Las mejores ideas son, o la del bat, ya q un bat si puede borrarse a si mismo si no recuerdo mal, o inyectando codigo en otro proceso, para q los AV's no detecten CreteRemoteThread llamad a la api desde la mitad en vez desde el principio, y no doy mas pistas