Process_Terminate funktioniert nicht

[speedy]

Also unter Win7 tut sich mit dem Code überhaupt nichts. Prozess wird nicht beendet und Fehlermeldung oder sonstige Meldungen kommen auch keine.
Werd das dann mal in XP probieren und berichten.

Danke erstmal!

[Christian Seehase]

Moin Speedy,

zum einen:
Vielleicht wäre es da auch mal angebracht über einen Artzbesuch nachzudenken.

zum anderen:
Wenn ich mich recht entsinne konnte man Windows mal mit einer Art Whitelist bzw. Blacklist vorgeben, welche Programme gestartet werden dürfen, und welche nicht.
Das Ganze lief über Registryeintragungen.
Wo genau weiss ich im Moment leider nicht mehr, aber vielleicht hilft's bei der Problemlösung.

[Luckie]

Warum hat er Administratorrechte?

[mleyen]

begin
　if ProcessExists(cMetin2Exe) and GamingLimitReached then
　　Run('SuperFastShutdown.exe');
end;

[speedy]

@Luckie: Windows default... Naja als der Rechner installiert wurde hat er noch nicht in dem Ausmaß gezockt und im normalen Benutzer Account läuft nicht alles

Hab mal noch schnell XP auf nen alten Rechner und den Code von Aphton ausprobiert. Es passiert nichts. Auch das normale Process_Terminate funktioniert nicht. Abschießen über ein Programm funktioniert auch nicht, wenn das Programm als System-Account gestartet wird. Komisch (für mich) allerdings, dass der normale Taskmanager das ohne Probleme beendet.
Scheinbar wurde Hackshield aktualisiert, da es vor kurzem unter einem anderen XP noch ging.

Im Process Explorer hab ich so jetzt nichts auffälliges feststellen können. Falls es noch was hilft - Bei "Threads" gibt es folgende Einträge:
!Create Thread+0x38
!Create Thread+0x27 (ziemlich oft)
!InternetSetStatusCallbackA+0x1ca
ntdll.dll!RtlQueueWorkItem+0x2b5
ntdll.dll!RtlAllocateHeap+0x18c

Was ich sonst noch auf die Schnelle zu Hackshield finden konnte (aus dem Forum von cheatengine.org - Beitrag von 2006):
"-hackshield loads a driver to hide and protected himself.
-Hackshield detects many gamehacking tools e.g.: (SoftICE,OllyDBG,CheatEngine,ArtMoney,WPE (PRO) , ...)
-Cant inject dlls when hackshield is loaded(Solution: CreateProcess Suspended -> inject dll(s) -> and resume it)
-CheatEngine is the only tool who can see the game process, that hackshield trys to hide, but cant open it
-Hook LoadLibraryA/W and abort if hackshield trys to load dlls dont work. "

Der Treiber (c:\windows\system32\drivers\eaglent.sys - Unsichtbar, wird aber scheinbar nur unter XP geladen) erinnert dabei an ein Rootkit.

[DeddyH]

Um Christians Ansatz einmal aufzugreifen: vielleicht hilft das hier weiter.

[speedy]

Ja, das wäre wohl eine Möglichkeit, nur hab ich dann wahrscheinlich das Problem, dass ich wegen jeder Kleinigkeit die es zu installieren oder einzustellen gibt dort hinfahren muss.

[Assarbad]

Zitat von DeddyH:

Um Christians Ansatz einmal aufzugreifen: vielleicht hilft das hier weiter.

Vielleicht hat sich da inzwischen was getan, aber in NT4 und 2000 ließ sich exakt diese Policy leicht umgehen. Die Vielfalt der Löcher welche man stopfen müßte ist einfach zu groß. Und mit Adminrechten ist es ohnehin unsinnig auch nur zu probieren da Sachen zu verbieten.

Der erste Schritt ist Adminrechte entziehen. Dann kann man weitersehen. Auch den Prozeß zu killen (s.o.) macht eigentlich nur Sinn wenn das aus dem Weg ist.

TrustNoExe ist da schon eher eine Lösung. Und das funktioniert auch an Stellen wo die Policy nicht zuverlässig funktioniert.

[Luckie]

Was hindert ihn eigentlich daran deinen Prozess abzuschießen? Ich bin ganz Christians Meinung. Das Problem ist nicht mit einem Programm zu lösen. Allerdings bin kein Experte und habe keine Ahnung, ie man das Problem langfristig lösen könnte.

[speedy]

Daran hindert ihn im Grunde nichts, nur weiß er nichts von dem Prozess. Es funktioniert dann halt plötzlich nicht mehr