При отладке образца вредоносного ПО вы, вероятно, запускаете его в отладчике и устанавливаете точки останова. Идея состоит в том, чтобы взять под контроль программу до того, как она выполнит «интересные» действия. Обычно мы устанавливаем точки останова на вызовы API управления памятью (например, VirtualAlloc()) или действия с процессами (например, CreateProcess(), CreateRemoteThread(), ...).