как можно это сделать?

_Dream, это называется rootkit.
Приличному приложению нечего от диспетчера прятаться   

У формы приложения есть свойство ShowInTaskbar.
Если ему присвоить значение false, то приложение не будет видно в диспетчере задач среди запущенных приложений, но в процессах все равно будет видно.

Если надо - обращайся, только учти, что нужны права администратора.

В форуме по С++ когда-то была целая пачка примеров, как это делать.

Чтобы процесса не было видно - только играться с сервисами (о, нет - не веб-вервисами, а службами). Погрузившись в муть ВинАПИ. Только подумай хорошо - это то, что тебе надо? Заметь, что простой юзверь вероятно не будет иметь прав на рег сервиса   

Службу всё равно можно видеть в списке процессов и снять за два клика. Это так, к сведению   

Как таковую да, но не любую. Просто без служб вообще не скроешь. На память не скажу как сделать, но в дествте игрался (хотя не знаю зачем) - если надо, могу дома наскрябать.

Не службу, а ее хост   
Т.е. тот процесс который ее запустил. Куча служб запускается чсерез svchost.

Но список служб, запущенных с помощью конкретного процесса, можно узнать.
Например, с помощью PROWiSe Manager

Зачем возиться со службами, если можно перехватить


прочесть структуру, немного ее изменив, и вернуть то, что нам надо?

надо.
что значит нужны права. если юзер запустит прогу(а все сидят под админами) то все ок будет?


надо сделать например следующее
по таймеру открывается форма. висит 5 сек. закрывается. потом снова открывается. чтоб этого процесса не было в процессах(не в приложениях а в процессах). это возможно? и насколько это сложно?   

OFF

разве?
а я читал что руткит написан на уровне ядра и именно поэтому он так крут - он ниже винапи а антивири работают на винапи. так что он[руткит] просто не дает видеть чтонибудь - например папку в которой вирус\троян а сам руткит не делает ничего плохого!


Это сообщение отредактировал(а) _Dream - 15.1.2007, 19:11

Да. Смотри аттач.  Нужно запустить процесс, в котором есть строка _cool_ (у меня _cool_Regmon.exe). Для показательности можешь открыть диспетчер задач и убедиться, что он там есть. Потом грузишь драйвер (можешь через панель управления добавить устройство или через загрузчик Шрайбера. В параметре - имя файла драйвера, например: w2k_load hideprocess.sys) и процесс виден не будет.



Все зависит от знаний о методике работы антивирусов. Сейчас я про обычный исполняемый файл рассказываю.
То есть, антивирус может перехватывать функцию ZwCreateProcess, которая вызывается первой при создании процесса, получать из нее (не бить - это я упрощенно написал) имя запускаемого файла и сверить его сигнатуру с антивирусными базами. Если вирус - алерт и далее зависит от действий пользователя. Примерно так:


Порядок вызова


Загрузку руткита тоже можно отследить. Но в нуль-кольце выигрывает тот, кто нападает. Поэтому антивирус может проиграть при прямых руках и его тщательном изучении.
Для детекта руткитов можно использовать программу Rootkit Unhooker.

Пример в аттаче.

Присоединённый файл ( Кол-во скачиваний: 331 )
 HideProc.zip 39,47 Kb

ой спасибо большое будет время гляну. 
а что такое нуль-кольцо? 

диагноз...

M mr.DUDA

Обсуждение руткитов и прочих зверей на уровне 0-го кольца выходит за рамки темы, уважаемые!