Реверсим фейк

Опять в моём скромном бложике какой то школьник выложил свой фейк, придётся реверснуть...


Инструмент:
IDR - Отладчик для Delphi приложений + База знаний Delphi7 kb7.bin

Фейк написан на Delphi 7, ничем не запакован и по этому отправляем его в IDR. После того как IDR завершит свою работу открываем первую форму видим следующее:

Тут всё ясно - фейк отправляет данные на почту. Попробуем достать эти данные из кода программы, для этого кликаем ПКМ по кнопке и выбираем обработчик события OnClick

По адресу 0052FF9A и 0052FFAC программа берёт данные из полей, далее вызывается некая функция по адресу 0052FFB5 - смотрим её: http://pastebin.com/yws2i6mX (она слишком большая и копировать её сюда я не стал.)

Функция это делает следующие:
1. По адресу 0052FB60 отправляет GET запрос с параметрами логин и пароль
2. По адресу 0052FB6D проверяет ответ сервера, если title равняется "Вход" значит данные не верны.
3. По адресу 0052FB74 проверяет результат функции POS если он равен 0 значит выполняем код отправки этих данных на почту

Достаём логин и пароль:

Пароль отправляется на этот же адрес:

С информативной темой.

Вывод: постить ссылки на фейки у мну в блоге лучше не стоит.

Ссылку на фейк по понятным причинам не даю.