Пишем вирус..., Наконец написал. Опции

[FreeMan]

Почти каждый, кто изучает язык ассемблера, рано или поздно пишет вирус, некоторые люди пишут вирус, когда заканчивают изучать какой-нибудь язык программирования... Прежде чем читать то, что я буду писать ниже и понимать хоть что-нибудь, вы должны:
а) знать основные команды ассемблера
б) уметь пользоватся АПИ-функциями
в) взять где-нибудь (можно и у меня) TASM32 (можно и другой, но каждый компилятор имеет свои особенности).
г) отладчик (если собираетесь собственноручно создать зверька, то без отладки довольно трудно найти ошибки)
д) прогу, которая прикреплена (на неё вопит касперский, но это не вирус!!!! )
е) иметь здоровую голову (если вы хотите испортить все компы на Земле, то ваше место в больнице, а не здесь)
ё) ПОМНИТЬ, ЧТО ЭТОТ МАТЕРИАЛ ПРЕДСТАВЛЕН ТОЛЬКО В ЦЕЛЯХ ОБУЧЕНИЯ, И ЗА ПОСЛЕДСТВИЯ Я НИКАКОЙ ОТВЕТСТВЕННОСТИ НЕ НЕСУ
Вроде всё.

Теперь план обучения:
1) формат заголовка файла РЕ
2) разбор основных полей заголовка РЕ
3) методика заражения
4) дельта-смещение.
5) поиск АПИ
6) разбор используемых АПИ
7) пишем код
8) Reserved

[FreeMan]

FindFirstFileA - ищет файл в текущей директории

HANDLE FindFirstFile(

    LPCTSTR lpFileName,		// pointer to name of file to search for  
    LPWIN32_FIND_DATA lpFindFileData  // pointer to returned information 
   );

lpFileName - маска поиска
lpFindFileData - указатель на структуру WIN32_FIND_DATA (WFD)

Результат работы - если успешно, то возвращает хендл поиска, который нужен при использовании таким функциям как FindNextFile. Если провал, то возвращает -1.

Использование:

lea eax,[ebp+offset WFD32]
push eax ; указатель на структуру
lea eax,[ebp+offset FN4Search]
push eax ;указатель на маску поиска
call [ebp+_FindFirstFileA]

Структура для поиска WFD:

WFD32:
FAttr          dd 0 ;атрибуты найденного файла
FCrTime        dd 0,0 ;время создания
FLAcsTime      dd 0,0 ;время последнего доступа
FLWTime        dd 0,0 ;вр. последнего изменения
FSizeH         dd 0   ;старший кусок размера файла
FSizeL         dd 0   ;младший кусок
FRes           dd 0,0 ;зарезервировано
FName          db MAX_PATH dup (0) ;имя фала (полное)
AFName         db 13 dup (?) ;сокращённое в формате 8.3
;317bytes total