Bitte um Mithilfe bei Analyse eines verdächtigten Tools.

[WorriedMember]

Hallo,

Ich spiele PvP in einem Online-Rollenspiel. Schon seit geraumer Zeit wird eine konkurrierende Gilde verdächtigt, 3rd-Party-Tools wie z.B. (Aim-)Bots bei Turnieren und Einzelspielen einzusetzen.

Vor ein paar Tagen wurde mir tatsächlich ein verdächtiges Tool zugespielt, das von besagter Gilde stammt. Falls es sich bei dem Tool tatsächlich um ein Aimbot handet, habe ich die Absicht, die Game-Developer und auch die betroffene Spielgemeinde darüber zu informieren.

Da ich mich mit der Materie nicht sonderlich gut auskenne, und mir keine Dokumentation zur Verfügung steht hinsichtlich Potential, Bedienung, Feature-Liste und so weiter, möchte ich die 3Dc-Gemeinde um Hilfe bitten.

Folgende Dinge konnte ich schon in Erfahrung bringen:

- Das Tool scheint auf AutoHotKey zu basieren.

- Man kann Makros definieren, die man ein- und abschaltbar automatisiert in Schleife laufen lassen kann. Obwohl ich schon alleine diese Funktion für sehr unsportlich halte, scheint es sich nicht wirklich zu unterscheiden von dem, was z.B. diverse programmierbare Gaming Hardware wie Tastaturen oder Spiel-Mäuse erlauben würden.

- Das Tool nutzt anscheinend Bit blit (http://en.wikipedia.org/wiki/Bit_blit). Könnte das auf Aimbot-Funktionalität hindeuten bzw. dass Spell-Symbole (Buffs/Debuffs) ausgelesen werden und darauf basierend automatisiert, ohne manuellen User-Input, Makro-Combos ausgeführt werden können?

Gibt es hier Experten, die mir weiterhelfen können? Vielleicht kann man das Programm dekompilieren? Ist es nur ein relativ harmloses Makro-Tool oder ein voll ausgewachsenes Hacking-Tool? Was genau macht das Programm?!

Aus Sicherheitsgründen möchte ich das Tool nicht für jeden öffentlich zugänglich machen. Auch habe ich ich mit Absicht nicht den Titel des betroffenen Spiels erwähnt. Auf Anfrage kann ich per Forum-Mail einzelnen Membern hier das Tool zwecks Analyse zur Verfügung stellen. Allerdings kann ich noch nicht einmal ausschließen, dass das Tool frei ist von Schadroutinen (Vorsicht!). Also, wer mutig genug ist und Lust auf etwas Detektiv-Arbeit hat, meldet euch bitte.

Vielen Dank für eure Mithilfe,

ein besorgtes Mitglied.

[Berni]

Also zumindest grundsätzlich würd ichs schonmal anschauen. Schick mal rüber.
Dekompilieren wirds aber wohl kaum jemand hier (so es denn wirklich ein Binärprogramm wäre und nichts skriptbasiertes), das dürfte den Rahmen des vernünftigen Aufwands etwas sprengen.
Kannst dus nicht starten und damit sehen welche Funktionen es im Spiel hat?

[WorriedMember]

Mail geschickt!

Kannst dus nicht starten und damit sehen welche Funktionen es im Spiel hat?

Zum Teil kann ich das, ja. Das Tool gibt beim Ausführen des Spiele-Clients eine Meldung aus, und zwar so etwas wie "<Client> erfolgreich abgefangen" (in der Taskleiste).

Das Programm besitzt anscheinend keine GUI, womit man etwas einstellen könnte.

Mit der NumLock und der Asterisk(*)-Taste kann man Keybind-Loops (de)aktivieren, die in einer seperaten Text-Datei abgelegt sind.

Viel mehr konnte ich allerdings bis jetzt noch nicht herausfinden.

[Berni]

PN ist raus, wie dort gesagt ists ein Autohotkey-Programm welches mittels ahk2exe in ein fertiges Binary gepackt wurde. Mehr Details schreib ich hier mal nicht, da das ja nicht wolltest.

[Milchkanne]

Falls du an einem Zweitgutachten interesse hast, schick mir das auch mal.
Allgemein lässt sich das sicherlich mit exe2ahk wieder in den Source zurückwandeln...
*edit* Ich seh gerade, dass ahk2exe das Resultat auch mit einem Passwort schützen kann... Ich frage mich wie das funktionieren soll, wenn das Programm doch ausführbar bleiben muss.

[Berni]

In dem Fall lies es sich problemlos mit exe2ahk entpacken (war kein Passwort drauf), er hat den Source des Scripts sowie auch die Analyse bekommen.

Wenn ich die ahk2exe-Seite so lese, dann klingt es für mich so als ob es nicht wirklich sicher wäre sondern die Sicherheit eher darin liegt weil die exe2ahk halt standardmäßig das nicht entpacken kann (also eher Security by Obscurity). Es wird wohl auch nicht das gesamte Binary (also Autohotkey selber) verschlüsselt sondern nur das Script selber. Könnte höchstens sein, dass es da irgendein Code-Kompilat gibt was AHK lesen kann aber nur schwer menschenlesbar/rückführbar ist (also so ne Art Bytecode)...