Представлен открытый проект whatmade, запоминающий, каким процессом создан тот или иной файл в отслеживаемых директориях

[Sfinx88]

Такое бы для венды. Вот где было бы не заменимо.

[unreal_undead2]

А стандартный аудит не подходит?

[eugenrad]

Sysmon

[litalen]

Sysinternals Procmon

[morgot]

Для винды такое не проблема сделать на минифильтрах,проблема с цифровой подписью драйвера. А с юзермода..думаю, виснуть будет, если на основе FindFirst..Notification winapi