я реверсил вайм, помимо чеков драйверов для антидебага(hyperhide, createfile c:/titanhide.log) он также чекает CE драйваки.
потом в рантайме аллоцирует странички с прямыми вызовами
Посмотреть вложение 251595
рискну предположить, что ntqueryperformancecounter использовался для антидебага + чека чит энджина.(проверить не могу, реверсил относительно давно)