Потихоньку отрабатываю опыт препарирования разной несложной вирусни. Несколько раз сталкивался с тем, что в отлаживаемой программе создается новый процесс (CreateProcess), который за секунду отрабатывает и завершается.
Соответственно проследить в отладчике за новым процессом не получается.
Как можно прикрепить отладчик к таким процессам?

| Сообщение посчитали полезным:

В параметрах создаваемого процесса выставить suspended, только не помню олька к таким может присоединяться или нет.
или зацикливаешь на оеп файл который запускается и аттачишься.

| Сообщение посчитали полезным: toxakgd

"Debugger" в конф.

| Сообщение посчитали полезным:

EB FE на OEP и затем цепляйся

| Сообщение посчитали полезным:

toxakgd пишет:
Несколько раз сталкивался с тем, что в отлаживаемой программе создается новый процесс (CreateProcess), который за секунду отрабатывает и завершается.

Может пригодится https://vazonez.com/forum/topic=723.0

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным: plutos, toxakgd

Раздел реестра [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]
Создаём подраздел с именем образа, включая расширение. Если файл virus.exe, то создаём [virus.exe]
В подразделе 2 ключа:
Debugger = "путь до дебаггера"
GlobalFlag = 0x000010F0

Старт explorer.exe при перезагрузке именно так и ловил )

-----
IZ.RU

| Сообщение посчитали полезным: toxakgd

Спасибо всем. До этого я дампил образ нового процесса прямо перед запуском, а потом запускал его в ольке.
Теперь знаю еще пару методов!!

И Еще. В этом же exe'шнике создается процесс dwwin.exe с параметрами командной строки -s -p ??? (где ???- трехзначное число (я думаю может номер процесса к которому присоединиться)). Это часть отладчика винды DrWatson, вот только описание командной строки я нашел только для drwtsn.exe.
Что это за параметры, зачем запускать отладчик и как это все потом отлаживать?

| Сообщение посчитали полезным:

А нужно ли. Вы "влезли" в стандартный процесс обработки ошибок Винды. Выдается окошко об ошибке и запрос на использование отладчика.

| Сообщение посчитали полезным:

toxakgd
А к чему этот онанизм? Имя стартующего екзешника ты видишь, параметра запуска тоже, возьми да открой олькой, или как вариант который чаще всего и используют, это хучить запуск.

| Сообщение посчитали полезным:

Для начала надо убедится, что правильно ловим. Под dwwin.exe действительно маскируются вирусы и похоже тут именно он, т.к. у dwwin другие параметры запуска: -s <чего-то сегмент>
Тогда самое простое: пропатчить точку входа этого dwwin - EB Ef

| Сообщение посчитали полезным:

В продолжение темы.

Программа создает процесс из exe файла с использованием CreateProcess и параметром CREATE_SUSPENDED.
После этого производит различные манипуляции в адресном пространстве созданного процесса, поле чего вызывает ResumeThread. Хотел сдампить полученный процесс с помощью PETools, LordPE, хотел приаттачиться ОЛЬКой - в списке процессов жертва не значится.

Все процессы, созданные с параметром CREATE_SUSPENDED не видимы или я какой-то другой параметр не доглядел?? И извечный вопрос - что делать??

| Сообщение посчитали полезным:

Ставишь бряки CreateProcess и WriteProcessMemory/ZwWriteVirtualMemory в родительском процессе. Дампишь то что будет писаться в чужую память. Частенько память пишется по частям (секциями), но в исходном буфере лежит весь ехе разом.

Так вот, как сдампишь смотришь код на EntryPoint, или запоминаешь смещение до нее. Затем заново стартуешь родительский процесс, и перед записью в буфере правишь код с entrypoint на 0xEB 0xEF 0xEB 0xFE, после ResumeThread прога должна сразу зациклиться. Можно аттачиться.

BoOMBoX пишет:
понятно, что опечатка, но должно быть 0xEB 0xFE
Благодарю, конечно же FE

| Сообщение посчитали полезным: toxakgd

Veliant пишет:
правишь код с entrypoint на 0xEB 0xEF

понятно, что опечатка, но должно быть 0xEB 0xFE, дабы не возникло проблем у новичков

| Сообщение посчитали полезным: toxakgd

Есть еще такая старенькая тулза --> PUPE <--
Позволяет патчить процессы, вроде даже suspended. Ставь бряк на CreateProcess, в каком-нибудь Pe-редакторе смотри OEP. Бряк на ResumeThread меняй байты с OEP на EBFE и в путь.

| Сообщение посчитали полезным:

Спасибо всем, помогло.

В образе, который затем писался в другой процесс в EP забил 0xEB 0xFE, дождался инжекта, открыл второй olly и приаттачился к новому процессу.
Только для меня было странно, что после присоединения olly, я оказался не в EP, а где-то в системных библиотеках и пришлось ставить BP на EP. Только после этого я попал в EP. Так и должно быть? Это OllyDBG в начале инициализировался?

| Сообщение посчитали полезным:

toxakgd
Run->Pause(F9->F12) и ты на EP

| Сообщение посчитали полезным: toxakgd

Да..... чета тупанул.... Зачем было ставить BP если код итак зациклен??!!! Одно слово- надо опыта набираться.

Так а что это за код который в начале был?

| Сообщение посчитали полезным:

В начале-это где? Отладчик тормозится при аттаче в системных функциях, потому что дебаг апи так устроен. Если не ошибаюсь, так прерывание, на котором он и останавливается.

| Сообщение посчитали полезным:

В начале-это где? Сразу как только приаттачился

А так.., ответ ваш понял, где-то так и представлял.

| Сообщение посчитали полезным: