Если ты это утверждаешь то ты врядли знаешь подробности реализации софта в нулевое кольцо проца. Дело в том что антивири никогда не будут юзать 0ring. И ты ещё забыл что можно реализовать такую фишку - вирус всегда меняет размер своего кода (и частично содержание...) Так что поймать его нельзя.