Si la primera instruccion de codigo en la sección no es el entry point no es lo mismo, es decir siempre que AddressOfEntryPoint sea diferente de BaseOfCode.

DUMPBIN /headers calc.exe

...
OPTIONAL HEADER VALUES
             10B magic # (PE32)
            9.00 linker version
           52E00 size of code
           6A600 size of initialized data
               0 size of uninitialized data
           12D6C entry point (01012D6C)
            1000 base of code
           52000 base of data
         1000000 image base (01000000 to 010BFFFF)
...

     
AddressOfEntryPoint
    A pointer to the entry point function, relative to the image base address. For executable files, this is the starting address.

BaseOfCode
    A pointer to the beginning of the code section, relative to the image base.

¿Estas escribiendo en disco o en memoria?

No se muy bien que estas tratando de hacer, te recomiendo usar el WinDbg (!dh direccion te ayudara) para ir depurando tu codigo.

Bueno.. no di con la solucion.. algo me esta faltando,, pongo el code a ver si alguien ve algo malo..

if(strcmp((char *)ISH->Name, ".text") == 0)
{
 
	//  Se agranda la sección para ocupar hasta un bloque de 16 justo
	while(ISH->Misc.VirtualSize%16 != 0) ISH->Misc.VirtualSize++;
 
	//  Funcion "Cifradora", se cifra la sección .text
	Cifra((DWORD)(lpFileMap + ISH->PointerToRawData), ISH->Misc.VirtualSize);
 
	// Una copia de la sección .text cifrada (+ align 16)
	char *lptextsect = new char[ISH->Misc.VirtualSize];
	memset(lptextsect, 0, ISH->Misc.VirtualSize);
	memcpy(lptextsect, (void *)(DWORD)(lpFileMap + ISH->PointerToRawData), ISH->Misc.VirtualSize);
 
	// Se guarda el punto de inicio  ** push Entrypoint **
	ASize = IOH->ImageBase + IOH->AddressOfEntryPoint;
 
	__asm { mov eax, ASize }
	__asm { mov dword ptr[opcodes + 11h], eax }
 
	// VirtualSize a EAX y se ajustan los jmps, calls y cmp
	// ****************************************************
	ASize = ISH->Misc.VirtualSize;
	__asm { mov eax, ASize }
 
	__asm { mov dword ptr[opcodes + 44h], eax }		// -> call endopcodes
	__asm { mov dword ptr[endopcodes + 5], eax }	// -> RETADDR, ???? (Size To Decrypt)
 
	__asm { neg eax }
	__asm {	mov dword ptr[opcodes + 38h], eax }		// -> cmp ebx, -????
 
	ASize = sizeof(opcodes)-8;
	__asm { sub eax, ASize }
	__asm { mov dword ptr[endopcodes + 0Ch], eax }	// -> jmp -????
 
	// ****************************************************
 
 
	// Se Copia todo al PE!
	DWORD StartOffset = (DWORD)lpFileMap + ISH->PointerToRawData;
	memcpy((void *)(StartOffset), (void *)opcodes, sizeof(opcodes));
	memcpy((void *)(StartOffset + sizeof(opcodes)-1), (void *)(lptextsect), ISH->Misc.VirtualSize);
	memcpy((void *)(StartOffset + ISH->Misc.VirtualSize + sizeof(opcodes)-1), (void *)endopcodes, sizeof(endopcodes));
	//	***************************************************************
 
	// Se ajusta la sección
	ISH->Characteristics = 0xE0000020;								// Lectura, Ejecucion y escritura!
	IOH->AddressOfEntryPoint = (DWORD)IOH->BaseOfCode + 16;			// Empezar despues de la clave de 16 digitos
}

Bueno, la idea es ir recorriendo las secciones (Funciona), e ir buscando la sección ".text", una vez encontrada, cifrarla y ponerle su respectiva función descifradora (opcodes y endopcodes)

Desde la linea 15 a la 35 lo que hago es ajustar esos "opcodes", (que funciona tambien)..

El Problema: Si el EntryPoint es 00401000 lo cambio por 00401010 y todo bien! Si el EntryPoint es otro cualquiera, no lo puedo modificar a 00401010! Queda el que tenia antes, y lo raro, el olly me indica con rojo la direccion 00401010 pero igual inicia en donde era el EntryPoint..

Gracias por su tiempo! Saludos!

Upss.. perdón,, pensé que había dicho al principio.. Es un crypter, no creo un nuevo archivo no 

Trabajo sobre la imagen del mismo PE, la abro con CreateFile,, uso CreateFileMapping y cierro la imagen... Capaz que la *** ahí?!   

Saludos!

Huu.. si.. cualquiera.. Con Olly que es la única herramienta que tengo ahora a mano me dice esto como EntryPoint

ASCII = rC
HEX = 09 72 43

Ahora si que me descoloco, pero es una buena pista.. en casa lo tendré que ver con DUMPBIN y WinDbg

Que raro.. en un ejecutable simple, con 3 secciones funciona.. Bue, reviso y posteo..

Gracias Genio!


Actualizo:

Bueno.. creo haber encontrado algo.. pero por que lo hace??

Netcat antes de cifrar (dumpbin /HEADERS):


Netcat después de cifrar (dumpbin /HEADERS):


Netcat antes de cifrar (WinDbg !dh):


Netcat después de cifrar (WinDbg !dh):


Bueno.. ahí esta.. Ese align debe estar *!&*"·$ el formato.. Perché ?

Gracias!! Saludos!