Barrapunto

Hahahahhahahahaah.
Socio, si tu driver arranca antes (pongamos por ejemplo, de los primeritos en boot) y te da por controlar posibles hooks (que si estas antes, ya cazas) y adicionalmente revisas que entre lo que cargue no se tenga "basura" (por el metodo que quieras, firmas, imports,bla bla) ... ya cazas cualquier mierda que te entre en ring 0..

Me da a mi que, si no conoces ni los libros de Rusinovich, y visto lo que comentas, poco conoces de "windows internals", asi que, deja de hacer el ridiculo :)

Quedate con tus forenses en Linux (que parece que si lo pilotas) pero no te metas con otros sistemas si no sabes como funcionan por dentro :)