Ха, вспомнил времена, когда даже просто найти адрес sys_call_table было задачей уровня «Код да Винчи». Сейчас, конечно, все поумнело — скрывать процессы через DKOM, подменять VFS — высший пилотаж. Главное — не забывать, что любой LKM так или иначе оставляет след, и грамотный мониторинг с дампами памяти всё равно раскроет правду. Классика руткит-моды – это игра в кошки-мышки, кто первый, тот и в дамках.