запуск кода или длл на исполнение без CreateRemoteThread

totimoud
Patch Guard работает на уровне ядра, в р3 это не актуально.

 

XshStasX
APC отпадает т.к я не встречал на 7 системных процессов с alertable потоками (т.е зачастую нужны именно они, чтобы фаер не ловил дальнейшие обращения к другим процессам).
Перезапись адресов в стеке опять же не канает - ловится фаерами (ну или я просто не знаю, как это правильно делать).

Например гипервизор csrss.

 

Я больше склоняюсь к перезаписи начала транслэйтмессадж. код отрабатывается расставляет свои перехваты нужного мне экспорта. и возвращяет код на место