В общем случае задача «узнать, кто что сделал» решается API-перехватчиком, например, Process Monitor (procmon.exe) от Microsoft.
technet.microsoft.com/ru-ru/sysinternals/bb896645.aspx
1) Запускаете Process Monitor
2) настраиваете фильтр на нужный процесс/файл/…
3) воспроизводите проблему
4) находите соотв. событие в логе Process Monitor (например, создание файла)
5) по двойному клику на событие можно найти стек вызовов. Всё.
А иначе придется честно ловить дебаггером, конечно (по старинке ставить брейкпоинт на NtCreateFile).
