hook app execution?

nqkoi moje li da mi kaje kak da detectna 4e edin App shte se run-va?

toest imam rezidentna programa i iskam tq da detektne 4e "Notepad.exe" se startira...
iskam da prihvana tova, predi "Notepad" da se runnal deistvitelno...

ako nqkoi mi poso4i online example shte sym blagodaren

10x

PS - navsqkade sreshnah sampli za hook na keyboard :) a za moq prost case - nishto... :(

1 вариант - user mode - patch NtCreateProcess във всички address spaces.
2 вариант - kernel mode - hook NtCreateProcess in system service table - трябва да се внимава разбира се с различните версии на NT-то, индекса е различен (примерче за подобен hook е regmon на Марк Русинович).

ами това е което се сещам. :)

interesno - 10x

Search for "Image File Execution Options" in the registry.

hmm interesno - tozi key e dosta cenen mai :)
thanks