also ich hab den autor von OSAM ne mail geschrieben und er hat mir folgende antwort geschrieben:
[...]
We using our technology of direct parsing of system registry, without
using any
OS functions. [...]
also lesen sie die registry direkt ein ohne nen Treiber, komisch frag mich wie das gehen soll den die hives werden doch
exlusiv geöffnet.
Jedenfalls ist da wirklich was dran, den auch tools wie "SysInspector" arbeiten nur im Usermode und finden registry Einträge welche übern Kernelmode Rootkit- Treiber versteckt wurden.
Naja mein eigentliches bestrimmen war einfach halt herauszufinden wie diese Progs arbeiten.
Das mit SSDT- Hooks und co ist doch blöd, funzt das überhaupt mit Vista? Ich sollte villeicht mal echt versuchen
die Registry werte aus dem Kernel direkt auszulesen.