Rất cám ơn HVA và "hiệp sỹ" TQN.
Nếu bạn có thể post lên đây bản Unikey sạch cho mọi người tải về thì hay quá. 

.rdata:00426230     szError0xxreadingInitSecurityInterfaceentrypoint:
.rdata:00426230                                             ; DATA XREF: LoadSecurityLibrary+11Ao
.rdata:00426230             unicode 0, <Error 0x%x reading InitSecurityInterface entry point!>,0

125 if(pInitSecurityInterface == NULL)
126 {
127 message("Error 0x%x reading InitSecurityInterface entry point.\n",
128 GetLastError());
129 return FALSE;
130 }
 

PS: Công nhận ông nội Wu Yu Zheng gì đó nhanh tay thật, chỉ một đêm một ngày đã vắt chân lên cổ đi xoá hết thông tin về mình rồi  

Đụng tới thằng Wu Yu Zhen, tụi nó lo sốt vó, sợ lộ tới nơi nên DDOS giằng mặt đấy mà !
To ngnamhungntt@gmail.com : Bán camera an ninh thì lo bán đi nha ông nội, đừng dính dáng vào mấy chuyện chính trị nha ! Bữa nào em ghé vào công ty anh mua vài cái camera nhé, bán giá gốc nhé ! 

cNTIpREejQAQ5Jco/QPFOOlS8f+67AV0NaQB5NB5h64=
oNIx2zknAa67WFSorZQv/Q==
slIbnSGRCPPsJeFM/jPcYQ==
90/u7E7RZcQ=
 

cNTIpREejQAQ5Jco/QPFOOlS8f+67AV0NaQB5NB5h64=
oNIx2zknAa67WFSorZQv/Q==
slIbnSGRCPPsJeFM/jPcYQ==
90/u7E7RZcQ=
 

cNTIpREejQAQ5Jco/QPFOOlS8f+67AV0NaQB5NB5h64=
oNIx2zknAa67WFSorZQv/Q==
smtp.gmail.com
587
False
1TtkPA9wSPz7EXzOGfb+0A==
Az93AnVF5+c=
Az93AnVF5+c=
 

using System;
using System.Collections.Generic;
using System.Text;
using System.IO;
using System.Security.Cryptography;

namespace Decode
{
    public class cTripleDES
    {
        private byte[] m_key;
        private byte[] m_iv;
        private TripleDESCryptoServiceProvider m_des = new TripleDESCryptoServiceProvider();
        private UTF8Encoding m_utf8 = new UTF8Encoding();

        public cTripleDES(byte[] key, byte[] iv)
        {
            this.m_key = key;
            this.m_iv = iv;
        }

        public string Decrypt(string text)
        {
            string str = null;
            byte[] buffer = null;
            byte[] bytes = null;
            try
            {
                buffer = Convert.FromBase64String(text);
                bytes = this.Transform(buffer, this.m_des.CreateDecryptor(this.m_key, this.m_iv));
                str = this.m_utf8.GetString(bytes);
            }
            catch (Exception ex)
            {
                Console.WriteLine(ex.Message);
            }
            return str;
        }

        public byte[] Transform(byte[] input, ICryptoTransform cryptoTransform)
        {
            CryptoStream stream = null;
            MemoryStream stream2 = null;
            byte[] buffer = null;
            stream2 = new MemoryStream();
            stream = new CryptoStream(stream2, cryptoTransform, CryptoStreamMode.Write);
            stream.Write(input, 0, input.Length);
            stream.FlushFinalBlock();
            stream2.Position = 0L;
            buffer = new byte[((int)(stream2.Length - 1L)) + 1];
            stream2.Read(buffer, 0, buffer.Length);
            stream2.Close();
            stream.Close();
            return buffer;
        }
    }

    class Program
    {
        static void Main(string[] args)
        {
            byte[] key = new byte[] { 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 0x10,
                                      0x11, 0x12, 0x13, 20, 0x15, 0x16, 0x17, 0x18 };
            byte[] iv = new byte[] { 0xff, 70, 60, 50, 40, 30, 20, 10 };
            cTripleDES tripleDES = new cTripleDES(key, iv);
            string str = tripleDES.Decrypt(args[0]);
            Console.WriteLine("String decoded: " + str);
            Console.ReadLine();
        }
    }
}

Hì hì, anh em STL theo dõi topic này kỹ vậy à, cái http://speed.cyline.org - port 443 đành phải hy sinh nó à, uổng vậy. Mấy anh giàu thiệt nha, thuê host tuốt bên Pháp luôn à. Chắc thấy cái URL có Computer Name: ThangChaMayTuiSTL và UserName: OngNoiMayNe nên lo đóng host rồi phải không ?
Có anh em cao thủ giấu mặt PM cho em nói em nên im lặng, âm thầm theo dõi để cái host này cập nhật malware rồi trace tiếp. Nhưng em lại không đồng ý. Với số lượng lớn computer bị nhiểm fake Unikey như vầy thì chỉ trong vòng 1h, "mèo què" của STL lan tràn vài triệu máy (SleepEx của mấy anh STL đấy), em thì lo việc ngoài suốt, đâu rãnh rỗi mà ngồi track xem cái BlueSphere.bmp dùng steganography cập nhật "mèo què" mới được ?!. Thông cảm cho em, chặn từ đầu luôn, dập luôn cái kỹ thuật phát tán "mèo què" mới nguỵ trang file bmp này, dùng bmp đánh lừa bà con, trong đấy lại nhúng URL và nhúng Exe.
Rảnh rỗi thì em sẽ post phân tích về kỹ thuật steganography mà tụi STL này đang dùng. Bà con đợi xem nhé.

Em có một bài tập cho anh em RCE đây: trong file FakeUnikey.rar mà em đã post ở Mediafire, có 2 file .bmp: flower.bmp và BlueSphere.bmp. Bà con hảy phân tích tụi STL dùng kỹ thuật steganography gì để extract URL và Exe nhúng trong hai file .bmp đó ? Gợi ý: 2 file bmp đó định dạng gì, row, col ra sao, thuật toán extract data em đã sơ bộ mô tả trong file uxtheme.idb ! 2 file bmp đó được download từ http://speed.cyline.org:443/xxx của tụi STL.

Thằng "Wu Yu Zheng" này thì chắc chắn là du học sinh của tàu khựa rồi, thằng tohoangvu thì để chình ình lên Facebook là từng học ở US về. Vậy có phải đám này là "du côn học sinh" không ? Ông nội nào có tiền thuê đám này thì giàu thiệt ha, lương mấy thằng này phải cỡ ngàn USD trở lên.

Đã vậy, thằng nào em không biết, 30/04, ngày nghỉ lễ, vậy mà vẫn ở nhà lọ mọ build "mèo què" ? Bó 3 chân.com luôn ! 

Hì hì, người bạn của em lại vừa gởi cho em một mẫu mới nữa của đám STL này. Mạo danh là file .doc. Viết = VC++ 2010. Anh em đợi em vài ngày. Em sẽ post kết quả "rờ c... em" lên.
File này hơi bị mới, build vào ngày 12-05-2011, 10h sáng. Đính kèm trong ruột (resource) của nó một đống "méo què" nữa.
Ai chà chà, dùng crypto Bas64, SHA-256 để mã hoá à, lần này lại nhắm vào IE nữa à. Chơi toàn interface của IE không ha ? Tiêu mấy anh STL nữa rồi.
Ặc ặc, lần này code lên tay quá rồi ha, chơi dùng SSL nữa ha:
Code:

Vftable  Method count Class & structure info          
-------  ------------ ----------------------          
00436AEC 0001         CKllPrss;  [SI]                 
004374F8 0008         CSHA256: CHash;  [SI]           
00437900 0001         TBuffer;  [SI]                  
004380F8 0002         CSSLFtp: CSSLSocket;  [SI]      
004381A4 0002         CSSLHttp: CSSLSocket;  [SI]     
0043844C 0002         CSSLMail: CSSLSocket;  [SI]     
00438DB4 0002         CSSLSocket;  [SI]               
004394B4 0001         CVcRcdXP;  [SI]

Copy code của CSSLSocket trên CodeProject phải không, mấy đại ca STL. Không lý mấy cậu có hẳn 1 team được tài trợ để ngồi code "méo què" à ?

CKillProcess thì chịu khó viết đầy đủ ra, coding standard đâu, đặt tên CKllPrss thì đố thằng nào hiểu. Còn CVcRcdXP là gì nữa đây ?

Bày đặt còn call native API của Ntdll.dll để antidebug nữa à. Mấy cái trò này mấy cậu học trong mấy cái article AntiRE, antiunpacking tricks phải không ?

Lần này khá hơn, xài rootkit nữa ha. Vậy là em phải install lại Win cho máy ảo VB của em để remote debug rồi.

Nhưng công nhận mấy anh code VC++ khá lắm đấy ! Nhưng chưa đủ để em đọc không hiểu đâu, vì em code System từ còn thời Win31 lận, thời mấy anh còn ở truồng tắm mưa mà

Mấy cái hàm này em RCE quen quá rồi, nhìn quen mặt luôn. Code của mấy anh là cái chắc, 100%.

Sẵn đây em nói luôn, đã build code ở mode Unicode thì Unicode 100% nhé, đừng lẫn lộn code, call API, C RTL functions cho ANSI, MBCS, UNICODE lung tung như vậy nhé. Mấy anh tìm document về TCHAR mà đọc đi nhé. Hay bữa nào gặp em, em seminar về TCHAR cho. Code vầy là không được đâu !

Lần này em nói trước nhé, mấy anh lo change pass và bảo vệ cái hộp mail và FTP account mà mấy anh đang dùng trong con này đi. Lần này em phá thẳng tay đấy ! Nói một lời thôi. Gmail có bug nên mấy anh login vào được và xoá hết victim's data à ! Lần này em sẽ không share pass nữa đâu nhé !

Vừa chat với Thoai, nghe câu của Thoại: "Thấy mình anh chinh chiến...", em thấy buồn thiệt, một mình em độc diễn, đơn độc. Anh em BKAV, CMC, các anh em RCE khác đâu hết rồi, vào giúp em với chứ ! 

http://www.openrce.org/downloads/details/73/VB5060DLLcall 

share tools hả, ok AE thử hàng này xem, chắc là cũ rồi:
Immunity Debugger (powerful new way to write exploits)
giới thiệu trên bt forum:
http://www.backtrack-linux.org/forums/tool-requests/34040-immunity-debugger-powerful-new-way-write-exploits-windows-wine.html
down, và giới thiệu:
http://www.softpedia.com/get/Programming/Debuggers-Decompilers-Dissasemblers/Immunity-Debugger.shtml
K0 biết bà con quen mặt tools này k0 nữa  

Không biết các bác nghĩ sao, chứ em bây giờ cũng bị lạc vào mê hồn trận của STL rồi. Theo thông tin em có thì em nghĩ là có tới 2 team, cùng đội lốt STL, cùng đánh phá các trang, blog chống đối chính quyền, nhưng lại cùng quay ra chơi nhau.

Tui nói vậy phải không Nguyễn Văn Tú: nguyen.v.tu1987@gmail.com. Chính cậu gởi tui hai file giả danh Screen Saver và Exe giả Doc. Mấy ngày nay tui mail vài mail hỏi cậu làm sao có mail Yahoo của tui, hỏi cậu vài câu cần xác thực, cậu lại im lặng, không trả lời. Cậu là STL đích thực phải không, muốn vu oan giá hoạ cho thành viên bên team kia phải không ?

2 exception và các thành viên khác: Toàn bộ malware của STL (?) tui đã post link lên, các bạn đọc không kỹ thôi. Tui up ở thư mục này của mediafire: http://www.mediafire.com/?tz745o0f678w8

Và có bạn từ bên CMC sau khi gởi toàn bộ mẫu virus đó cho CMC đã PM thông báo cho tui CMC đã cập nhật và diệt được đám "mèo què" đó. Chân thành cảm ơn CMC và bạn.