А вот как это tcpview sysinternal-овский делает?
Ни у кого нету исходников?

Еще вопросик : заменять адреса функций — это
для системы "сильно неприятно"? Особенно, если
это не разово, а все время.
И, кстати, а как то же самое фаерволы делают?