совсем спрятать вряд ли возможно
если только какой-нибудь глюк в виндах найти

но это и не обязательно
можно например запустить поток в другом процессе

я не пробовал, но есть два варианта:
1) ставишь hook и создаёшь поток в нужном процессе, после чего снимаешь hook
2)
а) с помощью Read/WriteProcessMemory() заливаешь маленький кусок кода для выделения памяти под основной кусок (небольшие свободные области памяти можно найти в местах выравнивания секций, или просто переписать часть чужого кода или данных, а потом его восстановить)
б) переписываешь один из адресов импорта на адрес своего кода
в) заливаешь основной кусок кода
г) возвращаешь на место адрес импорта

Follow Ups:

• Ну да... а руткит под НТ ты не видел? ZaDNiCa 19:18:46 09/19/01 (11)
  • интересно посмотреть; где можно взять ? (-) ggg 22:02:19 09/19/01 (10)
    • Re: интересно посмотреть; где можно взять ? (-) cb 11:10:10 09/20/01 (9)
      • Да? ты так думаешь? ZaDNiCa 14:50:34 09/20/01 (8)
        • так его всё-таки видно ? ggg 15:20:01 09/20/01 (6)
          • Re: так его всё-таки видно ? cb 16:14:58 09/20/01 (5)
            • Нет.. все намного сложнее ZaDNiCa 14:19:40 09/21/01 (4)
              • Re: Нет.. все намного сложнее cb 14:55:29 09/21/01 (3)
                • Согласен что обходится ZaDNiCa 15:00:44 09/21/01 (2)
                  • Re: Согласен что обходится cb 16:00:40 09/21/01 (1)
                    • Re: ага. 1)FAR plugin, 2)_root_ KMiNT21 16:57:15 09/21/01 (0)
        • Re: Да? ты так думаешь? cb 15:09:41 09/20/01 (0)
• Re: NT/Win2k, VxD(SYS)( сервисы), диспетчер задач, и (+++) KMiNT21 17:28:11 09/19/01 (0)