Почему рекомендую именно в память загружать с открытого источника.

Дело в том что антивирусы блочат домены с которых льют малварь автоматически. Если будешь лить со своего хоста - сразу блок при первом срабатывании на одном из клиентов. А сайты из белого списка не блочит, это обычно социальные службы на которых много контента разного содержания. Просто берешь бинарник, шифруешь его своим секретным ключом и кодируешь в BaseN любыми печатными символами и заливаешь в блоги, социалки или еще куда нить из белых списков =)

А в память потому что антивирус туда уже не полезет просто так, если он сканит процесс то при старте либо в своей виртуалке стартует и наблюдает за ним пару сот миллисекунд либо прям в риалтайме следит непродолжительное время. Если процесс уже стартанул и проверился антивирем то его штормить в дальнейшем просто так не будет, только при подозрительной активности. Поэтому выделяешь память, качаешь зашифрованный зловред код в буферку, ждешь секунду, расшифровываешь в подготовленную память, передаешь управление, в такой последовательности. Это касается только юзермода, если от привилегий ядра то пофиг в принципе.