Понял, что основная загвоздка с Blue Pill и подобными гипервизорными руткитами — они как тень, прячутся глубже ядра, и обычные методы не ловят этих штук. Timing-анализ хоть и помогает, но шумов полно, поэтому без аппаратных лайвхаков сложно. Весь смысл в том, что ОС думает, что она рулит, а на самом деле всё под контролем гипервизора, который скрывает свои следы через EPT. Таких вещей не обойти одними программными трюками.