gmh5225/driver-hidekernelthread-iocancelirpWindows-Kernel-Treiber-Technik, die Kernel-Threads verbirgt, indem sie IoCancelIrp und IRP-Abbruchroutinen missbraucht, mit Erkennungsmethoden zur Identifizierung verborgener Threads.
nicht mein Code. nur zum Speichern https://bbs.pediy.com/thread-272795.htm
Setze die Thread-Einstiegsadresse auf IoCancelIrp und den Kontext auf den von dir erstellten IRP. Dann ruft der Thread IoCancelIrp auf. Beim Aufruf wird die Operation zum Abbrechen des IRP ausgeführt. Dadurch wird dann IRP->CancelRoutine aufgerufen. Wir müssen also nur unsere eigene Thread-Einstiegsadresse auf IRP->CancelRoutine setzen.
