  strupr(szname);
  len = strlen(szname)-1;
  for (i = 0, j = 0; i < len; i++, j++)
  {
    if (j > 2) j = 0;
    a[j] += (szname[i] * len) % 0x64;
    if (a[j] > 0x64) a[j] %= 0x64;
  }
  for (i = 0; i < 5; i++) { a[5] = (a[5] + (a[i] * len)) % 0x16; }
  a[5] = magic[(int) a[5]];
  printf("Serial : %02lu%02lu%02lu%02lu%02lu%02lu\n",a[3],a[5],a[4],a[0],a[1],a[2]);
  return 0;
}

contoh keygen ketika dijalankan

C:\>key
-----------------------------
Smadav 8.2 Keygen by TKP Crew
-----------------------------
Nama (tanpa tanda baca): tkpcrew
Serial : 999999669943

C:\>

hasilnya adalah sebagai berikut

Penutup
Demikianlah artikel kali ini, semoga bermanfaat. Terima kasih kepada: Tuhan Yang Maha Esa, TKP Crew, SBKJ, INRev, dan Anda yang sudah membaca artikel ini

• Smadav 2010 Rev 8.1 Key
• Decrypting Smadav Loov Database
• Decrypting Morphost Antivirus Database
• [Iseng] Test Antivirus Lokal
• Mengenal Lebih Jauh PCMAV v3.0
• MaleoAV Unofficial Review
• Apa perlu OS Linux ada AntiVirus ?
• Ansav for Linux & BSD 32-bit (beta)
• Reversing di GNU/Linux

Executable modules
Base       Size       Entry      Name       File version    Path
00400000   001B5000   00401344   Morphost   7.01            H:\--snip--\Morphost ß.exe
73420000   00153000   73421AF8   MSVBVM60   6.00.9802       H:\WINDOWS\system32\MSVBVM60.DLL
77120000   0008B000   77121560   OLEAUT32   5.1.2600.5512   H:\WINDOWS\system32\OLEAUT32.dll
774E0000   0013D000   774FD0B9   ole32      5.1.2600.5512   H:\WINDOWS\system32\ole32.dll
77C10000   00058000   77C1F2A1   msvcrt     7.0.2600.5512   H:\WINDOWS\system32\msvcrt.dll
77DD0000   0009B000   77DD70FB   ADVAPI32   5.1.2600.5512   H:\WINDOWS\system32\ADVAPI32.dll
77E70000   00092000   77E7628F   RPCRT4     5.1.2600.5512   H:\WINDOWS\system32\RPCRT4.dll
77F10000   00049000   77F16587   GDI32      5.1.2600.5512   H:\WINDOWS\system32\GDI32.dll
77FE0000   00011000   77FE2126   Secur32    5.1.2600.5512   H:\WINDOWS\system32\Secur32.dll
7C800000   000F6000   7C80B63E   kernel32   5.1.2600.5512   H:\WINDOWS\system32\kernel32.dll
7C900000   000AF000   7C912C28   ntdll      5.1.2600.5512   H:\WINDOWS\system32\ntdll.dll
7E410000   00091000   7E41B217   USER32     5.1.2600.5512   H:\WINDOWS\system32\USER32.dll

Klik ganda pada baris msvbvm60.dll untuk menuju ke library tersebut. Setelah berada pada modul msvbvm60, tekan Ctrl + N lalu cari fungsi __vbaFileOpen seperti ini:

734F3B5D   .text      Export     __vbaFileOpen

Setelah ketemu, tekan F2 untuk mengaktifkan breakpoint. Tekan F9 untuk mulai menjalankan morphost. Kita akan menemukan breakpoint pertama, lanjutkan dengan menekan lagi F9. Pada breakpoint ke-2 ini akan terlihat bahwa morphost mengakses file kernell.dat pada direktori sistem (Windows\system32):

0012F9CC   00157384  UNICODE "H:\WINDOWS\system32\kernell.dat"

Nah, file tersebut adalah file database morphost yang sudah didekripsi oleh morphost ketika dijalankan. Sebenarnya, key yang digunakan oleh morphost bisa terlihat ketika proses debugging. Namun untuk menghemat waktu, keynya saya berikan saja yaitu:

Database Morphost Antivirus

Decryptor

Source code berikut ini bisa digunakan untuk mendekripsi database morphost (bulan Mei 2010).

#include <windows.h>

#ifdef _MSC_VER
#pragma comment(lib,"kernel32")
#pragma comment(lib,"user32")
#pragma comment(linker,"/entry:main /subsystem:windows")
#endif

void
main()
{
  int i;
  char *p;
  HANDLE hfile;
  HGLOBAL hmem;
  DWORD dwsize, dwtemp;
  static const char *szkey = "Database Morphost Antivirus";

  if ((hfile = CreateFile("database.mrp", GENERIC_READ, 0, 0, OPEN_EXISTING, 0, 0)) == INVALID_HANDLE_VALUE)
  {
    MessageBox (NULL, "gagal membuka file database morphost", "error", MB_OK | MB_ICONERROR);
    ExitProcess(1);
  }
  dwsize = GetFileSize(hfile, NULL);
  hmem = GlobalAlloc(GPTR, dwsize);
  p = (char *) GlobalLock(hmem);
  ReadFile(hfile, p, dwsize, &dwtemp, NULL);
  CloseHandle(hfile);

  for (i = 0; i < (int) dwsize; i++) { p[i] ^= szkey[(i % 27)]; }

  if ((hfile = CreateFile("database.txt", GENERIC_WRITE, 0, 0, CREATE_ALWAYS, 0, 0)) != INVALID_HANDLE_VALUE)
  {
    WriteFile(hfile, hmem, dwsize, &dwtemp, NULL);
    CloseHandle(hfile);
    MessageBox (NULL, "database morphost berhasil didekripsi", "info", MB_OK | MB_ICONINFORMATION);
  }
  GlobalUnlock(hmem);
  GlobalFree(hmem);
  ExitProcess(0);
}

Dan berikut ini adalah database morphost yang sudah didekripsi (bulan Mei 2010)

Database Mei 2010
Database Morphost Antivirus
by:Morphic Karta
Terima kasih kepada pengguna Morphost Antivirus yang telah mempercayakan Morphost sebagai guard komputer.
Kami masih tetap berusaha untuk memberikan yang terbaik, baik dari sisi kenyamanan penggunaan sampai keamanan komputer anda.
Kami juga mengharapkan agar masyarakat juga mau membantu kami dalam pengembangan database Morphost bulan Juni 2010. Kirim/upload sampel malware pada kami.
Anda bisa berikan link download malware kepada kami atau mengirimkannya secara langsung pada kami. Terima kasih.
10 Juni 2010
14
580
581
582
583
584
1003DC=DeleteRegedit=Maret 2009=Ringan
100630=Playboy-A=November 2009=Ringan
103218=Aidid=Tidak Ada Data=Sedang
10C968=OpenSystem=Tidak Ada Data=Sedang
1181AB=Decoil-Dropper=Tidak Ada Data=Parah
119723=FullHouse=Tidak Ada Data=Sedang
11DC95=Iwing=Tidak Ada Data=Sedang
...

Penutup

Demikianlah artikel singkat kali ini, semoga bermanfaat. Terima kasih kepada Tuhan Yang Maha Esa, TKP crew, Kris Kaspersky, dan Anda yang telah membaca artikel ini

• Decrypting Smadav Loov Database
• Seputar Registrasi Smadav
• [Iseng] Test Antivirus Lokal
• Mengenal Lebih Jauh PCMAV v3.0
• MaleoAV Unofficial Review
• Apa perlu OS Linux ada AntiVirus ?
• Ansav for Linux & BSD 32-bit (beta)

• cari ukuran file smadav.loov
• ubah format ukuran ke DWORD dan ambil lower byte dari ukuran tersebut. misalnya ukuran file databasenya 28119 bytes, maka jika diubah menjadi DWORD (hex) menjadi 0x6DD7. nah, 0xD7 ini yang akan kita gunakan.
• selanjutnya kita baca mulai dari offset 0×20 dari file smadav.loov lalu setiap byte kita XOR dengan offset byte tersebut kemudian di XOR lagi dengan byte pada langkah sebelumnya (dalam hal ini 0xD7).
• ulangi sampai selesai

Proof of Concept

        format PE GUI 4.0
	include 'win32a.inc'

;[code]------------------------------------------------------------------------

	push	.done
	push	dword[fs:0]
	mov	dword[fs:0],esp
	invoke	CreateFile,szloov,GENERIC_READ,0,0,OPEN_EXISTING,0,0
	cmp	eax,INVALID_HANDLE_VALUE
	je	.done
	mov	[hfile],eax
	invoke	GetFileSize,[hfile],0
	mov	[dwsize],eax
	invoke	GlobalAlloc,GPTR,eax
	mov	[hmem],eax
	invoke	ReadFile,[hfile],[hmem],[dwsize],dwtemp,0
	invoke	CloseHandle,[hfile]
	movzx	edx,byte[dwsize]
	mov	eax,20h
	mov	ebx,[hmem]
.blah:	mov	cl,byte[ebx+eax]
	xor	cl,al
	xor	cl,dl
	mov	byte[ebx+eax],cl
	inc	eax
	cmp	eax,dword[dwsize]
	jl	.blah
	invoke	CreateFile,szdump,GENERIC_WRITE,0,0,CREATE_ALWAYS,0,0
	cmp	eax,INVALID_HANDLE_VALUE
	je	.clean
	mov	[hfile],eax
	invoke	WriteFile,[hfile],[hmem],[dwsize],dwtemp,0
	invoke	CloseHandle,[hfile]
	invoke	MessageBox,0,szmsg,szcap,MB_OK+MB_ICONINFORMATION
.clean: invoke	GlobalFree,[hmem]
.done:	pop	dword[fs:0]
	add	esp,4
	invoke	ExitProcess,0

;[data]------------------------------------------------------------------------

szloov	db "smadav.loov",0
szdump	db "smadav.dump",0
szcap	db "info",0
szmsg	db "decrypt selesai, silakan cek file smadav.dump",0
hmem	dd 0
hfile	dd 0
dwsize	dd 0
dwtemp	dd 0

;[imports]---------------------------------------------------------------------

data import
library kernel32,'kernel32.dll',\
	user32,'user32.dll'
include 'api/kernel32.inc'
include 'api/user32.inc'
end data

dan berikut ini snippet hasil dekripsi file smadav.loov yang ada pada smadav 8.2 beta

Penutup

Sekian artikel kali ini, semoga bermanfaat. Terima kasih kepada: Tuhan Yang Maha Esa, TKP Crew, Kris Kaspersky, dan Anda yang telah membaca artikel ini

• Decrypting Morphost Antivirus Database
• Seputar Registrasi Smadav
• [Iseng] Test Antivirus Lokal
• Mengenal Lebih Jauh PCMAV v3.0
• Smadav 2010 Rev 8.1 Key
• MaleoAV Unofficial Review
• Apa perlu OS Linux ada AntiVirus ?
• Ansav for Linux & BSD 32-bit (beta)

langsung saja, download di sini.

• [Iseng] Gara-gara Sebuah Modem
• Iseng Dengan Broom

/**
 * source code ini hanya untuk tujuan pembelajaran
 * TKP Crew tidak bertanggungjawab atas penggunaan
 * dan/atau penyalahgunaan source code ini.
 * USE AT YOUR OWN RISK. PERIOD
 */

#define WIN32_LEAN_AND_MEAN
#include <windows.h>
#include <winsvc.h>

#ifdef _MSC_VER
#pragma comment(lib,"kernel32")
#pragma comment(lib,"advapi32")
#pragma comment(lib,"user32")
#pragma comment(lib,"msvcrt")
#pragma comment(linker,"/entry:main /subsystem:windows")
#endif

#define VB_MAIN "ThunderRT6Main"
#define VB_FORM "ThunderRT6FormDC"

struct {
  char *szcls;
  char *szcap;
} targets[] = {
  {VB_MAIN, "Morphost"},                    /* morphost */
  {VB_FORM, "autodetect"},                  /* morphost rtp */
  {VB_FORM, "Sys Tray Interface"},          /* smadav rtp */
  {"TFAdvMenu", "PCMAV Advanced Options"},  /* pcmav*/
  {"TFScanRD", "FScanRD"},                  /* pcmav rtp */
  {VB_FORM, "Configuration Settings"},      /* sven7 */
  {VB_FORM, "Ganti Warna"},                 /* FS-2 */
  {"#32770", "$FS-2$"},                     /* FS-2 rtp */
  {"ansav#2194", "ANSAV - BETA"},           /* ansav */
}, victim;

void
unreg_svc()
{
  int i;
  SC_HANDLE hSvc1, hSvc2;
  SERVICE_STATUS svc_stat;
  const char *szsvc[] = {"PCMAVRTPService", "ANSAVDaemon"};

  for (i =0; i < 2; i++)
  {
    if ((hSvc1 = OpenSCManager(NULL, NULL, SC_MANAGER_ALL_ACCESS)) != NULL)
    {
      if ((hSvc2 = OpenService(hSvc1, szsvc[i], SERVICE_ALL_ACCESS)) != NULL)
      {
        ControlService(hSvc2, SERVICE_CONTROL_STOP, &svc_stat);
        DeleteService(hSvc2);
        CloseServiceHandle(hSvc2);
      }
      CloseServiceHandle(hSvc1);
    }
  }
}

BOOL
CALLBACK enum_proc(HWND hwnd, LPARAM lpar)
{
  int i;
  DWORD dwpid;
  HANDLE hproc;
  static char szcls[50];
  static char szcap[50];

  GetClassName(hwnd, szcls, sizeof(szcls)-1);
  GetWindowText(hwnd, szcap, sizeof(szcap)-1);

  for (i = 0; i < sizeof(targets)/sizeof(victim); i++)
  {
    if (strstr(targets[i].szcls, szcls) && strstr(targets[i].szcap, szcap))
    {
      GetWindowThreadProcessId(hwnd, &dwpid);
      if ((hproc = OpenProcess(PROCESS_TERMINATE, 0, dwpid)) != NULL)
      {
        TerminateProcess(hproc, 0);
        CloseHandle(hproc);
      }
      break;
    }
  }
  return 1;
}

void
main()
{
  __try {
    EnumWindows(enum_proc, 0);
    unreg_svc();
    MessageBox (NULL, "test antivirus lokal", "TKP", MB_OK | MB_ICONINFORMATION);
  }
  __except (EXCEPTION_EXECUTE_HANDLER) {
    ExitProcess(1);
  }
  ExitProcess(0);
}

• Seputar Registrasi Smadav
• Decrypting Morphost Antivirus Database
• Decrypting Smadav Loov Database
• Mengenal Lebih Jauh PCMAV v3.0
• MaleoAV Unofficial Review
• Apa perlu OS Linux ada AntiVirus ?
• Ansav for Linux & BSD 32-bit (beta)
• Daftar Mirror Repository Ubuntu IIX
• Reversing di GNU/Linux

wmic:root\cli>bios get name
Name
Phoenix ROM BIOS PLUS Version 1.10 A02

wmic:root\cli>process where name="foobar2000.exe" get executablepath,processid
ExecutablePath                                         ProcessId
H:\Program Files\multimedia\foobar2000\foobar2000.exe  1544

wmic:root\cli>

Untuk lebih jelasnya, beberapa class yang bisa digunakan bisa dibaca pada bagian referensi. Setelah bermain-main dengan wmic, tiba saatnya warm-up code. Untuk pengujian kali ini, kita akan menggunakan objek WMI untuk mematikan proses smadav dan bukan hanya itu, kita akan menghapus smadav *cough* untuk tujuan pembelajaran *cough*. Berikut ini kodenya:

set sysobj = createobject("scripting.filesystemobject")
set wmiobj = getobject("winmgmts:{impersonationLevel=impersonate}!\\.\root\cimv2")
set target = wmiobj.execquery("select * from win32_process where name='SM?RTP.exe'")

'-- matikan proses smadav (rtp dan scanner)
'-- dan simpan pathnya ke variabel fpath
for each victim in target
  fpath = victim.ExecutablePath
  victim.Terminate(0)
next

'-- istirahat sebentar dan hapus smadav
wscript.sleep 1000
if sysobj.fileexists(fpath) then sysobj.deletefile(fpath)

Ingat, kode di atas disimpan menggunakan format unicode soalnya nama smadav menggunakan unicode. ok, sekian dulu tutorial singkat kali ini. Terima kasih kepada: Tuhan Yang Maha Esa, TKP Crew and you

referensi: MSDN: WMI Win32 Classes

• No Related Post

Sebagai contoh, saya melakukan setting supaya buddy pounce ini melakukan reply apabila orang lain sign in :

Pounce

Caranya adalah, pilih account kita untuk melakukan pounce, kemudian masukkan username lawan chatting Anda yang ingin di pounce pada kolom Buddy name. Setelah itu, pastikan posisi Sign on ter-check pada category Pounce when buddy … kemudian posisi Open an IM Window dan Send a message ter-check. Tulis pesan Anda pada kotak kolom di bawahnya dan terakhir adalah tekan Add.

Untuk mencoba-nya, suruh lawan chatting Anda sign out terlebih dahulu, kemudian sign in lagi. Dan apa yang terjadi pada window chatting teman Anda ? Selamat mencoba!

• No Related Post

Psychic

Fungsi dasar dari plugin psychic ini adalah untuk mendeteksi lawan chatting kita mengetik, namun sebelum lawan chatting kita selesai mengetik, kita telah mengetahui duluan bahwa kita sedang di ajak chatting. Cara pakainya, cukup aktifkan saja plugin tersebut pada pidgin Anda.

• Custom Smiley Pidgin
• Pidgin 2.5.4 Available
• Pidgin 2.5.3 Available
• Masih mau menggunakan Yahoo! Messenger ?
• Kelemahan reminder password pidgin
• Chatting Facebook via Pidgin
• IRC on Pidgin, bisakah ?
• Fitur penting dalam pidgin
• Pidgin-Yahoo! Error
• Menambahkan auto-reply di pidgin

Sebenarnya fungsi ini tidak begitu penting bagi Anda yang sering di depan komputer, namun fungsi ini cukup mengganggu apabila tidak diaktifkan (apalagi bagi saya yang sering lompat-lompat PC dan sering idle). Fungsi ini adalah untuk memberikan notifikasi bahwa ada pesan yang belum terbaca, pada messenger Anda.

Conversation Preferences

Karena saat saya menulis post ini belum ada release baru dari developer pidgin secara official, maka berikut patch pidgin.dll dari member datallah (related tickets). Silakan download patchnya di sini, sebelum apply patch baru, ada baiknya Anda melakukan backup file pidgin.dll pada folder instalasi Pidgin. Setelah melakukan backup, replace file pidgin.dll dari default instalasi Pidgin 2.7 dengan patch di atas.

pidgin.dll.patch

Jikalau nanti release terbaru sudah muncul, maka upgrade-lah pidgin Anda Enjoy

• No Related Post