18 Mart 2010, Perşembe
saat: 11:03
hic duzgun yazmaya kasasim yok, o yuzden aynen IM'den mine'ye agladigim gibi yapistiriveriyorum:
evet baya iyi
adamlar bytecode kontrol ediyorlarmis
ntdll'in exportlarina bakip, 5-6 api bulup, sonra iyice emin olmak icin ilkinin bytecode'unu kontrol ediyorlar
aman abi
bi hata olmasin yani
arada boyle sacma sapan seyler var bi de
stack'deki degerlerle bir seyleri xor'lamak filan
confuscate filan denenmis galiba
bak bastan alayim yaptiklari seyi cok guzel cunku
once advapi32 LoadLibrary ediyorlar
sonra EtwTraceMessage API'inin adresini ogreniyorlar
sonra advapi32'yu free ediyorlar
*sonra* EtwTraceMessage'i call ediyorlar
ki invalid handle ile
sey diye
"bismillahirahmanirahim" diyorlar o eventte
sonra ntdll export'larini gezip 5-6 tanesini buluyorlar
ilkinin bytecode'larini kontrol ediyorlar
en sonunda da gene advapi load/free edip, "amiiiin" diye bitiren bir etw mesaji yollamaya calisiyorlar (gene invalid handle ile)
bunlar DllMain'de
o yuzden ben bakiyorum
uhuuhuuhu
daemon tools. super abi. istedigin iso'yu dvd gibi gosteriyor boyle. cok sik.
