Здравствуйте, ononim, Вы писали:

O>appcert dll грузится в процесс, который вызывает CreateProcess То есть это тоже своеобразный инжект.

Действительно.
Сделал лог в какой процесс загружается DLL, получил такую картину:

GetModuleFilename = C:\Windows\system32\wininit.exe
GetModuleFilename = C:\Windows\system32\services.exe
GetModuleFilename = C:\Windows\system32\winlogon.exe
GetModuleFilename = C:\Windows\System32\svchost.exe
GetModuleFilename = C:\Windows\system32\svchost.exe
GetModuleFilename = C:\Windows\system32\svchost.exe
GetModuleFilename = C:\Windows\System32\svchost.exe
GetModuleFilename = C:\Windows\system32\taskeng.exe
GetModuleFilename = C:\Windows\system32\userinit.exe
GetModuleFilename = C:\Windows\Explorer.EXE
GetModuleFilename = C:\Windows\system32\SearchIndexer.exe

Странно, что запись в лог остановилась, запускались ведь и другие приложения.