Перехватываю NtCreateProcessEx патчингом SDT. функция обработчик выглядит примерно следующим образом: NTSTATUS NewNtCreateProcessEx (...){...
Имена участников (разделяйте запятой).