Blog von eddy14

RSDF – Reverse Engineering

Es war wieder mal einer dieser langweiligen Tage. Ich hatte nichts zu tun so suchte ich mir ein paar Filme aus der Gulli:Börse.
Als wäre ich nicht schon genug genervt, sprangen mir hier und da nur CCF und RSDF Dateien vors Gesicht. Ich hatte es satt mir immer Threads auszusuchen wo die Links im Klartext da lagen (um dann mit etwas Glück zu hoffen, dass die Links nicht schon verpetzt sind).
Auf der Suche nach CCF oder RSDF für Linux stieß ich nur auf Hilfeschreie von armen Linux Nutzern. Ihnen musste jemand helfen!
Kurze Zeit später fand ich heraus, dass der hervorragende jDownloader das RSDF Format unterstützte. Also ging ich (schon wieder, nach meinem letzten Problem) zurück in den IRC Channel des jDownloader Teams (irc.freenode.org #jDownloader).
Nach einer kleinen Probe ob ich nichts böses mit dem RSDF Format hätte (Bin ich ne Petze? ) kamen auch nette Antworten von thomas_sch welches mich auf den Thread im Gulli Board aufmerksam machte. Genauer genommen, die Beiträge von Kugelfisch23.
Er fand durch Reverse Engineering den Key zum entschlüsseln für das RSDF Format, und zugleich die Verschlüsselungsmethode.
Ich war glücklich über die Scripte dort, doch dieser eine Drang in mir der schon seit Tagen nach Hardcore Assembler und Reverse Engineering schreit hielt mich nicht davon ab selbst zu reversen!
Ich suchte mir erstmal ein paar Downloader (wusste bis dato nicht mal von welchen Downloadern diese Formate unterstützt werden) und fand dann MSD und RSD. Ich nahm mir RSD vor (ich glaub, MSD hat nicht mal einen RSDF Support). Nach einer kleinen Spritztour durch den PE Explorer hatte ich eine von UPX befreite RSD.exe
Nach meinen Misslungenen Versuchen die rsdf.dll aus dem YouCryptJunior Ordner aufzurufen, schmiss ich doch Olly mal an.
Och, sah ganz interessant aus. Bisschen nach Strings umgeschaut (hätte gedacht es wäre DeDe nötig gewesen, aber so einfach wie das Programm aufgebaut war, ging es leicht) und ich fand etwas viel versprechendes “Erstelle rsdf …”. Na das klang doch super!
Schnell hingejump, bisschen gebreaked und umgeschaut.
Die ganzen CALLs habe ich studiert und dokumentiert/kommentiert. Am Ende wusste ich wohl mehr darüber bescheid wie RSD arbeitet als der Programmierer selbst (welcher Anscheinend die DCPcrypt Komponente für Delphi genutzt hat um SHA und AES einzusetzen, nebenbei noch Base64 wahrscheinlich mit einer anderen Komponente)
Ich kam soweit dass ich die Links entschlüsselt anblicken konnte (habs dann auch so gepatched dass es mir per MessageBox die Links einzeln anzeigen konnte), aber viel weiter kam ich (heute) noch nicht. Es sind nun ca. 8 Stunden vergangen. Ich kann ASM Code nicht mehr anblicken!

Morgen werde ich wohl das ganze Geheimnis um RSDF SELBER gelüftet haben (nachdem ich das verdammte Problem gelöst habe -.-)

Kommt mir bitte nicht mit “Du hilfst den Petzen” Comments, musste schon genug mit ansehen wie der arme Kugelfisch im Gulli:Thread fertig gemacht wurde, obwohl er für garnichts schuldig, und in allem was er sagte im Recht war.

//edit
So, ich gebe auf
Es wird von mir doch höhere AES Kenntnisse vorrausgesetzt. Da ich aber so gut wie 0 Ahnung davon habe, komm ich auch nicht weiter
Aber die Informationen die ich wollte, hab ich sowieso alles. War schon in der Endphase
Hier der Aufbau der RSDF Datei:
1.) Datei wird in 2-Byte Schritten von Hex zu Ascii umgewandelt
2.) Es ergibt sich ein base64 String. Dieser wird decoded.
3.) Es ergibt sich ein AES Ciphertext. Dieser wird decoded und man hat die Links
Der Key für AES müsste das folgende sein:
8C35192D964DC3182C6F84F3252239EBFFFFFFFFFFFFFFFF
kA wieso ich einen anderen Key als Kugelfisch habe :S Vermutlich hab ich genau da einen Fehler gemacht. Hab dann nach Stunden voller Schweiß mich doch dazu verleiten lassen in das fertige Python Script zu schauen.
Als ich die Zeile mit “IV” und den ganzen “FF”s sah, wurde mir klar dass ich keine Ahnung von AES hatte. Wie sollte ich dann herausfinden wie das ganze funktioniert? Ich weiß ja nicht mal was dieses IV ist
Naja, ich gebe dann halt auf, 4 Tage sind genug für ein Dateiformat

This entry was posted on Thursday, January 10th, 2008 at 18:44 and is filed under IT Security, Reverse Engineering. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.