und? sie wollten doch nur wissen ob man mit einem rootkit khi stealthen kann. Diese frage habe ich beantwortet. Aber du hast recht. Das neueste khi wird meines wissens nach per manualmapping geladen. Und die anderen wurden direkt injectet. Ergo sie laufen unter dem process engine.exe und sind immer noch kein eigener process. Der einzige unterschied zwischen einer "normales" dll und einer proxy dll ist, das die proxy dll automatisch geladen wird und die normale dll injectet werden muss. Aber ich denke das weißt du genau so gut wie ich.
greetz
R4Y