00E265B6  |.  E8 29235EFF   CALL <JMP.&kernel32.FileTimeToDosDateTime>          ; \FileTimeToDosDateTime
00E265BB  |.  8B45 FC       MOV EAX,DWORD PTR SS:[EBP-4]
00E265BE  |.  E8 ADAD5EFF   CALL SimplyGe.00411370
00E265C3  |.  DD5D E8       FSTP QWORD PTR SS:[EBP-18]
00E265C6  |.  9B            WAIT
00E265C7  |.  FF75 EC       PUSH DWORD PTR SS:[EBP-14]                          ; /Arg2
00E265CA  |.  FF75 E8       PUSH DWORD PTR SS:[EBP-18]                          ; |Arg1
00E265CD  |.  8BD3          MOV EDX,EBX                                         ; |
00E265CF  |.  B8 E865E200   MOV EAX,SimplyGe.00E265E8                           ; |ASCII "yyddmm"
00E265D4  |.  E8 5BD75EFF   CALL SimplyGe.00413D34                              ; \SimplyGe.00413D34

0E29399  MOV EAX,DWORD PTR SS:[EBP-3BC]                      ;  fecha modificado del parchado
00E2939F  MOV EDX,DWORD PTR DS:[EEF494]                       ;  SimplyGe.00EFF914
00E293A5  MOV EDX,DWORD PTR DS:[EDX]                          ;  fecha modificad deloriginal
00E293A7  CALL SimplyGe.00405E70
00E293AC  JE SimplyGe.00E29443                                ;  la salvacion

00E29399   .  8B85 44FCFFFF MOV EAX,DWORD PTR SS:[EBP-3BC]                   ;  fecha parcheado
00E2939F   .  8B15 94F4EE00 MOV EDX,DWORD PTR DS:[EEF494]                    ;  SimplyGe.00EFF914
00E293A5   .  8B12          MOV EDX,DWORD PTR DS:[EDX]                       ;  fecha original
00E293A7   .  E8 C4CA5DFF   CALL SimplyGe.00405E70
00E293AC   .  0F84 91000000 JE SimplyGe.00E29443

var dirCall
var dirCode
var sizeCode
var cont
var dir
var dirR
var dirMagic
var dirMagic2
var dirMagic3
var asprotect
var api
var iniIat
var sizeIat
var temp
var modulo1
var modulo2
var nApi1
var nApi2

mov cont, 0
mov asprotect, 0
mov dirCode, 401000
mov sizeCode, 21000
mov iniIat, 422000
mov finIat, 4222e8
mov dirCall, 1230000
mov temp, 0

start:

eoe cont
run

cont:

    inc cont
    cmp cont, 2 //Compruebo si es la segunda excepcion

    je oep

    jmp start

oep:
    bphws 041e042, "x"    //oep
    run
    
    eob busca
    
busca:
    
    find dirCode, #e8??????00#
    
    cmp $RESULT, 0
    je fin
    

compruebaCall:
    
    mov eax, $RESULT
    add eax, [eax+1]
    add eax, 5
    cmp eax, dirCall

    je contBusqueda //Si es igual seguimos
    
    mov dirCode, $RESULT
    inc dirCode
    jmp busca
    
    
contBusqueda:

    mov dir, $RESULT

    cmp dirMagic, 0
    
    jnz contBusqueda2 //Salta si no esta todavia el hbp en la zona de asprotect
    
    findmem #508b45f8508b4510#

    cmp $RESULT,0
    
    je fin

    mov dirMagic, $RESULT
    
    bphws dirMagic, "x"    //Direccion de asprotect donde veremos las apis

    
contBusqueda2:

    cmp dirMagic2, 0
    jnz contBusqueda3

    findmem #576a008d4de0#

    cmp $RESULT,0

    je fin

    mov dirMagic2, $RESULT

    bphws dirMagic2, "x"    //Direccion de asprotect donde veremos las apis


contBusqueda3:

    cmp dirMagic3, 0
    jnz continua

    findmem #508b45f883c00450#

    cmp $RESULT,0

    je fin

    mov dirMagic3, $RESULT

    bphws dirMagic3, "x"    //Direccion de asprotect donde veremos las apis


continua:
    mov eip, dir

    eob obtieneApi
    run

obtieneApi:
    
    mov api, eax
    gn eax

    cmp eip, dirMagic
    je api
    cmp eip, dirMagic2
    je api
    cmp eip, dirMagic3
    jnz error 


api:        

    mov modulo1, $RESULT_1
    mov nApi1, $RESULT_2
    
    mov ecx, iniIat
    mov eax, iniIat
    
    jmp buscaSiEsta    //Primero miramos si la api ya esta en la iat para no tener que insertarlo nuevamente

    
contObtieneValor:

    cmp ecx, finIat
    je finIat

obtieneValor:

    mov temp, [ecx]

    cmp temp, 0
    je incrementa

    gn temp

    cmp $RESULT_1, 0 //Comprueba si es un valor trucho ya que no tendria modulo asociado

    je insertaApi    //Si es trucho insertamos la api aqui
  
    add ecx, 4
    
    jmp obtieneValor

incrementa:
   add ecx,4
   jmp obtieneValor

insertaApi:
       
    mov [ecx], api
    mov dirR, ecx
    
reparaCall:
    
    mov [dir], 15ff    //reparamos el call
    mov [dir+2], dirR //Insertamos la posicion de la iat en el call    
    
    add dir, 5
    mov dirCode, dir

    jmp busca
    
buscaSiEsta:

    cmp eax, finIat
    
    je contObtieneValor //Llegamos al fin de la IAT y no hubo coincidencias
    
    mov edx, [eax]
    gn edx
    
    cmp $RESULT_2, nApi1
    mov dirR, eax
    
    je reparaCall
    
    add eax, 4
    jmp buscaSiEsta
    
error:
    msg "No se paro en ningun hbp"
    ret

finIat:
    msg "Se ha terminado la tarea"
    ret

fin:
    msg "Se ha terminado la tarea"
    ret
ret