Антивирус постоянно боновляется - кейлоггер быстро спалят. Хорошо бы найти такой кейлоггер (может просто winlogon крякнутый), чтобы дампил пароли при входе и больше себя никак не проявлял. Еще думал попробовать dll injection - внедрить dll в процесс доменного пользователя, которая создаст учетку на контроллере домена, но написать сам пока не смог...