debugging - 新しく作成されたリモート スレッドのデバッグ

Question

私は特定のマルウェア サンプルを分析しており、explorer.exe のプロセス メモリに書き込み、コードを実行するために、次のことを行っているようです:-

1. OpenProcess (explorer.exe 上)
2. NtAllocateVirtualMemory
3. NtWriteVirtualMemory
4. ハンドルを閉じる
5. CreateRemoteThread
6. WaitForSingleObject
7. GetExitCodeThread

ここでやりたいことは、explorer.exe で新しく作成されたスレッドにデバッガーを接続し、そのエントリ ポイントからデバッグすることです。それは可能でしょうか？

どうすれば同じことをすることができますか？

Answer 1

デバッガーの別のインスタンスを実行してexporer.exeにアタッチし、CreateRemoteThreadパラメーターでスレッド関数のアドレスを調べて、そこにブレークポイントを設定できます。