Lijepo :)

Ima redundantnih dijelova, ali OK je :)

Mislim da ima svega 3-4 virusa koji koriste nativne API-je.

Sad će ih biti 4-5 :)

Napiši par bilješki, ima ovdje materijala i za poneki članak.. :>

Pa sigurno da ima greski =)
Sad sam ispravio dosta stvari ali mi je u VMware ostao kod koji sam preradio =)
recimo GiveMeGetProc odma puni proc_struc sa ntdll i LdrGetProcedureAddress =)
A sad citam ceo kernel32.dll da vidim sta se moze lepo prepisati u native api bez muke.
Recimo VirtualAlloc -> VirtualAllocEx,-1 -> NtAllocateVirtualMemory
onda CloseHandle u NTClose
pa OpenProcess u NtOpenProcess
pa WriteProcessMemory u NTWriteProcessMemory i mali milion drugih koje nije tesko preraditi u native api =)

Ali je cudno koliko covek bolje shvati ovaj sistem recimo sve funkcije za manipulaciju memorijom i procesima obavezno imaju process handle sto znaci da se uvek moze alocirati memorija u drugom procesu, cak sta vise i CreateThread je ustavi CreateRemoteThread sa phandle -1 pa onda malo slozenija NtCreateThread i tako sve u krug =)

p.s. nema frke za beleske, ja to sve cuvam u posebnim fajlovima da bude lako citljivo, a sklapam u jedan po potrebi =)

Eto vidiš, a ne k'o ovi wannabe .NET programeri završili 2-tjedni napredni kurs C# i misle ako znaju šta radi Thread.Join() da su popili svu pamet svijeta :)

Opet ti velim, obrati pažnju na mapiranja nativnih API-ja između različitih verzija kernela, inače će ti virus raditi samo na XP i samo na tom SP-u kojem imaš :>

Pa sta mislis sto mi na VMware trci i win2k =) Ocu sve to da proverim, pre ngo sto pocnem da implementiram, mada me ubija sto nemam DDK, a tamo ima gomila interesatnih struktura =( mrzi me da se kacim na net svaki sekund i proveravam interne strukture =)