Pin-инструмент для отслеживания вызовов CreateFile

Я сделал пин-инструмент для вывода вызовов Win32 CreatFile (в моем случае CreateFileW) и его возвращаемых значений. Это выглядит так:

/* ... */

VOID Image(IMG img, VOID *v)
{
RTN cfwRtn = RTN_FindByName(img, "CreateFileW");
if (RTN_Valid(cfwRtn))
{
RTN_Open(cfwRtn);

RTN_InsertCall(cfwRtn, IPOINT_BEFORE, (AFUNPTR)CreateFileWArg,
IARG_ADDRINT, "CreateFileW",
IARG_FUNCARG_ENTRYPOINT_VALUE, 0,
IARG_END);
RTN_InsertCall(cfwRtn, IPOINT_AFTER, (AFUNPTR)CreateFileWafter,
IARG_FUNCRET_EXITPOINT_VALUE, IARG_END);

RTN_Close(cfwRtn);
}
}

/* ... */

VOID CreateFileWArg(CHAR * name, wchar_t * filename)
{
TraceFile << name << "(" << filename << ")" << endl;
}

VOID CreateFileWafter(ADDRINT ret)
{
TraceFile << "\tReturned handle: " << ret << endl;
}

Это дает интересные результаты. Например, в небольшой программе, которая просто открывает существующий файл и больше ничего не делает, она дает:

CreateFileW(file.txt)
Returned handle: 0
CreateFileW(file.txt)
Returned handle: 0x74
Returned handle: 0x74

Много аномалий. 1.) Почему есть два фактических звонка? 2.) Если я не ошибаюсь, CreateFile никогда не должен возвращать 0. 3.) После второго вызова он возвращается дважды (?)

Я также пытался создать простую программу на С ++, которая непосредственно вызывает CreateFileW один раз, результат:

CreateFileW(file.txt)
Returned handle: 0
CreateFileW(file.txt)
Returned handle: 0xffffffff
Returned handle: 0xffffffff

Файл, который я пытался открыть, не существует, поэтому возвращаемое значение (-1 == INVALID_HANDLE_VALUE), по крайней мере, является правильным.

Есть идеи? Заранее спасибо!