Соревноваться драйверу on-demand ("защитнику") с уже запущенным boot/system (вирусным драйвером), который мог перехватить "все и еще чуть-чуть" в системе -- достаточно смешно. Я бы даже больше сказал: это просто бессмысленно и бесперспективно. (Разве что "для галочки" - но мы так не делаем).
Если речь опять же о том же свежем TDSS, то его актуальность "слегка преувеличена", да и смысла обсуждать его в данном контексте нет по другим причинам -- удалять некого.
Определенные варианты решений есть: это как большая мимикрия себя под стандартные драйверы (не лезть раньше всех), а так же еще кое-какие "хитрости" до перезагрузки - но все это не является фундаментальными решениями. То есть при желании и нацеленности именно на продукт, их можно обойти. (На всякий случай: это актуально для любого продукта любой компании).
Есть другой еще вариант (до конца не происследованный в данный момент, но вполне реализуемый на практике, и думаю без особых сложностей) - отказаться просто от использования бут-драйвера и реализовать этот "удаляльщик" немного иным способом, загружаясь еще раньше, чем этот список бут-драйверов из реестра.
А теперь еще вариант. Самый разумный и правильный.
В случае, когда заражение носит столь серьезный характер, не нужно "играть в игрушки" и соревноваться "кто круче", а нужно просто выполнить свою работу. Банально загрузившись со специально подготовленного загрузочного диска, и очистить систему.
Очевидно, что в соревнованиях "антивирусная компания" vs "разработчики malware" первые всегда находятся в проигрышной позиции. Не потому что меньше знают или не могут что-то сделать, а потому что ответственность в миллионы раз больше (у последних ее просто нет). Вот тем же авторам TDSS абсолютно наплевать что из-за их руткита не работает на системе у пользователя, так же им наплевать, что "случайно" они могут удалить реально необходимые бут-драйвера и система просто не загрузится. Компания, занимающаяся ИБ, себе такого позволить в принципе не может ("вот этих мы пролечили, а у тех теперь компьютеры не грузятся, но это их проблемы"). Именно поэтому на определенном этапе эти "соревнования" и теряют всякий смысл, их необходимо прервать. В этом случае вопрос решается просто по-другому (см. пример "правильного решения"). Но сделать это решение, безусловно, нужно наиболее удобным и понятным для конечного пользователя.
В этом ключе OSAM будет приспособлен чуть позже (иметь возможность подключать реестр с любого указанного пути), это хотели сделать достаточно давно.