peb_ldr_data

Шпионское ПО активно использует различные методы внедрения своих библиотек, чтобы скрыться в легитимных процессах системы. После внедрения удалить такую DLL довольно проблематично, если только не завершить процесс целиком. Однако имеется нюанс, при помощи которого всё-таки можно попытаться...

Прежде чем нырять в смещения и поля, стоит сделать важную оговорку. Структура PEB, несмотря на то что она официально объявлена в заголовке winternl.h, формально считается внутренней структурой операционной системы — Microsoft прямо предупреждает, что её содержимое и разметка полей могут меняться...