Существуют ли признаки по которым можно было бы более менее надежно определить, что NtGdiBitBlt была вызвана для создания скриншота ?