а мне кажется в юзермоде, если говорит что самовосстанавливается - скорей всего есть поток, может даже в каждом процессе где есть перехват,...
а хук вообще в ядре стоит или в юзермоде ?
Имена участников (разделяйте запятой).
