débogage nouvellement créé fil à distance

Question

Im analyse d'un échantillon particulier les logiciels malveillants et il semble être de faire ce qui suit afin d'obtenir écrire dans la mémoire de processus explorer.exe et exécuter du code: -

1. OpenProcess (sur Internet Explorer exe)
2. NtAllocateVirtualMemory
3. NtWriteVirtualMemory
4. CloseHandle
5. CreateRemoteThread
6. WaitForSi ngleObject
7. GetExitCodeThread

Maintenant ce que je veux faire est de joindre un débogueur au fil nouvellement créé dans Explorer.exe et le débogage de son point d'entrée avant. Cela serait-il possible?

Comment pourrais-je faire la même chose?

Answer 1

Vous pouvez exécuter une autre instance de débogueur et l'attacher à exporer.exe, puis rechercher l'adresse de la fonction de thread dans les paramètres CreateRemoteThread et y définir le point d'arrêt.