Engine = new MDbgEngine();
Proc = Engine.CreateProcess(@"C:\Users\AL\Downloads\li0nsar3c00l enhanceviews.net bot_patched.exe", "", DebugModeFlag.Debug, null);
 
Proc.PostDebugEvent += Proc_PostDebugEvent; // Jedes Event wird hierhin weitergereicht
Engine.Processes.Active.CorProcess.OnBreakpoint += CorProcess_OnBreakpoint; // ein BP wird als Event gecalled
Proc.Go().WaitOne(); // Wir lassen laufen, bis ein BP erreicht ist.
 
Console.ReadLine();

case ManagedCallbackType.OnAssemblyLoad:
                    Console.WriteLine("Assembly load:" + e.CallbackArgs.ToString());
                    Type Temp = e.CallbackArgs.GetType(); // Type der geladen wurde
 
                    String Name = ((CorAssemblyEventArgs)e.CallbackArgs).Assembly.Name;
                    CorAssembly ASM = ((CorAssemblyEventArgs)e.CallbackArgs).Assembly;
                    if (Name.EndsWith("mscorlib.dll")) // Ist es mscorelib?
                    {
                        MDbgBreakpoint BP = Proc.Breakpoints.CreateBreakpoint("mscorlib.dll", "System.Reflection.Module", "ResolveMethod", 0); // Breakpoint gesetzt
                        Console.WriteLine(BP.ToString());
                    }

static void CorProcess_OnBreakpoint(object sender, CorBreakpointEventArgs e)
        {
            String Name = Proc.Threads.Active.CurrentFrame.Function.FullName;
 
            MDbgFrame CurrentFrame = Proc.Threads.Active.CurrentFrame;
            switch (Name)
            {
                case "System.Reflection.Module.ResolveMethod":
// nächstes Frame (1 hoch) um in richtiger Assembly zu landen
                    MDbgFrame Next = CurrentFrame.NextUp;// Nächster Frame (Eine Funktion "hoch")
 
                    e.Breakpoint.Activate(false); // Wir brauchen ResolveMethod nicht mehr...
                    Proc.Breakpoints.DeleteAll(); // Vorsichtshalber alle löschen
 
                    for (int i = 0; i < 0x0a; i++)
                    {
                        MDbgFunction TempFunc = Next.Function.Module.GetFunction(0x06000185 + i);
                        Proc.Breakpoints.CreateBreakpoint(TempFunc, 0); // Ein kleiner Hack um über das MethodToken an die Funktion zu kommen
                    }
 
                    Proc.Go(); // Ab gehts!
                    break;

// in einem Breakpoint
MDbgValue[] Params = Proc.Threads.Active.CurrentFrame.Function.GetArguments(Proc.Threads.Active.CurrentFrame); // Parameter des aktuellen Frames auslesen
// != 2 Argumente -> Weiter gehts, keine Decrypt Funktion
                if (Params.Length != 2)
                {
                    Proc.Go().WaitOne();
                    continue;
                }
// Keine UInts als Parameter? Weiter gehts!
                if (!Params[0].TypeName.Contains("Uint") && !Params[1].TypeName.Contains("UInt"))
                {
                    Proc.Go().WaitOne();
                    continue;
                }
// Wir sind wohl in einer Decrypter-Funktion, also eine Ebene nach oben
                Proc.StepOut().WaitOne();
// EAX auslesen
                ulong eax = Proc.Threads.Active.CorThread.RegisterSet.GetRegister(CorCorDebugRegister.Eax);
                byte[] Out = new byte[8];
// EAX ist 0x00 ? Weiter gehts!
                if (eax == 0x00)
                {
                    Proc.Go().WaitOne();
                    continue;
                } 
// Wir lesen die ersten 8 Bytes (Header) des Strings aus
                Proc.CorProcess.ReadMemory((long)eax, Out);
// Uns interessiert nur die Länge des Strings (Offset = 4)
                Int32 Length = BitConverter.ToInt32(Out, 4);
// Alle Daten mit Länge auslesne
                byte[] Data = new byte[8 + Length * 2 + 1];
                Proc.CorProcess.ReadMemory((long)eax, Data);
 
// In Struktur Parsen
                StringFromAddress TemPSTR = new StringFromAddress(Data);
 
// Parameter der Decrypter-Funktion sichern zur String zuordnung
                Object Param1 = Params[0].GetStringValue(false);
                try
                {
// String + Token in eine Liste schreiben
                    lstCollection.Add(new StringUIntCollection(TemPSTR.Value, Convert.ToUInt32(Param1)));
                    Console.WriteLine("String decrypted: " + TemPSTR.Value);
                    System.IO.File.AppendAllText("Out_NEW_2.txt", String.Format("{0}|||{1}{2}", TemPSTR.Value, Param1, Environment.NewLine));
                }
                catch
                {
 
                }
                finally
                {
                    Proc.Go().WaitOne();
                }