什么刷TX 的QB都是假的，实例破解

cool147852369 · 发表于 2016-2-27 09:15

本帖最后由 cool147852369 于 2016-2-27 09:26 编辑

为了安全请在虚拟机中分析  ，火眼报告在下面
1.脱壳
此处略去
2.用OD载入如图
3.看看字符串发现如下内容……

这个**居然还在用SMTP 发信
所以，不说话进去看看  不过很可惜，密码已经被修改了
跟进
00473260=免费版刷.00473260 (ASCII "qwedsa123")

他的密码  ，目测是小号
也不深入探究了

总之记住，世界上没有免费的午餐的

所以发这个帖子做早饭了

破解例子如下
[url=]免费版刷钻软件.7z[/url]

没有屌丝通道……网盘什么的不让传

火眼报告：http://fireeye.ijinshan.com/analyse.html?md5=767ab1caf0f6a5d8d6b856e8c75af13f&sha1=1f4794613e6e956c30d74db69ac30e2eb2cfca02&type=1

文件名称

文件MD5

上传时间

[color=rgb(56, 56, 56) !important]免费版刷钻软件.exe
[color=rgb(56, 56, 56) !important]767ab1caf0f6a5d8d6b856e8c75af13f
[color=rgb(56, 56, 56) !important]2016-02-27 09:12:31
基本信息

文件名称：
免费版刷钻软件.exe
MD5：
767ab1caf0f6a5d8d6b856e8c75af13f
Sha-1：
1f4794613e6e956c30d74db69ac30e2eb2cfca02
文件大小：
652KB
创建时间：
2016-02-27 09:12:31
文件类型：
EXE
PEID信息：
Microsoft Visual C++ 6.0
文件注释：
本程序使用易语言编写(http://www.eyuyan.com)
文件描述：
易语言程序
文件版本：
1.0.0.0
版权所有：
作者版权所有请尊重并使用正版
产品名称：
易语言程序
产品版本：
1.0.0.0

火眼点评

远程注入其他进程;添加Windows防火墙例外，防止访问网络时被防火墙拦截;IE 代理服务器设置;在其他进程中申请内存;隐藏指定窗口;创建互斥体

危险行为监控

行为描述：远程注入其他进程
附加信息：
winlogon.exe

其他行为监控

行为描述：创建互斥体
附加信息：
"Vx_5"
行为描述：隐藏指定窗口
附加信息：
WTWindow : [免费版刷钻软件.exe]
行为描述：在其他进程中申请内存
附加信息：
%system%\winlogon.exe
行为描述：IE 代理服务器设置
附加信息：
关闭IE代理服务
行为描述：添加Windows防火墙例外，防止访问网络时被防火墙拦截
附加信息：
\??\%system%\winlogon.exe >> \??\%system%\winlogon.exe:*:enabledshell32.dll,-1

新增
删除
修改

注册表监控

HKEY_LOCAL_MACHINE\\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\F...[\??\%system%\winlogon.exe] = [\\??\\C:\\WINDOWS\\system32\\winlogon.exe:*:enabledshell32.dll,-1]
HKEY_LOCAL_MACHINE\\SYSTEM\CurrentControlSet\Services\SharedAccess\Paramete...[\??\%system%\winlogon.exe] = [\\??\\C:\\WINDOWS\\system32\\winlogon.exe:*:enabledshell32.dll,-1]

运行截图