Disons que tu hook CreateProcess, donc tu reçois les params. En ce cas tu as la chaine du exe que tu ouvres avec CreateFile en GENERIC_READ et OPEN_EXISTING, tu calcules le hash MD5, CloseHandle du exe, et enfin tu repasses à la vraie CreateProcess seulement si exehash n'est pas dans ton tableau de hash interdits.
ciao... BruNews, MVP VC++
|