Isso é possível sem que um processo seja executado continuamente, escutando WM_QUERYENDSESSION ou similar? (ou pior ainda, carregar uma DLL no processo do Winlogon )
(Também inaceitável: escrever um script / programa que faça o que você deseja, faça logoff e exija que o usuário use apenas este programa para fazer logoff, em vez de Iniciar - > Logoff ou vários outros métodos normais)
É fácil no XP Pro com Diretiva de Grupo, mas não acho que isso funcione no XP Home, mesmo que você "instale" o editor de diretiva de grupo.
Acredito que essa pergunta sobre estouro de pilha pode ser sua melhor aposta: link
Este tópico do Techguy.org também inclui mais opções com mais detalhes: link
As abordagens básicas são usar o WMI para escutar ou interceptar Win32_ComputerShutdownEvent ou ter algo em execução (possivelmente oculto) para o qual o Windows enviará uma mensagem de desligamento, escrito em algo que lhe permita interceptar o motivo do encerramento.
O Agendador de Tarefas do Windows tem um gatilho "Ao desconectar da sessão do usuário".
Não me lembro se o recurso estava disponível no Windows XP para casa. Se não, você pode encontrar uma boa entrada de log de eventos para acionar a tarefa (algum serviço parando, por exemplo).
Tags windows-xp group-policy script