Хм.. Может в csrss нотификатор на создание процессов поставить ?
leniviy Чтото не пойму, а сплайсинг зачем нужен ?
l_inc Я раньше использовал термин "шелкод", но это вызывало не верные ассоциации у товарищей, поэтому лучше пикод(Position Independent).
Пикод это универсальный код. Можно вставить в любое место кода, не заботясь о релоках. Просто скопипастить дамп. Хороший код в котором нет...
И я даже догадываюсь чей..
Насчёт точки входа я уже сказал #22. А на счёт того, что через апк падает - нужно не в небо пальцам тыкать, а на матчасть опираться. Существует...
А не, туплю, перед обработкой апк(NtTestAlert) лоадер разлочивается, не должно виснуть. Как по мне, так ерунда это всё, накой нужно грузить...
В таком случае перед выходом потока из спящего состояния загрузи в Eax указатель на свой код, прежде определив текущий(это BaseProcessStart),...
Тоесть тебе нужно подгрузить модуль пока загрузчик не инициализирован ? Или до нотификации модулей ? Или пока поток не начал исполнять главную...
А я ведь говорил, забанить это творение необходимо.
Я искал подходящий дизасм, топик тут http://virustech.org/f/viewtopic.php?id=40 Но когда я твой первый раз дебажил, там не базонезависимый код. И...
BlackParrot Нее, просто что там тестить, вроде всё дизасмит хорошо. Если он в пикоде то вылажи и хидеры, полезная весчь.
Не юзать гуан. > Суспендим все потоки. > Создаём стек для каждого потока. > Сохраняем контекст всех потоков. > Загружаем в контекст всех потоков...
jaja Нифига себя, йа бота вычислил :D Последние его постенги за несколько дней: ...
Ладно, если уж зашла тема про удалённые потоки, то нужно обьяснить. У твоего инжекта изначально не верный принцип. Эта строка передаст управление...
Имхо сейчас скорость не очень важна, в большинстве случаев задержки происходят при обращении с системе, например какойто запрос к win32k(в случае...
http://www.evilfingers.com/publications/research_RU/anti-debug-07.pdf В корне не согласен. Скорее невозможно не обнаружить. Какие методы не...
Заглянул внутрь v8.0.9.2(8092). Все действия по обработке параметров выполняются внутри процедуры RVA = (0x61FCE0 - 0x4000000). Извлекаются два...
Делаем вывод по топику http://wasm.ru/forum/viewtopic.php?id=31412 что вы товарищ полный нуб в этом деле, так что не нужно нам чегото втирать,...
BlackParrot Сказанное тобой не относится к инжекту и к началу PEB/TEB тоже - оно не меняется.
Имена участников (разделяйте запятой).
