Capturei a atividade do Windows Update com o provedor Microsoft-Windows-WindowsUpdateClient ETW.
Aqui eu vejo não evento preparado:
EusóvejoStarteStopdeDownloadeInstall.
EuagorauseioWPRUIpara
Aqui eu posso ver que o TrustedInstaller está ocupado verificando hashes ( wcp.dll!CCSDirectTransaction::VerifyFileHashes ) dos dados de atualização:
evejoodiscoIOondeoTRustedInstaller.execopiaosdadosparaC:\Windows\WinSxS\Temp\InFlight\eC:\Windows\SoftwareDistribution\Download\.

Então,basicamente,este"preparando para instalar" é, na verdade, a instalação da atualização, portanto, é uma saída confusa.

