>> Толще не могли?
> Отчего же, могу: с++ники суть те же лефтпадщики - на любой чих,
> например, файл прочитать или сокет открыть - тащат буст или т.п.
> ненужный винхлам. Таких в ядерщики не берут)

Фрагмент драйвера, удаляющий тело руткита:

static
bool carantine_file(const const_unicode_string & filename)
{
  file f(filename);
  raw_data filedata(f.get_data());
  f.erase();
  wstring new_name( filename.get_string() );
  // special case for NTFS data streams
  wstring::size_type colon = new_name.rfind(L':');
  if ( colon != wstring::npos ) new_name[colon] = '_';
  ///\todo basic_string::replace
  new_name.erase(0, 1+new_name.rfind(L'\\'));
  new_name.insert(0, L"\\??\\"CARANTINE_FOLDER_NAME L"\\");
  file backup(new_name,
              file::supersede,
              file::write_data | file::write_attributes | synchronize,
              file::share_read);
  return backup && backup.write(filedata.begin(), filedata.size());
}

Правда, как раз вот это - некоммерческое.