Teško je proveriti tako nešto. Ja se sećam kako sam ja to pravio, za Windows. Kada korisnik pokrene program, program se kopira u (obično) temp i pokrene jedan instance kao servis. Korisnici ne proveravaju temp folder jer nisu naučeni, a programi za čišćenje čiste temp, ali ne brišu moj program jer je već pokrenut (zauzet za brisanje). Onda laganica, program ne radi ništa čudno prva 2-3 meseca. Do tad će korisnik da instalira ko zna šta još i neće posumnjati u moj program. Svaki moj programčić je nadgledao zauzeće procesora, memorije i interneta. Stvari idu lagano što je manje opterećenje teže se otkriva. Recimo pravio sam dosta za špijuniranje desktopa, e sad neiskusni programeri će reći da servis ne može da slika gui, ali nije istina, ima winapi koji to lagano omogućava. Sve se svodi da ne forsirate ništa i da program ne žuri. Najlakše se otkriva kada prati tastaturu, znači ne raditi hook na tastaturu ako bas nema potrebe ili cimati laganica, na pokret miša uradite hook na tast. 30 sekundi pa unhook, tako antivirus neće sigurno teagovati. Izbegavate česte izlazne konekcije, a posebno prema razlicitim ip adresama, izbegavate zauzece procesora maksimalno, memorija je ok i disk je ok. Nekad pokrenete socket server ali na localhost, da antivirus misli da se radi nešto lokalno, dosta programa koristi local socket umesto "pipes". Znači nadmudrivanje sa antivirusom, ne sa korisnikom. Pratite zauzeće antivirusa i kad je zauzet, tad radite. Morate znati kako antivirus radi u pozadini, to ce vam objasniti samo c logika, ne neki drugi jezik, mora c jer vas tera da razmisljate kao komp. Antivirusi prave zamke, alociraju neku bzv memoriju i gledaju koji id ce da pristupi. Onaj koji pristupi znači pretura nešto, trazi random stvari. Mogao bi mesec dana o ovome da pričam...