Пока удалось только определить, что падение происходит после вызова WinAPI в модуле ntdll.