Раньше руткиты были проще — в ядро лазили и хуки ставили, а тут уже гипервизор на уровень ниже — совсем другой уровень невидимости. Детектить почти невозможно одной проверкой, timing-анализ сейчас единственный хоть какой-то намёк, но и с ним надо перебор делать, чтобы не нарваться на ложняк. Короче, ловить Blue Pill — это выварка из нескольких методов, никакой один фокус не поможет.