Buenas  a todos. LLevo como cosa de un mes trabajando en mis ratos libres en un pequeño proyecto de rootkit-keylogger en C++.
Si bien las firmas ni la heuristica de los antivirus son un problema, el problema me surge al hacer que mi programa quede indetectable ante ciertas defensas como la PROACTIVA de kaspersky.

Por si alguien no lo sabe este tipo de defensas crean hooks en las apis a niver KERNEL.
Y aqui reside mi principal problema, ya que me es imposible por el momento por mas que he intentado, burlar esta defensa para poder instalar en el equipo de pruebas (en el que dispongo corriendo Windows Vista y el susodicho kaspersky) mis propios hooks y es que tiene un monton de apis pilladas.

Bueno pues eso es todo, estaria super agradecido si alguien pudiese minimamente orientarme o si supieran algo sobre apis "no hookeadas" por kaspersky , o cualquier tipo de engines de keyloggers que a dia de hoy no sean detectados por estas soluciones de seguridad, asi como cualquier tipo de informacion relacionada con el tema.

Un saludo a todos.

Muchas gracias Hendrix por esa rapidez al contestar .

Sí, eso fue lo que se me paso por la cabeza en un principio e incluso anoté la direccion de algunas apis y todo. , el problema es k si no me equivoco el enlace de kaspersky es a las apis primitivas (ntdll.dll,etc..) y a nivel kernel asi que no sé si será posible, te agradeceria un  monton si me puedes aclarar este asunto.

Sobre el tema de la tabla de descriptores ¿seria posible meterle mano a nivel usario?? En este aspecto es que estoy un poco verde...


Un saludo y muy buenos por cierto los manuales y documentacion que tienes por el foro.  Espero terminar pronto este tema y poder subir el codigo en modo de manual "como se hizo". Xdddd 

Aqui tienes un ejemplo de como sacar las direcciones de la SSDT desde Ring3:

http://www.rootkit.com/newsread.php?newsid=176


Evidentemente estos hooks son a nivel de Kernel....tendras que cargar un driver para reparar la SSDT (y el KIS detecta la carga de drivers creo  ). En Ring3 creo que no se puede hacer....

Un Saludo