调试新创建的远程线程

Question

我正在分析一个特定的恶意软件样本，它似乎正在执行以下操作，以便写入 explorer.exe 的进程内存并执行代码：-

1. OpenProcess（在 explorer.exe 上）
2. NtAllocateVirtualMemory
3. NtWriteVirtualMemory
4. 关闭句柄
5. 创建远程线程
6. WaitForSingleObject
7. GetExitCodeThread

现在我想做的是将调试器附加到 explorer.exe 中新创建的线程并从其入口点开始对其进行调试。这可能吗？

我怎么能做同样的事情？

Answer 1

您可以运行另一个调试器实例并将其附加到exporer.exe，然后在CreateRemoteThread参数中查看线程函数的地址，并在那里设置断点。