это вирус? тогда можно получить адреса функций из импорта файла - по идее защита не должна их сплайсить в памяти, для FW это грязный хак - и...
гм, ну, всегда есть выход, все делать в ring0, а для пущей важности запихнуть себя в BIOS/MBR, далее при загрузке запускать тот или иной...
Видимо, случай записи из процесса-родителя и csrss нужно обрабатывать особо, а по окончанию процесса инициализации блокировать все способы...
Имена участников (разделяйте запятой).
