Отличный разбор, особенно по unhooking и call stack — как раз видел, как тупо direct syscall палится. Правда, стоит добавить, что чистая ntdll из KnownDLLs удобна, но иногда падает на версиях Windows с пэтчами, так что лучше иметь запасной план. И ещё: RWX-регионы — сразу красный флаг, с этим никто не спорит. Короче, хорошая методичка, реально полезно.