Достаточно странная история произошла при отладке будущего SecuRom_Profiler. Отладчик - OllyDbg 2.01 (Alpha 4)
В процессе отладки в памяти отлаживаемого процесса иногда появляется(закономерности нет) скрытая библиотека Mod_4B3C.dll(Mу Olly Debugger???) 4B3C(hex) = 19260(dec)



Кроме ольки, никто (ProcessExplorer, PETools) ее больше не видит, поэтому сколотив жалкое подобие дампера криво сдампил. Предполагаю, что библиотека олькина.
Вторая странность заключается в том, что SRPII при переборе обнаруживает скрытый процесс(pid всегда не кратна 4) - открыть и получить базовую системную информацию можно, но путь загрузки модуля отсутствует. И все это заставляет по крайней мере немного задуматься.

8bc1_01.07.2012_EXELAB.rU.tgz - MOD.zip

| Сообщение посчитали полезным:

библиотека - MSCTF.dll
см. аттач

b352_01.07.2012_EXELAB.rU.tgz - MOD.7z

по поводу скрытого процесса - ну проскань систему чем-то типа GMER или RkU

| Сообщение посчитали полезным:

Меня больше интересует вопрос по скрытности - фитча OllyDbg или это можно провернуть самому прикладными способами.

| Сообщение посчитали полезным:

По скрытности чего, длл? Удали любую длл из списка загруженных модулей в пебе-и не будет светиться она при перечислении модулей. А если замапить руками, то и ещё меньше где засветится. Если олька сама её грузила, она может и знать, где эта длл и что за длл.

| Сообщение посчитали полезным:

Archer
Скорее всего сама - пауза при загрузке новой длл не срабатывает.
Как тогда обьяснить отсуствие закономерности в появлении Mod_4B3C.dll в памяти?

| Сообщение посчитали полезным:

ELF_7719116 пишет:
пауза при загрузке новой длл не срабатывает.
а трассируешь от точки входа основного модуля, или от System breakpoint?
если первое - то может и не остановится, так как может грузится виндой при обработке импорта

| Сообщение посчитали полезным: TLN

Пауза при загрузке длл-это всего лишь стандартая штука при загрузке виндой. Если мапить руками, пауза и не должна работать. А отсутствие закономерности... наверняка она есть, просто пока не понятна. Как вариант-во-первых, разобраться, кто инжектит, поискав хотя бы просто по последовательности байтов. Во-вторых, брать да отлаживать инжектор, когда он срабатывает.

| Сообщение посчитали полезным:

Загрузка происходит на первом шаге пошаговой трассировки, после остановки на программном брекпоинте.

| Сообщение посчитали полезным:

USER32.GetSystemMetrics>LoadLibraryExW

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

Прикол в том, что если на GetSystemMetrics/LoadLibraryExW ставить любую из возможных точку останова библиотека не появляется. Возможно какаю-то роль здесь играет тот факт, что действие происходит в созданном мною потоке (через CreateRemoteThread)

| Сообщение посчитали полезным: