[Anti-PE-Identification] DotNet-Undetector

Hola Elitepvpers-Com

[Only registered and activated users can see links. Click Here To Register...]

[Only registered and activated users can see links. Click Here To Register...]

Virustotal.com-Report:

[Only registered and activated users can see links. Click Here To Register...] (4 / 40) Detections: "Gen:Variant.Strictor.2272" (?) & "W32/Obfuscated.H6!genr" (It isn't even obfuscated)

I guarantee that this executable is 100% free of malicious code!
This program was written in DotNet-Language, the patch was applied to it.
You can decompile it to check for malicious code, it isn't obfuscated.

Wenn es hält was es verspricht - Lob!

"An Error occured while Patching!"

Wenn ich es bei deinem Tool selbst anwende oder auch an einem von mir(mit .Net 4 erstellt).

Quote:

Originally Posted by -PinkiWinki- "An Error occured while Patching!" Wenn ich es bei deinem Tool selbst anwende oder auch an einem von mir(mit .Net 4 erstellt).

Bei meinem Tool ist es schon angewendet.
Lass mir das Programm welches du patchen wolltest (mit .Net Framework 4) bitte einmal zukommen, dann kann ich den Fehler untersuchen :)

Btw. RDG Packer Detector erkennt das es sich um ein .Net Programm handelt. Genauso wie Reflector & JustDecompile, macht also wenig sinn, glaube kaum das die meisten vorher mit PEiD oder sowas schauen eher öffnen sie direkt Reflector :)

Würde da eher gewisse fehlerhafte Werte in den Header hauen, dann spucken die meisten Decompiler schon einmal Fehlermeldungen aus.

Wahrscheinlich meckert VirusTotal wegen deines Trojaner-Icons...

Genau der EntryPoint ist nämlich der Punkt, der verweist auf den einzigen Import einer .NET Exe: _CorExeMain, dafür brauchst du nicht mal PEiD :P
Eben Imports in LordPE o.Ä. angucken und schon siehst du, ob's .NET ist oder nicht (Was natürlich nicht geht, wenn die .NET Exe z.B. mit einem Delphi Wrapper geschützt ist wie es bei .NET Reactor oder irgendeinem anderen .NET Protector war).

Deine .NET Exen-Erkennung lässt aber zu wünschen übrig und das VirtualOffset und das RawOffset auszulesen, um das FileOffset zu berechnen, hätte jetzt auch nicht viel länger gedauert.

Btw. lässt sich eine .NET Exe immer noch mit
"00 00 00 00 00 00 00 00 5F 43 6F 72 44 6C 6C 4D 61 69 6E 00 6D 73 63 6F 72 65 65 2E 64 6C 6C 00 00 ?? 00 00 FF 25"
erkennen, also kurz vor dem Entry Point.

OOooohkay also macht das Projekt wenig Sinn ^^
War auch nur ein 2 Minuten-Projekt, dann lass ich den Thread schließen.

Danke für die Hinweise!