карта памяти процесса

Последний поток — 578h представляет собой основной поток программы и хранит своей стартовый адрес _не_ в третьем, а во втором (!) двойном слове:

12FFE0 FFFFFFFF End of SEH chain

12FFE4 79481F54 SE handler

12FFE8 79432B18 KERNEL32.79432B18

12FFEC 00000000

12FFF0 00000000

12FFF4 00000000

12FFF8 00401405 va_threa.<ModuleEntryPoint>
; ß

стартовый адрес потока 578h

12FFFC 00000000 ; ß дно пользовательского стека потока