берешь process hacker и смотришь чтобы все было с цифровой подписью, открываешь процесс, смотришь чтобы все модули были с цифровой подписью, затем смотришь области памяти с правами на выполнение - если внезапно наблюдается кусок памяти не принадлежащий образу - то это скорее всего инжект, и надо смотреть какие потоки туда обращаются. по большому счету - хороший софт - это голова + руки