No soy malware writer, pero analizando malware... no crean una pipe para poder ejecutar comandos de la shell de win?

Nox.

Te ahorro el análisis: Lo hacen con WMI.

Si eliminas la entrada en la WMI de los AVs verás como el RAT no es capaz de identificar nada. A no ser que el RAT revise uno por uno los procesos de todos los posibles AV