advapi32.dll(user)→ntdll.dll(user)→ntoskrnl.exe(kernel)
NT系はセキュリティチェックが入るからカーネルモードで実行される。

9xは知らん。