отладка вновь созданного удаленного потока

Question

Я анализирую конкретный образец вредоносного ПО, и, похоже, он делает следующее, чтобы записать в память процесса файл explorer.exe и выполнить код: -

1. OpenProcess (для explorer.exe).)
2. NtAllocateVirtualMemory
3. NtWriteVirtualMemory
4. CloseHandle
5. CreateRemoteThread
6. WaitForSingleObject
7. GetExitCodeThread71018 * Теперь я хочу присоединить отладчик к вновь созданному потоку в explorer.exe и отладить его с точки входа.Возможно ли это?

   Как я могу поступить так же?

Answer 1

Вы можете запустить другой экземпляр отладчика и присоединить его к exporer.exe, затем посмотреть адрес функции потока в параметрах CreateRemoteThread и установить там точку останова.