Opa, boa noite Otávio. Tudo certo? Desculpa a demora para responder aí! Beleza, vou dar uma olhada no OpenProcess e como ele se comunica com o NtOpenProcess. Essa passo a passo pode ser feito pelo WinDbg?
Quanto a essa parte de recursos controlados e escassos, está ligado a que tudo precisa ser solicitado ao modo kernel, a aí sim, ele que faz a parada de verdade. Na verdade, pelo o que eu já percebi, não é nem o kernel na verdade, pois o kernel passa para o driver e o driver passa para o HAL e daí o HAL é que faz o que precisa ser feito e depois avisa o kernel que está pronto. É mais ou m