oldnoob В большенстве случаев при анализе мальмари навыки реверс инженеринга не особо нужны .. имхо RegMon, FileMon и прочия лабуда ... А...
RTL_CRITICAL_SECTION::LockSemaphore - смелых ждет удача.
П.С. оффтоп -> хороший метаморфм в IDA watermark.
newbie Полиморм в крипторах(гуано для прогрузок) Модификация загрузчика для каждого крипта уникальна(это в теории) - Мусорные инструкции -...
http://www.codeproject.com/KB/string/wildcmp.aspx
klzlk Не имеет значения когда текст начнет отрисовыватся , имеет куда ... То и есть он мог отрисоватся на битмап а после чего битмап будет залит...
klzlk Вызов же функци есть? Основная проблема куда текст был отрисован , что бы рефлектировать для анализа и модификации .. . klzlk на счет...
вообщем запусти apimonitor там все апи хорошо расписано ( представленно ), если не чего из него не найдешь то придется брать отладчик и дебажить,...
Selah А ну это он делает практически фил ... Больше не каких нет вызовов(ExtTextOutW только с пустой строкой)? например GdipDrawString?
klzlk Опять таки я уже решил задачу ... смысла нет идти в комерс
Selah Запусти apimonitor. Строка в ероглифах ? если да , это просто отрисовка происходит в глифах BOOL ExtTextOut( __in HDC hdc, __in int...
klzlk #12 сообщение вообще не в контексте задачи ...
klzlk Моя тема была с вопросом технического характера ... В прочем лады ... поехали... Selah Если реализовывать это на нативном уровне, то сдезь...
klzlk Спасибо за делный совет, но вопрос уже давно решен ...
Selah Полюбому есть ... Что конктерно нужно менять? просто окно это одно дело и вот когда выливатся дип секция или битмап .... то тут обычным...
JBossAOP - это для перехвата Java кода Ну либо перехватывать нативные функции ... но это сложней , и думай в гугле можно найти ...
Selah Либо java , либо GDI(GDI+) с мониторингом изменений для DIB,BBP памяти ...
XshStasX PsGetCurrentProcessId() - вернет контекст текущего потока ... Текущий поток не будет изменен KeStackAttachProcess не меняет контекст...
sintez Здесь найдешь http://dump.udderweb.com/Censorship/win2k_sources/private/ntos/rtl/
klzlk В принципе да, так что остаетася шаддулер и все что с ним связано ...
Имена участников (разделяйте запятой).
