CreateToolhelp32Snapshotから私のプロセスを防ぐには？

Question

CreateToolhelp32Snapshotを使用して別のプロセスがプロセスを検出しないようにする方法はありますか？

Answer 1

ユーザーを自分自身から保護する必要がある環境にいる場合、これらのユーザーは管理者以外のユーザーである必要があります。また、別のユーザーとして実行されるサービスやタスクを作成して殺すことはできません。

あなたは絶対にプロセスを非表示にする必要があり、あなたの選択した方法を使用すると、ユーザーモードでフックする必要があり、少なくとも6つのものがあり、その後、注射&フックされている場合：

• TOOLHELPのAPI
• NT4は、 PSAPI.DLL
• 文書化されていないネイティブのNT API
• terminal server API
• パフォーマンスカウンタ
におけるプロセスAPI
• WMI

は、「より良い」ソリューションは、PsActiveProcessHeadのリストからプロセスを削除することですが、あなたはそれを行うには、カーネル・モードにする必要があり、それがカスタムドライバを書くことを意味します。このルートを下っていくと、いくつかのセキュリティツールによってプログラムにマルウェア/ルートキットというラベルが付けられます（正しくはそうです）。