[CODE/AG/EN] XINGCODE3 Bypass

[.Potzi™]

ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ ϟ

PBYTE FindStartOfFunc(PBYTE Addy)
{
	if (!Addy) return Addy;
	while (true) if (compare((PBYTE)"\x55\x8B\xEC", "xxx", Addy--)) return ++Addy;
}

PBYTE FindPush(PBYTE sig, PCHAR mask, DWORD dwBase, DWORD dwLen)
{
	if (!dwBase) return nullptr;
	BYTE PushSig[5] = { 0x68, 0, 0, 0, 0 };
	*(PDWORD)(&PushSig[1]) = FindSignature(sig, mask, dwBase, dwLen, 0);
	if (*(PDWORD)(&PushSig[1]) == NULL) return NULL;
	return (PBYTE)FindSignature(PushSig, "xxxxx", dwBase, dwLen, 0);
}

bool bTriggered = false, bSuccess = false;
void bypass()
{
	DWORD dwCShell = FindCShell();
	if (dwCShell != NULL)
	{
		PBYTE BypassSig = FindPush((PBYTE)"XIGNCODE", "xxxxxxxxx", dwCShell, 5000000);
		if (BypassSig != nullptr)
		{
			PBYTE BypassFunc = FindStartOfFunc(BypassSig);
			if (BypassFunc && !memcmp(BypassFunc, (PBYTE)"\x55\x8B\xEC", 3))
			{
				Wrt((PBYTE)BypassFunc, (PBYTE)"\xB0\x01\xC3", 3);
				bSuccess = true;
			}
		}
	}
	bTriggered = true;
}
cBreakpoint* bp = NULL;
PBYTE pcheck = 0;
LONG WINAPI ExceptionHandler(EXCEPTION_POINTERS* e)
{
	if (e->ExceptionRecord->ExceptionCode != EXCEPTION_SINGLE_STEP) return EXCEPTION_CONTINUE_SEARCH;
	if (e->ContextRecord->Eip == (DWORD)pcheck)
	{
		e->ContextRecord->Esp -= 4;
		*(PDWORD)(e->ContextRecord->Esp) = e->ContextRecord->Eip + 0x2;

		e->ContextRecord->Eip = e->ContextRecord->Edx;
		bypass();
		return EXCEPTION_CONTINUE_EXECUTION;
	}
	return EXCEPTION_CONTINUE_SEARCH;
}

void Start()
{
	Sleep(1000);
	AntiHWIDBan();
	while (pcheck == nullptr)
	{
		Sleep(30);
		pcheck = FindPush((PBYTE)"DIRECTSHOW\x00", "xxxxxxxxxx", (DWORD)GetModuleHandleA("wolfteam.bin"), 5000000);
	}
	pcheck -= 2;
	bp = new cBreakpoint(ExceptionHandler);
	bp->SetBP((DWORD)pcheck);
	while (!bTriggered) Sleep(1000);
	delete bp;
}
BOOL APIENTRY DllMain(HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved)
{
	if (ul_reason_for_call == DLL_PROCESS_ATTACH)
	{
		//int iStaticModule = MessageBoxA(0, "Static CShell/Obj?", "", MB_YESNO);
		//if (iStaticModule == IDYES) Hook((PBYTE)GetProcAddress(GetModuleHandleA("kernel32"), "GetTempFileNameA"), (PBYTE)&xGetTempFileNameA, 5);
		HANDLE hThread = CreateThread(NULL, NULL, (LPTHREAD_START_ROUTINE)&Start, NULL, NULL, NULL);
		if (hThread != NULL) CloseHandle(hThread);
	}
	return TRUE;
}

[C0RE']

Wenn das wirklich funktionieren sollte warum dann der Release?

[.Potzi™]

Würdes es nicht funktionieren, würde ich mir doch nicht die Mühe machen und es hier veröffentlichen.

//RD

[C0RE']

Ich zweifle nicht an der funktionalität sonder warum du es veröffentlichst?

[ElswordHackerAgain!]

Ich zweifle nicht an der funktionalität sonder warum du es veröffentlichst?

(falls es funktioniert).... core es giebt auch leute die gern mal was releasen ohne gleich geld zu kassieren?

[MaBarker]

Originally Posted by ElswordHackerAgain!

(falls es funktioniert).... core es giebt auch leute die gern mal was releasen ohne gleich geld zu kassieren?

Siehe auch Warrock Szene dort gibt es viele Code releases sowie public addylogger etc.
Ausserdem sind die leute dort ansich auch sehr hilfsbereit
Obs geht weis ich nicht ist aber ein versuch wert ^^

[M4L1F1C]

ALLOT of not needed code, well this entire thing is worthless since it only removes the startup screen of xigncode.

Goodluck bypassing heartbeat

[.Potzi™]

Originally Posted by M4L1F1C

ALLOT of not needed code, well this entire thing is worthless since it only removes the startup screen of xigncode.

Goodluck bypassing heartbeat

You've got a lot of '****' clue friend.

//RD

[iMostLiked]

Lol.

[.Potzi™]

Guck dir den Code weiter unten an.

Falls du darauf hinaus willst, dass ich ihn selber geschrieben habe, nein habe ich nicht. Hab vergessen erwähnen, dass es nur kopiert ist.

[Ⓜiku Ⓗatsune]

Könnt ihr noobs mal Heartbeat emulieren undso?

[Vexallus]

u dont even need to bypass xigncode , just bypass it's detection list and u are done ...

[Ⓜiku Ⓗatsune]

Originally Posted by D4rkAdv3rs4ry

u dont even need to bypass xigncode , just bypass it's detection list and u are done ...

but but c.e?

[Vexallus]

Originally Posted by Ⓩone

but but c.e?

It's easy to use C.E in wolfteam if you've bypassed a couple of things , WinLicense is not the best protecter anyway ...

Can be unpacked easily using a dumper & Decrypter [if u are welling to read the functions using ollydbg.. ]

Btw , here is the heartbeat check link & other needed stuff...:

[joannis4861]

wie kan man dissen bypass verwenden habe über sowas keinen plan also wass ich mit den code anfangen soll und wass ich machen muss