【有偿】研究恶意驱动劫持与驱动自保护检测，求教思路

liuming

明：仅限虚拟机内安全研究，只做检测，不开发攻击 / 绕过类程序。

各位大佬好，自研 ARK/HIPS，一年内核开发经验，熟悉 IRP、各类内核回调、Hook 检测，具备驱动逆向能力。
项目计划：研究恶意驱动劫持、恶意驱动自保护的行为特征，在 ARK 中增加检测告警模块。

请教问题：

1. 恶意驱动自保还有哪些实现方式和可观测痕迹？
2. 驱动劫持的变种，以及低误报检测方案；
3. 如何区分合法安全产品自保和恶意驱动自保，减少误报。

期待大佬指点。有偿！！有偿！有偿