В общем сидел я тут и получилось сделал такой прикол(мб боян хз) создал папку con через cmd mkdir \\.\C:\con и туда поместил простой давнлоадер. сперва взял простые функции,без какой либо защиты,и в чем прикол: в "дремлющем" состоянии антивирус (у меня др веб) отсосал и промолчал себе спокойно. конечно когда я попытался его запустить он его сожрал. но думаю это такая дополнительная "микрозащита" даже если человек вычислит раньше чем антивир что там малварь,папку удалять только через цмд получится)
он не палит просто обращения к системным интерфейсам ввода/вывода(con,prn,aux,lpt и т.п.) а при запуске хукает функцию shellexecute