汉化补丁V2最终版有病毒，D3D9.DLL代码分析交流

k8net

! I3 R! H7 C! f9 k# i
解压缩安装，其实就是两个目标文件夹，分别是 bin 和data , 我分析过了DATA文件夹是绝对安全的汉化包文件，包含的是汉化的界面和对话。至于BIN目录，有一个D3D9.DLL文件，360查杀到是 BACKDOOR/HUPIGON.965 , 这个病毒跟网络流行的盗号木马一样，通过感染D3D9,D3D8.DLL从而造成游戏卡机，缓慢。删除了这个文件，游戏又无法运，我始终坚信，3DM是不会放毒的，鸟姐姐是无辜的，大家看到有说病毒的也都是说那人菜，或者说杀软神经，我不是权威机构，无法证实这个安全性，但是我想鸟姐应该出来解释一下，或者建议3DM发布一些能通过安全验证的汉化补丁，造福广大玩家。总之，这个DLL，我是没敢覆盖。
, m& w8 f( {( Q8 e汉化，好像一直没见再升级了。
: z5 o# ~8 ?8 B+ u
! A" _. y1 ]0 d6 X; [6 `5 ^& b下图是全世界22大杀毒软件安全检测汉化补丁中D3D9.DLL文件的结果汇总（不含360）：
; _1 g. z! E6 {0 J( R, \


D3D9的部分代码分析：
" U7 D9 y  W1 ~5 ^7 a, C
p:? pbad exception   bad allocation  Engine.dll  F F c . d l l   F F C o r e . d l l     F i l e S y s t e m 2 . d l l   g u i 2 . d l l     Unable to allocate trampoline memory!   No trampoline space available!  Unable to allocate trampoline memory!   No trampoline space available!  bad allocation  lpBuffer    1   S h o w F u n c A d d r     2   S h o w F u n c A d d r     l i b r a r y . p a k   微软雅黑    Unable to allocate trampoline memory!   No trampoline space available!  Unable to allocate trampoline memory!   No trampoline space available!  bad allocation      rb  Imagehlp.dll    ImageLoad   ImageUnload bad allocation  bad allocation  D3DX9_XX.DLL    MSVCRXX.DLL CreateFileW KERNEL32    CreateFileA KERNEL32    ReadFile    KERNEL32    CloseHandle KERNEL32    MultiByteToWideChar KERNEL32    WideCharToMultiByte KERNEL32    CreateFontIndirectW GDI32   CreateFontA GDI32   CreateFontIndirectA GDI32   CreateFontW GDI32   %02d    .DLL    D3DX9_  %02d    .DLL    MSVCR   CreateFileW KERNEL32    ReadFile    KERNEL32    CloseHandle KERNEL32    MultiByteToWideChar KERNEL32    WideCharToMultiByte KERNEL32    WriteProcessMemory  KERNEL32    CreateFontIndirectA GDI32   SelectObject    GDI32   GetStockObject  GDI32   TextOutA    GDI32   TextOutW    GDI32   ExtTextOutA GDI32   GetGlyphOutlineW    GDI32   GetTextExtentPoint32A   GDI32   GetTextExtentPoint32W   GDI32   GetCharWidth32A GDI32   GetCharABCWidthsA   GDI32   GetTextMetricsA GDI32   GetTextMetricsW GDI32   GetOutlineTextMetricsA  GDI32   LoadImageW  USER32  DrawTextExW USER32  `O  NtQueryInformationProcess   NTDLL   GetProcAddress  MSVCR   错误    Unable to allocate trampoline memory!   No trampoline space available!  Unable to allocate trampoline memory!   No trampoline space available!  bad allocation  %s:%04X bad allocation  n o n a m e . l o g     bad allocation  1   2   \   Direct3DCreate8 Direct3DCreate9 Direct3DCreate9Ex   D3DPERF_BeginEvent  D3DPERF_EndEvent    D3DPERF_SetMarker   D3DPERF_SetOptions  D3DPERF_SetRegion   D3DPERF_GetStatus   D3DPERF_QueryRepeatFrame    ? pinvalid map/set<T> iterator vector<T> too long  map/set<T> too long
- @) p# i6 [2 d* F

5 p9 W; w  o9 v. \可以判断出，这个所谓D3D9并不是DX9C的那个D3D9，如果不用这个D3D9是无法正常完成汉化的工作的。它调用的这几个DLL始终还未明白作用。赛门铁克，卡巴斯基，江民，360，小红伞，瑞星都说了有毒，全世界22个著名的杀软都提示有毒，你说呢？
4 S4 p4 Q: D4 O; _( \+ K4 G0 `, p病毒库更新到最新。
% t7 \) e. `( l& \
一般替换寄存在内存中的字符串变量和常量，是不会引起大规模杀软报毒的。我没有汉化过软件，但是我从事过软件开发。学过C ,  VB.NET , C#.NET 自己开发的软件也有，我理解的汉化，其实就是两种，一种是有配置接口，通过接口来完成字符的翻译工作，这种汉化较为简单。另外一种就是对加载到内存中的文件和字符进行汉化，这种需要通过汉化软件来寻址和反复抓取数据来完成替换，这种相对比较累了。但是无论哪种，只要不符合病毒特征（主动下载，主动上传，主动联系系统底层接口），一般不会被查杀的。因为这不同破解补丁，破解补丁，是通过反编或改变执行文件不在加载验证正版程序，最可能当成是病毒了。

D3D9病毒属于后门，也有的D3D9是灰鸽子变种，一般不格式化硬盘，不会表现的很明显。但是可以传播病毒，还可以盗号，还可以当做肉鸡被控制，当大规模攻击，例如DDOS，这样的肉鸡很值钱的。比如一些黑客攻击服务器的时候，例如大量的数据包让服务器宕机，那些数据包来自成千上万的肉鸡，当然，对于肉鸡来讲，除了电脑卡了点，资料泄露点，也影响不大，甚至根本没发觉有什么的。

( D1 [' m  B% b' T0 k
8 P+ h% H) {  U, [7 X  k