Может ли кто-нибудь дать мне объяснение высокого уровня, как они могут контролировать каждый доступ к реестру?
http://technet.microsoft.com/en-us/sysinternals/bb896645
Достаточно подробно, чтобы я мог гуглить по различным подпрограммам.темы и попробуйте написать свою?Я знаю, что они использовали какую-то DLL-инъекцию / перехват API, но я не уверен, как они достигли всей активности режима ядра.