Pero no entiendo un carajo, porqué así funciona? se supone que así está mal  . Osea el SizeOfImage original es 5000 entonces al aumentar 200 pos lo aumente 200, pero entonces peta (Creo que ya sé por que es  ). El virtual addres de la sección que viene después igual  . Y el puntero a la tabla de importaciones también, para que funcione hay que dejarlo como estaba, pero si lo moví 200 posiciones, que pasa? Lo único que se me ocurre es que funcione pero esté mal, que esos 0x200 que agregué no se carguen en memoria entonces las direcciones coinciden  .

Saludos

Todavía estoy desarrollando el concepto... teóricamente es posible... luego vienen los problemas claro...

Tu AV Killer utiliza los nombres de procesos y las Keys del registro que almacenan el Path?

Es "acojonante" (como dice un amigo)  ver como puedes detener facilmente un antivirus desde "sc" o desde "net", detener el servicio, eliminarlo del arranque y ya.

No se si habrá algún antivirus que deniege la detención del servicio aunque es dificil ya que si eres admin y no puedes detener un servicio propio de tu pc entonces pierdes el control y tendrias que pasar a system cosa que ahora desde xp es muy fácil de hacer.