[BOJIAHg]

т. к. укоренившийся руткит может подменять все данные стандартных функций.

при запуске тела вируса из реестра, скрипта или конфигурационного файла

Для вышеперечисленных цитат есть поведенческий блокиратор. Он анализирует уже запущенные приложения, и смотрит как они себя ведут. И думаю вышеперечисленные действия его насторожат, и он выдаст алерт, а после алерта уже недолго до вирлаба, и как следовало ожидать в вирусные базы, которые обновляютсья раз в сутки, а не раз в день или два, как у нортона.