XTrap Memory Access Detection, Profi Tipps benötigt.

[Neku!]

Gestern habe ich paar Adressen gefunden die in Frage kommen könnten.
Einmal die SP Regneration, Cut Speed und noch paar andere.

Bei jede Adresse in der ich die Value ingame verändere meckert XTrap NICHT. Nur bei den besagten Adressen [siehe oben] da kommt ne Meldung "Memory Access detected" .

MrSm!th hat ja einen Bypass für die CheatEngine detection gemacht, kann man das nicht auch für die bestimmten Adressen machen?
Wie muss man da vorgehen, welche Datei von Xtrap muss man analysieren oder muss man da an dem Client selbst etwas ändern?

Brauche paar Tipps von Profis. Ich glaube zwar nicht das jemand brauchbare Infos dazu gibt aber man kanns versuchen. Bei Google findet man übrigens sehr wenig über die Xtrap Detection.

[MrSm!th]

Wie der Name schon sagt, wird Veränderung im Speicher verändert.
Natürlich muss man dort den Client bearbeiten und keine Datei.
Das ganze ist noch deutlich schwerer als ein rootkit Bypass und nichts für einen Anfänger.

[Neku!]

Also ja die veränderung im Speicher wird erkannt. Aber eben nicht von jeder Adresse, nur bestimmte. Und das alles ist in der S4Client.exe und nicht bei Xtrap festgelegt?

Ein wenig habe ich mich mit Ollydbg schon beschäftigt aber mein Wissen reicht noch lange nicht aus um die S4Client.exe zu entpacken so das ich es ohne Einschränkungen analysieren könnte.

Wie schwer ist die Verpackung dieser Exe mit Ollydbg zu cracken? Kann man das schnell lernen oder muss man da schon viel Zeit investieren?
Persönliche Frage:
Hast du die aktuelle Exe schon entpackt und wenn ja, wie lange hast du dafür ungefähr gebraucht?

[MrSm!th]

Doch, bei XTrap.
XTrap kontrolliert ganz bestimmte Adressbereiche.

Unpacken ist extrem schwer, da Themida und gleichzeitig unnötig.
Dynamische Patches reichen.
Allerdings ist XTrap sehr kompliziert und nichts für einen Anfänger.
Ich habe mir selbst noch nicht so genau die Memory Access Detection angesehen, aber es scheinen VirtualQuery und VirtualProtect genutzt zu werden, aber kein ReadProcessMemory.
Also wird es wohl über C Funktionen wie memcpy laufen und die alle zu patchen, wird schwer, da sie inline sind (heißt, es wird kein Aufruf zur Funktion generiert (call), sondern die Funktion wird an die entsprechene Stelle kopiert. So kann man sie nicht an einem zentralen Punkt verändern).