Una palabra: ring0

Para ring0 seria hacer lo como un driver no?

Para saber la función del sistema que no es monitorizada seria probando ?
Luego para vulnerabilidad no se tanto para poder encontrar, pero en internet supongo que habrá información pero esto me lo tomo como alternativa.

Ya que hasta ahora (Windows10) sólo hay una llamada del sistema creada para cerrar procesos ( TerminateProcess/NtTerminateProcess), no hay una solución en general sino el proposito de un AV no tendria sentido.
- Cargando un driver: la carga de driver los interceptadas por AVs (x86); en x64 está el PG, UEFI el cual se ha venido mejorando de versión a version.
- Exploit: Una vez que sea reportada a microsoft, adios a tu solución todo el trabajo sólo para terminar un miserable AV como AVG.