не знаю как на счёт палева, но первое что пришло в голову:
ключ реестра AppInitDlls
HKCU...\Run
HKLM...\Run
аттач к доверенному процессу