Разработка Kernel-mode проактивной защиты

Здравствуйте.
Я разрабатываю Kernel-mode проактивную защиту. Она основана модификации таблицы системных вызовов. Реализованно:
1)Есть загрузчик драйвера
2)Есть сам драйвер перехватчик
Драйвер пока умеет делать процесс невидимым и и запрещает его уничтожение.

Есть некоторые трудности:
1)У меня нет нормального справочника описывающего недокументированные функции и структуры данных ядра(дизассемблером я ещё плохо пользуюсь)
2)В тех материалах которые есть у меня даже если что то описывается то не до конца.
Пример NtQuerySystemInformation есть описание нескольких типов входов, а их намного больше

Что нужно реализовать по минимуму:
1)Скрытие файла, невозможность удаления/изменения
2)Скрытие ключа реестра, невозможность удаления/изменения
3)Контроль сети

Буду рад любой помощи. Спасибо за внимание.

 

haxorart

Неббет
Шрайдер

 

Он Шрайбер, а не Шрайдер)))
За Небетта спасибо.

 

Что-то это больше похоже на руткит, а не на проактивку -)

Для скрытие файла тебе будет достаточно написать фильтр файловой системы имхо.
Для скрытия ключа реестра можешь поставить хук на NtEnumerateKey или CmEnumerateKey

 

Great

это новое поколение невидимых проактивок

 

Ну я его собираю по книгам по руткитам, так что он и похож на руткит)))

 

Фтопку все сурцы. Брать исходники ядра и дебажить сутками до просветления.)

 

Я как-то продал куски руткита как антивирусный движок

 

вот так чувствую и пополняется список вирустотала..

 

Так они там не сильно друг от друга отличаются.

 

Посмотри исходники Winpooch 'а может что нить надешь интресное

 

А что можно почитать/посмотреть по TDI, NDIS технологиям?

 

http://www.ntkernel.com/

 

http://tarasc0.blogspot.com/