Кто-то меня спрашивал как удалить драйвер AV/EDR, потому что службу мы уже смогли и перезаписать и удалить, а с драйвером так сделать было невозможно.
В общем я что то потыкал и удалил драйвер с перезагрузкой хоста.
Открываем:
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
И в параметр
ExistingPageFiles записываем путь к драйверу AV/EDR (начало пути \??\C:\ ну или иная метка диска), после ребутаем тачку и получаем профит в случае, если smss.exe сможет получить права на удаление. По этой причине работа данной техники сильно зависит от архитектуры решения которое мы пытаемся удалить.Работает и на 10 и на 11 Windows