Hola,

1) Windows provee funciones callbacks para ese tipo de tareas, por ejemplo para monitorizar todo proceso que
es iniciado o cerrado se puede usar la función: PsSetCreateProcessNotifyRoutine. Obviamente y estoy muy seguro que un antivirus no utilizaria este
callback debido a que cuando esta es invocada desde modo kernel el proceso ya ha sido creado ( incluyendo espacio virtual, hilo principal, etc )  y ejecutado, en lugar ellos hookean funciones como Psp,que,Se,Hal debido a que necesitas analizar los argumentos que son pasados porque mantienen
una lista basada en heurística.
por ejemplo Openprocess/NtOpenprocess analizar el numero de identificador del proceso que es pasado como argumento y verificar si no es el del mismo
antivirus, un handle a un proceso con un token con todos los privilegios asignados es casi seguro la terminación de un proceso.

2) Depende de que tipo de tareas, opciones: puede programar un driver de tipo filtro para controlar un NTFS, usar callbacks como dije ( los cuales son limitados, no se puede agregar callbacks inifnitos debido a falta de recursos ),
evitar hooks tanto sea posible.

3) *facepalm*

A menos que te esperes unos cuantos años hasta que llegue la version del libro traducida a tu idioma (generalmente
tardan 4-8 años y eso es si es bastante solicitada en el idioma) de lo contrario aprender Ingles.
Por cierto, Eternal Idol es un capo. 

Amigo, crea tu propio post. Reglas del foro.

---

EI: juntando mensajes.

---

x64Core Gracias por la información. Me servirá más adelante cuando logre usar VirtualBox con VS2012 para la creación de drivers ya que en estos momentos no me deja depurar el driver.