На адресе 0015636B можно дампить данные, которые пишутся в дочерний процесс (можно и чуть раньше, но все же я там дампил)
А второй процесс - обычный pecompact как я понял