A 프로세스의 PE 섹션을 날리고

B 프로세스의 바이너리를 덧 씌운 다음에 

그대로 RunPE 방식으로 실행하니까

A 프로세스 기능이 메모장 기능을 하는거고

B 프로세스 기능이 키로그를 하는건데

A 프로세스는 표면적으로 메모장 프로세스로 인식하는데

실질적으론 B 프로세스의 행위를 함

성공