Experimente o Monitor de processo da Sysinternals. Ele pode ser configurado para fazer o registro de inicialização em tempo real de todo o processo, registro, sistema de arquivos e atividade de rede. Deixe-o capturar até que o sistema pare e, em seguida, examine o log para ver o que estava acontecendo durante o tempo de espera. Normalmente você pode identificar algo se parecer incomum.