Вот что говорят по этому поводу Мудрые:)


"Рассмотрим один из вариантов такой технологии, примененный в ряде опасных троянских программ семейства Trojan-Spy.Win32.Banker. Этот вариант основан на внедрении руткит-перехватчика из драйвера. В этом случае в систему устанавливается драйвер небольшого размера, содержащий машинный код перехватчиков для режима UserMode. Драйвер перехватывает функции ядра, отвечающие за запуск процессов:



Функция ZwCreateProcess (2F) перехвачена (805B3543->F9E57219), перехватчик C:\WINDOWS\system32\iesprt.sys

Функция ZwCreateProcessEx (30) перехвачена (805885D3->F9E57280), перехватчик C:\WINDOWS\system32\iesprt.sys



Обнаружив запуск процесса, драйвер внедряет в него машинный код руткита и перехватывает функцию LdrLoadDll. Это позволяет ему следить за загрузкой других библиотек и в момент загрузки библиотеки wininet.dll произвести перехват ее функции HttpSendRequestA (функции WriteProcessMemory и ZwWriteVirtualMemory при этом не применяются).

Более сложная (и менее заметная) технология вмешательства в работу процессов из режима ядра описана на сайте rootkit.com и сводится к установке функции мониторинга режима ядра при помощи PsSetLoadImageNotifyRoutine. Установленная таким образом функция вызывается системой после каждой загрузки образа исполняемого файла, что делает ее идеальным местом для размещения машинного кода, модифицирующего загруженный модуль. Как и в случае с Trojan-Spy.Win32.Banker, для модификации памяти программы или ее модулей из режима ядра можно обойтись без использования функции ZwWriteVirtualMemory."