Unlinking and relinking loaded DLLs from/to PEB

[digger]

è semplicemente una dll che si auto-toglie dalla lista dei moduli caricati nel processo in cui viene iniettata (warrock ad esempio).
La teoria vuole che in questo modo hackshield non detecti la hack.
Peccato che ho sempre trovato sta cosa alquanto inutile, di solito il motivo per cui si viene detectati non è che riconosce la dll in memoria, ma che usi delle funzioni che sono detectate, come le modifiche asm ad esempio, oppure il detour del DIP.
Di fatto non ricordo di aver mai visto una mia hack detectata con le funzioni disattivate, anche senza questo codice.