gmh5225/driver-hidekernelthread-iocancelirpТехника драйвера ядра Windows, скрывающая потоки ядра путём злоупотребления IoCancelIrp и процедурами отмены IRP, с методами обнаружения для выявления скрытых потоков.
не мой код. только для сохранения https://bbs.pediy.com/thread-272795.htm
Установите адрес точки входа потока в IoCancelIrp, а контекст — в созданный вами IRP. Затем поток вызовет IoCancelIrp. При вызове будет выполнена операция отмены IRP. Это, в свою очередь, вызовет IRP->CancelRoutine. Таким образом, нам достаточно установить адрес точки входа нашего потока в IRP->CancelRoutine.
