Was passiert denn bei CreateFile auf die plink.exe? Die meisten Virenscanner implementieren einen FS-Filtertreiber, der beim Öffnen von Dateien bereits zuschlägt, aber es wäre nicht auszuschließen, daß einige auch SSDT-Hooks einsetzen.
Ansonsten müßtest du mal
ProcMon anwerfen ...
