Собтвенно сабж как сделать, чтобы максимально скрыть тот факт, что он был сделан моим дайвером. Банально xor eax, eax mov [eax], 'bsod' не подходит. Спасибо.
Ну хотябы чтоб в голубом экранчике имя моего драйвера не фигурировало, если возможно то и в минидампе было трудно понять суть.
делаеШЬ плохо где-нить важном месте и которое потом аукнется. можна и такой error слелать шоб без бсода ресет.. тренируй фантазмус!
перезапиши кучу системную, помоему переполнение кучи трудно отследить.. я уже не помню, давно такие ситуации не анализировал
или просто поменять адрес в SSDT часто вызываемой функции, например NtCreateFile на адрес другой функции с другим числом параметров, например NtQueryInformationFile будет весьма занятный казус, который может даже не приведет к бсоду, а если и приведет, то свести концы с концами будет нелегко)
Может так: 1. Выделить память, в нее записать шеллкод, который будет в цикле с таймером проверять валидность какого-нибудь адреса твоего драйвера, как только он становится невалидным, затереть цикл проверки адреса и испортить где-нибудь что-нибудь важное, например в обработчике прерывания от таймера 2. Создать системный поток с началом в шеллкоде и выгрузиться =)
Удали свой дровер из списка дров, на бсоде он светиться не будет (вместо него будет то что поближе лежит)
