Detected Detour

Join Date: May 2012

Posts: 13

Was ich vielleicht noch erwähnen könnte wäre ist, dass der Hack nicht
gleich detected wird sondern erst nach ca. 30sek bis max. 2min.
E9 hält länger als E8 ... E8 wird sofort nach der Injection erkannt!

Außerdem habe ich HideModule(hinstDll); probiert.
XTrap erkennt leider das etwas nicht stimmt, aber weiß nicht genau was.
Also bei der HackShield-Meldung wird kein Pfad zur Datei angezeigt.

Spoiler

CPP Code:

 
void HideModule(HINSTANCE hModule)
{
        DWORD dwPEB_LDR_DATA = 0;
        _asm
        {
        pushad;
        pushfd;
        mov eax, fs:[30h];
        mov eax, [eax+0Ch];
        mov dwPEB_LDR_DATA, eax;
        mov esi, [eax+0Ch];
        mov edx, [eax+10h];
        LoopInLoadOrderModuleList:
                lodsd;
                mov esi, eax;
                mov ecx, [eax+18h];
                cmp ecx, hModule;
                jne SkipA
                mov ebx, [eax]
                mov ecx, [eax+4]
                mov [ecx], ebx
                mov [ebx+4], ecx
                jmp InMemoryOrderModuleList
        SkipA:
                cmp edx, esi
                jne LoopInLoadOrderModuleList
InMemoryOrderModuleList:
        mov eax, dwPEB_LDR_DATA
        mov esi, [eax+14h]
        mov edx, [eax+18h]
        LoopInMemoryOrderModuleList:
                lodsd
                mov esi, eax
                mov ecx, [eax+10h]
                cmp ecx, hModule
                jne SkipB
                mov ebx, [eax]
                mov ecx, [eax+4]
                mov [ecx], ebx
                mov [ebx+4], ecx
                jmp InInitializationOrderModuleList
        SkipB:
                cmp edx, esi
                jne LoopInMemoryOrderModuleList
InInitializationOrderModuleList:
        mov eax, dwPEB_LDR_DATA
        mov esi, [eax+1Ch]
        mov edx, [eax+20h]
        LoopInInitializationOrderModuleList:
                lodsd
                mov esi, eax      
                mov ecx, [eax+08h]
                cmp ecx, hModule      
                jne SkipC
                mov ebx, [eax]
                mov ecx, [eax+4]
                mov [ecx], ebx
                mov [ebx+4], ecx
                jmp Finished
        SkipC:
                cmp edx, esi
                jne LoopInInitializationOrderModuleList
        Finished:
                popfd;
                popad;
        }
}

Des weiteren: FreezeXTrap per Thread (Keine Ahnung derzeit wie man das benutzt)

Spoiler

CPP Code:

 
DWORD WINAPI FreezeXTrap()
{
    while(1)
    {
        DWORD XTrapPID = GetProcessId("XTrap.xt");
 
        if(XTrapPID != 0)
        {
			_NtSuspendProcess NtSuspendProcess = (_NtSuspendProcess) GetProcAddress( GetModuleHandle( "ntdll" ), "NtSuspendProcess" ); 
            HANDLE XTrap = OpenProcess(PROCESS_ALL_ACCESS, false, XTrapPID);
            NtSuspendProcess(XTrap);
 
            return 0;
        }
        Sleep(5000);
    }
}

Ich danke für eure Hilfe bzw. euren Ideen
Habe heute keine Lust mehr dazu

mfg Tom