Исходник Leak PID debugger by ScyllaHide/SharpOD

[Ahora_technology]

Очередной трюк против UM anti-anti-debug tool...?
ScyllaHide & ShapOD используют инжект в память процесса для установки хуков и предотвращения обнаружения дебаггера.
Поскольку код перехвата находится в нашем процессе мы можем обнаружить нарождение anti-anti-debug tool и попытку скрыть анализ.
Поскольку проверка является ли процесс дебаггера и последующие попытки его скрыть приводят к забавному моменту - можно обнаружить сам PID дебаггера.
ScyllaHide

Пожалуйста, авторизуйтесь для просмотра ссылки.

PID дебаггера, если включена любая функция для перехвата, когда SharpOD инжектится гарантированно(даже при отключении всех функции, но если плагин установлен) и гарантированно вшивает PID дебаггера.
Итог всего этого является лёгкое получение самого PID дебаггера.
ScyllaHide:

SharpOD:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Пожалуйста, авторизуйтесь для просмотра ссылки.

 

[Ahora_technology]

Спасибо за пост. Продолжай в том-же духе.

Скрытое содержимое

Спасибо ^^

 

[semenyalta2000]

А для чего это нужно ?

 

[Ahora_technology]

А для чего это нужно ?

Идея заключается в нахождении самого дебаггера с помощью anti-anti-debug tools(читаем текс в самом начале). Это является намёком, что некоторые инструменты могут позволить вас обнаружить более элегантно.