火绒的热补丁就是这么做的

根本就不是检测模式的问题，而是他的垃圾代码里到处都是坑。内核模式下一样挂，比如随便写个驱动在DRIVERENTRY里调用TestCreateconDrv
NTSTATUS
TestCreateconDrv()
{
    OBJECT_ATTRIBUTES ObjA;
    NTSTATUS Status;
    IO_STATUS_BLOCK IoStatusBlock;
    HANDLE FileHandle;
    UNICODE_STRING uCondrv;

       RtlInitUnicodeString(&uCondrv, L"\\??\\GLOBALROOT\\Device\\ConDrv\\KernelConnect");

    InitializeObjectAttributes(&ObjA, &uCondrv, OBJ_CASE_INSENSITIVE|OBJ_KERNEL_HANDLE, NULL, NULL);

    Status = ZwCreateFile(&FileHandle,
                            GENERIC_WRITE,
                            &ObjA,
                            &IoStatusBlock,
                            NULL,
                            FILE_ATTRIBUTE_NORMAL,
                            FILE_SHARE_READ,
                            FILE_OPEN_IF,
                            FILE_SYNCHRONOUS_IO_NONALERT | FILE_NON_DIRECTORY_FILE | FILE_SEQUENTIAL_ONLY,
                            NULL,
                            0
                            );

    if (NT_SUCCESS(Status))
       {

        ZwClose(FileHandle);
    }

    return Status;
}

建议把CREATE CLEANUP ,CLOSE都PATCH了
EXTERN_C POBJECT_TYPE* IoDriverObjectType;
EXTERN_C NTSTATUS ObReferenceObjectByName(
       PUNICODE_STRING ObjectName,
       ULONG Attributes,
       PACCESS_STATE AccessState,
       ACCESS_MASK DesiredAccess,
       POBJECT_TYPE ObjectType,
       KPROCESSOR_MODE AccessMode,
       PVOID ParseContext,
       PVOID* Object
       );

// 全局变量
PDRIVER_OBJECT   g_Con = NULL;
PDRIVER_DISPATCH g_OriginalCreate = NULL;
PDRIVER_DISPATCH g_OriginalCleanup = NULL;
PDRIVER_DISPATCH g_OriginalClose = NULL;

NTSTATUS HookCreate(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
       UNICODE_STRING usFileName = { 0 };
       PIO_STACK_LOCATION pStack = IoGetCurrentIrpStackLocation(Irp);
       DbgPrint("Open File:%wZ\n", &pStack->FileObject->FileName);

       RtlInitUnicodeString(&usFileName, L"\\KernelConnect");
       if (RtlCompareUnicodeString(&pStack->FileObject->FileName, &usFileName, TRUE) == 0)
       {
               // 走到这里说明在访问漏洞函数了，再检查请求是否来自UserMode
               if (Irp->RequestorMode)
               {
                       Irp->IoStatus.Information = 0;
                       Irp->IoStatus.Status = STATUS_ACCESS_DENIED;
                       IoCompleteRequest(Irp, IO_NO_INCREMENT);
                       return  Irp->IoStatus.Status;
               }
       }

       return g_OriginalCreate(DeviceObject, Irp);

}

NTSTATUS HookCleanup(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
       UNICODE_STRING usFileName = { 0 };
       PIO_STACK_LOCATION pStack = IoGetCurrentIrpStackLocation(Irp);

       if (!MmIsAddressValid(pStack->FileObject) || !MmIsAddressValid(pStack->FileObject->FsContext))
       {
               Irp->IoStatus.Information = 0;
               Irp->IoStatus.Status = STATUS_ACCESS_DENIED;
               IoCompleteRequest(Irp, IO_NO_INCREMENT);
               return  Irp->IoStatus.Status;
       }

       return g_OriginalCleanup(DeviceObject, Irp);

}

NTSTATUS HookClose(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
       UNICODE_STRING usFileName = { 0 };
       PIO_STACK_LOCATION pStack = IoGetCurrentIrpStackLocation(Irp);

       if (!MmIsAddressValid(pStack->FileObject) || !MmIsAddressValid(pStack->FileObject->FsContext))
       {
               Irp->IoStatus.Information = 0;
               Irp->IoStatus.Status = STATUS_ACCESS_DENIED;
               IoCompleteRequest(Irp, IO_NO_INCREMENT);
               return  Irp->IoStatus.Status;
       }

       return g_OriginalClose(DeviceObject, Irp);

}

NTSTATUS Init()
{
       NTSTATUS status = STATUS_UNSUCCESSFUL;
       UNICODE_STRING usDrvName = { 0 };

       // install Hook
       RtlInitUnicodeString(&usDrvName, L"\\Driver\\condrv");
       status = ObReferenceObjectByName(&usDrvName, OBJ_CASE_INSENSITIVE, NULL, 0, *IoDriverObjectType, KernelMode, NULL, (PVOID*)&g_Con);
       if (!NT_SUCCESS(status))
       {
               DbgPrint("Couldn't get the driver object \n");
               return status;
       }
       else
       {
               // Start Hooking
               if (!g_OriginalCreate)
               {
                       g_OriginalCreate = g_Con->MajorFunction[IRP_MJ_CREATE];
                       g_Con->MajorFunction[IRP_MJ_CREATE] = HookCreate;
               }

               if (!g_OriginalCleanup)
               {
                       g_OriginalCleanup = g_Con->MajorFunction[IRP_MJ_CLEANUP];
                       g_Con->MajorFunction[IRP_MJ_CLEANUP] = HookCleanup;
               }

               if (!g_OriginalClose)
               {
                       g_OriginalClose = g_Con->MajorFunction[IRP_MJ_CLOSE];
                       g_Con->MajorFunction[IRP_MJ_CLOSE] = HookClose;
               }

               DbgPrint("Hook: HOOK driver object! Success\n");
       }
       return STATUS_SUCCESS;
}

void UnInit()
{
       if (g_Con)
       {
               g_Con->MajorFunction[IRP_MJ_CREATE] = g_OriginalCreate;
               g_OriginalCreate = NULL;

               g_Con->MajorFunction[IRP_MJ_CLEANUP] = g_OriginalCleanup;
               g_OriginalCleanup = NULL;

               g_Con->MajorFunction[IRP_MJ_CLOSE] = g_OriginalClose;
               g_OriginalClose = NULL;

               ObDereferenceObject(g_Con);
               g_Con = NULL;
               DbgPrint("Restore hook!\n");
       }
}

wowocock 根本就不是检测模式的问题，而是他的垃圾代码里到处都是坑。内核模式下一样挂，比如随便写个驱动在DRIVERENTRY里调用TestCreateconDrv NTSTATUS TestCreateco ...

本质是 CREATE IRP返回失败 没有设置IoStatus,你说的内核模式一样挂 也是因为多处返回没有设置IoStatus
第一个内核模式判断eabufer有无attach字符串 没有返回的失败就没设置IoStatus