- - t h i s   s c r i p t   w a s   i n t e n d e d   t o   b e   p r i v a t e ,   w h e r e   t h e   f u c k   d i d   y o u   g e t   i t ? 
 
 - - w e l l ,   I   g u e s s   y o u ' r e   o n e   o f   t h e   g u y s   w h o m   I   t r u s t ,   d o n ' t   f a i l   m e 
 
 
 
 p r o c a d d r = 0 x 0 ; 
 
 a r r a y = { " t u t s 4 y o u 1 . d l l " , " t u t s 4 y o u 2 . d l l " , " t u t s 4 y o u 3 . d l l " } ; 
 
 
 
 c r e a t e s t r i n g = " C r e a t e F i l e A \ 0 " ; 
 
 r e a d s t r i n g = " R e a d F i l e \ 0 " ; 
 
 k e r n e l s t r i n g = " k e r n e l 3 2 . d l l " ; 
 
 
 
 i m p o r t _ m e t h = 1 ; 
 
 S t a r t ( f a l s e ) ; 
 
 A d d B r e a k ( j m p _ t o _ o e p + v i c t i m _ b a s e , 3 , 0 ) ;   E n a b l e B r e a k ( j m p _ t o _ o e p + v i c t i m _ b a s e ) ; 
 
 w h i l e   t r u e   d o 
 
 	 C o n t i n u e ( t r u e ) ; 
 
 	 i f   b r e a k _ w h e r e = = 0 x f 4 0   t h e n 
 
 	 	 b r e a k ; 
 
 	 e l s e i f   b r e a k _ w h e r e = = 0 x f 0 0   t h e n 
 
 	 	 W r i t e E x ( " D i e d   w h i l e   t r a c i n g   t o   O E P " , t r u e , t r u e , 0 x 0 0 0 0 f f ) ; 
 
 	 	 r e t u r n   - 1 ; 
 
 	 e n d ; 
 
 e n d ; 
 
 S u s p e n d A l l O t h e r ( ) ; 
 
 t e m p a d d r = E S P + 4 ; 
 
 
 
 W r i t e M e m L a r g e ( E I P + 5 , c r e a t e s t r i n g , s t r i n g . l e n ( c r e a t e s t r i n g ) ) ; 
 
 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 W r i t e M e m ( E I P + 1 , s t r i n g . l e n ( c r e a t e s t r i n g ) , 4 ) ; 	 	 - - p u s h   o f f s e t   " C r e a t e F i l e A " 
 
 T r a c e ( ) ; 
 
 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 W r i t e M e m ( E I P + 1 , G e t M o d u l e A d d r e s s ( k e r n e l s t r i n g ) , 4 ) ; 	 - - p u s h   0 x 7 c 8 0 0 0 0 0 
 
 T r a c e ( ) ; 
 
 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 W r i t e M e m ( E I P + 1 , p r o c a d d r - 5 - E I P , 4 ) ; 	 	 	 - - c a l l   x G e t P r o c A d d r e s s 
 
 A d d B r e a k ( E I P + 5 , 1 , 0 ) ;   E n a b l e B r e a k ( E I P + 5 ) ; 
 
 w h i l e   t r u e   d o 
 
 	 C o n t i n u e ( t r u e ) ; 
 
 	 i f   b r e a k _ w h e r e = = 0 x f 0 0   t h e n 
 
 	 	 W r i t e E x ( " D i e d   w h i l e   t r a c i n g   t o   C r e a t e F i l e A " , t r u e , t r u e , 0 x 0 0 0 0 f f ) ; 
 
 	 	 r e t u r n   - 1 ; 
 
 	 e l s e 
 
 	 	 b r e a k ; 
 
 	 e n d ; 
 
 e n d ; 
 
 x c r e a t e a d d r = E A X ; 
 
 W r i t e L o g ( s t r i n g . f o r m a t ( " F o u n d   C r e a t e F i l e A   0 x % 0 8 X " , x c r e a t e a d d r ) ) ; 
 
 
 
 E I P = j m p _ t o _ o e p + v i c t i m _ b a s e ; 
 
 W r i t e M e m L a r g e ( E I P + 5 , r e a d s t r i n g , s t r i n g . l e n ( r e a d s t r i n g ) ) ; 
 
 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 W r i t e M e m ( E I P + 1 , s t r i n g . l e n ( r e a d s t r i n g ) , 4 ) ; 	 	 - - p u s h   o f f s e t   " R e a d F i l e " 
 
 T r a c e ( ) ; 
 
 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 W r i t e M e m ( E I P + 1 , G e t M o d u l e A d d r e s s ( k e r n e l s t r i n g ) , 4 ) ; 	 - - p u s h   0 x 7 c 8 0 0 0 0 0 
 
 T r a c e ( ) ; 
 
 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 W r i t e M e m ( E I P + 1 , p r o c a d d r - 5 - E I P , 4 ) ; 	 	 	 - - c a l l   x G e t P r o c A d d r e s s 
 
 A d d B r e a k ( E I P + 5 , 1 , 0 ) ;   E n a b l e B r e a k ( E I P + 5 ) ; 
 
 w h i l e   t r u e   d o 
 
 	 C o n t i n u e ( t r u e ) ; 
 
 	 i f   b r e a k _ w h e r e = = 0 x f 0 0   t h e n 
 
 	 	 W r i t e E x ( " D i e d   w h i l e   t r a c i n g   t o   R e a d F i l e " , t r u e , t r u e , 0 x 0 0 0 0 f f ) ; 
 
 	 	 r e t u r n   - 1 ; 
 
 	 e l s e 
 
 	 	 b r e a k ; 
 
 	 e n d ; 
 
 e n d ; 
 
 x r e a d a d d r = E A X ; 
 
 W r i t e L o g ( s t r i n g . f o r m a t ( " F o u n d   R e a d F i l e   0 x % 0 8 X " , x r e a d a d d r ) ) ; 
 
 
 
 i = 1 ; 
 
 w r i t e a d d r = G e t P r o c A d d r e s s ( k e r n e l s t r i n g , " W r i t e F i l e " ) ; 
 
 b u f f e r = S e t L a s t S E H ( )   &   0 x f f f f f 0 0 0 ; 
 
 w h i l e   t r u e   d o 
 
 	 i f   a r r a y [ i ] = = n i l   t h e n 
 
 	 	 b r e a k ; 
 
 	 e n d ; 
 
 	 O r i g N a m e = a r r a y [ i ] . . " \ 0 " ; 
 
 	 N e w N a m e = a r r a y [ i ] . . " _ u n p a c k e d \ 0 " ; 
 
 	 E I P = j m p _ t o _ o e p + v i c t i m _ b a s e ; 
 
 	 W r i t e L o g ( s t r i n g . f o r m a t ( " P r o c e s s i n g   f i l e   % u   % s " , i , a r r a y [ i ] ) ) ; 
 
 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 8 , 0 x 8 0 , 0 , 0 , 0 ) , 5 ) ; 	 - - p u s h   F I L E _ A T T R I B U T E _ N O R M A L 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 3 ) , 2 ) ; 	 	 - - p u s h   O P E N _ E X I S T I N G 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 8 , 0 , 0 , 0 , 0 x 8 0 ) , 5 ) ; 	 - - p u s h   G E N E R I C _ R E A D 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P + 5 , O r i g N a m e , s t r i n g . l e n ( O r i g N a m e ) ) ; 
 
 	 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 	 W r i t e M e m ( E I P + 1 , s t r i n g . l e n ( O r i g N a m e ) , 4 ) ; 	 	 	 - - p u s h   o f f s e t   l i b n a m e 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 	 W r i t e M e m ( E I P + 1 , x c r e a t e a d d r - 5 - E I P , 4 ) ; 	 	 	 - - c a l l   x C r e a t e F i l e A 
 
 	 A d d B r e a k ( E I P + 5 , 1 , 0 ) ;   E n a b l e B r e a k ( E I P + 5 ) ; 
 
 	 w h i l e   t r u e   d o 
 
 	 	 C o n t i n u e ( t r u e ) ; 
 
 	 	 i f   b r e a k _ w h e r e = = 0 x f 0 0   t h e n 
 
 	 	 	 W r i t e E x ( " D i e d   w h i l e   c r e a t i n g   f i l e " , t r u e , t r u e , 0 x 0 0 0 0 f f ) ; 
 
 	 	 	 r e t u r n   - 1 ; 
 
 	 	 e l s e 
 
 	 	 	 b r e a k ; 
 
 	 	 e n d ; 
 
 	 e n d ; 
 
 	 o l d h a n d l e = E A X ; 
 
 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 8 , 0 x 8 0 , 0 , 0 , 0 ) , 5 ) ; 	 - - p u s h   F I L E _ A T T R I B U T E _ N O R M A L 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 2 ) , 2 ) ; 	 	 - - p u s h   C R E A T E _ A L W A Y S 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 8 , 0 , 0 , 0 , 0 x 4 0 ) , 5 ) ; 	 - - p u s h   G E N E R I C _ W R I T E 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m L a r g e ( E I P + 5 , N e w N a m e , s t r i n g . l e n ( N e w N a m e ) ) ; 
 
 	 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 	 W r i t e M e m ( E I P + 1 , s t r i n g . l e n ( N e w N a m e ) , 4 ) ; 	 	 	 - - p u s h   o f f s e t   n e w l i b n a m e 
 
 	 T r a c e ( ) ; 
 
 	 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 	 W r i t e M e m ( E I P + 1 , x c r e a t e a d d r - 5 - E I P , 4 ) ; 	 	 	 - - c a l l   x C r e a t e F i l e A 
 
 	 A d d B r e a k ( E I P + 5 , 1 , 0 ) ;   E n a b l e B r e a k ( E I P + 5 ) ; 
 
 	 w h i l e   t r u e   d o 
 
 	 	 C o n t i n u e ( t r u e ) ; 
 
 	 	 i f   b r e a k _ w h e r e = = 0 x f 0 0   t h e n 
 
 	 	 	 W r i t e E x ( " D i e d   w h i l e   c r e a t i n g   n e w   f i l e " , t r u e , t r u e , 0 x 0 0 0 0 f f ) ; 
 
 	 	 	 r e t u r n   - 1 ; 
 
 	 	 e l s e 
 
 	 	 	 b r e a k ; 
 
 	 	 e n d ; 
 
 	 e n d ; 
 
 	 n e w h a n d l e = E A X ; 
 
 
 
 	 w h i l e   t r u e   d o 
 
 	 	 W r i t e M e m ( t e m p a d d r , 0 , 4 ) ; 
 
 	 	 E I P = j m p _ t o _ o e p + v i c t i m _ b a s e ; 
 
 
 
 	 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , t e m p a d d r , 4 ) ; 	 	 	 	 - - p u s h   o f f s e t   t e m p a d d r 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 8 , 0 , 0 x 1 0 , 0 , 0 ) , 6 ) ; 	 - - p u s h   1 0 0 0 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , b u f f e r , 4 ) ; 	 	 	 	 - - p u s h   o f f s e t   b u f f e r 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , o l d h a n d l e , 4 ) ; 	 	 	 	 - - p u s h   o l d h a n d l e 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , x r e a d a d d r - 5 - E I P , 4 ) ; 	 	 	 - - c a l l   x R e a d F i l e 
 
 	 	 A d d B r e a k ( E I P + 5 , 1 , 0 ) ;   E n a b l e B r e a k ( E I P + 5 ) ; 
 
 	 	 w h i l e   t r u e   d o 
 
 	 	 	 C o n t i n u e ( t r u e ) ; 
 
 	 	 	 i f   b r e a k _ w h e r e = = 0 x f 0 0   t h e n 
 
 	 	 	 	 W r i t e E x ( " D i e d   w h i l e   r e a d i n g   f i l e " , t r u e , t r u e , 0 x 0 0 0 0 f f ) ; 
 
 	 	 	 	 r e t u r n   - 1 ; 
 
 	 	 	 e l s e 
 
 	 	 	 	 b r e a k ; 
 
 	 	 	 e n d ; 
 
 	 	 e n d ; 
 
 
 
 	 	 W r i t e M e m L a r g e ( E I P , s t r i n g . c h a r ( 0 x 6 a , 0 ) , 2 ) ; 	 	 - - p u s h   0 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , t e m p a d d r , 4 ) ; 	 	 	 	 - - p u s h   o f f s e t   t e m p a d d r 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , R e a d M e m ( t e m p a d d r , 4 ) , 4 ) ; 	 	 	 - - p u s h   [ t e m p a d d r ] 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , b u f f e r , 4 ) ; 	 	 	 	 - - p u s h   o f f s e t   b u f f e r 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x 6 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , n e w h a n d l e , 4 ) ; 	 	 	 	 - - p u s h   n e w h a n d l e 
 
 	 	 T r a c e ( ) ; 
 
 	 	 W r i t e M e m ( E I P , 0 x e 8 , 1 ) ; 
 
 	 	 W r i t e M e m ( E I P + 1 , w r i t e a d d r - 5 - E I P , 4 ) ; 	 	 	 - - c a l l   W r i t e F i l e 
 
 	 	 A d d B r e a k ( E I P + 5 , 1 , 0 ) ;   E n a b l e B r e a k ( E I P + 5 ) ; 
 
 	 	 w h i l e   t r u e   d o 
 
 	 	 	 C o n t i n u e ( t r u e ) ; 
 
 	 	 	 i f   b r e a k _ w h e r e = = 0 x f 0 0   t h e n 
 
 	 	 	 	 W r i t e E x ( " D i e d   w h i l e   w r i t i n g   t o   f i l e " , t r u e , t r u e , 0 x 0 0 0 0 f f ) ; 
 
 	 	 	 	 r e t u r n   - 1 ; 
 
 	 	 	 e l s e 
 
 	 	 	 	 b r e a k ; 
 
 	 	 	 e n d ; 
 
 	 	 e n d ; 
 
 	 	 W r i t e L o g ( s t r i n g . f o r m a t ( " P r o c e s s e d   0 x % 0 8 X   b y t e s " , R e a d M e m ( t e m p a d d r , 4 ) ) ) ; 
 
 	 	 i f   R e a d M e m ( t e m p a d d r , 4 ) = = 0   t h e n 
 
 	 	 	 b r e a k ; 
 
 	 	 e n d ; 
 
 	 e n d ; 
 
 	 i = i + 1 ; 
 
 e n d ; 
 
 
 
 T e r m i n a t e ( ) ; 
 
 i = 1 ; 
 
 w h i l e   t r u e   d o 
 
 	 i f   a r r a y [ i ] = = n i l   t h e n 
 
 	 	 b r e a k ; 
 
 	 e n d ; 
 
 	 i f   s t r i n g . l e n ( a r r a y [ i ] ) > 1   a n d   s t r i n g . c h a r ( s t r i n g . b y t e ( a r r a y [ i ] , 2 ) ) = = " : "   t h e n 
 
 	 	 T e m p S t r = " " ; 
 
 	 e l s e 
 
 	 	 T e m p S t r = s t r i n g . c h a r ( s t r i n g . b y t e ( f i l e _ n a m e , 1 , s t r i n g . l e n ( f i l e _ n a m e ) - s t r i n g . f i n d ( s t r i n g . r e v e r s e ( f i l e _ n a m e ) , " \ \ " ) + 1 ) ) ; 
 
 	 e n d ; 
 
 	 o s . r e n a m e ( T e m p S t r . . a r r a y [ i ] . . " _ u n p a c k e d " , T e m p S t r . . a r r a y [ i ] ) ; 
 
 	 i = i + 1 ; 
 
 e n d ; 