Т.е. он не грузит длл, а копирует её туда и передаёт управление?
Тогда велика вероятность, что эта длл расположена в подопытном процессе по тем же адресам, что и в самом l2walker, т.к. далеко не все любят самостоятельно править релоки.
Либо можно попытаться по сигнатуре PE-хедера найти в хипе.
|