работает примерно так:
1. запускаем армовое приложение
2. зацикливаем на OEP (необязательно, но иначе от дампа мало толку)
3. запускаем dumper.exe, вводим PID _ВТОРОГО_ процесса армы и жмем Dump
4. повляется окошко DLL. Тут вводим имя дампа, стартовый адрес и количество 
страниц (все это видно в LordPE или аналогичной проге)
5. Жмем Dump, говорим ok. Если с адресами все в поряке - напишет ok.
6. В полученном дампе надо отредактировать (hiew) поле PEHeaderOffset - это
dword по смещению +3ch от начала файла. Там надо прописать корректное смещение
до PE заголовка (обычно 100h) - арма портит это поле
7. после этого идем в PE Editor и делаем wipe section для пары последних левых
секций (ну или можно поправить sections count в заголовке PE)
8. теперь осталось для каждой секции выставить raw offset равное virtual address
и raw size равное virtual size. Теперь дамп готов.

дампер использует идею stenа со внедрением DLL в армовый процесс и последующим
обломом защиты copymem/copymem2

(c) 2003 infern0 / TSRh team
любые комментарии принимаются на infern0@tiraet.com или по icq:23485245

ps: крайне рекомендую перед снятием армы прочесть тутор от dragon - весьма полезно...

да вот еще - работает это чудо только под nt/2k/xp - без вариантов.