Vendo que a ideia na minha outra resposta não funcionou (mas ainda é uma boa primeira ideia, então estou deixando a resposta), aqui está outra (e meia).
Monitorando chamadas de API
Ícones são adicionados à Área de Notificação do Windows por meio de invocações do Função da API do Windows Shell_Notify . Você poderia ligar a essa função e registrar todos os usos dela. Faça com que este logger seja executado antes que o ícone misterioso apareça e, em seguida, verifique quais processos o invocaram para encontrar seu culpado.
Você pode escrever um registrador como esse, mas existem utilitários para monitorar as chamadas da API do Windows. Uma pesquisa rápida gerou essa pergunta no StackOverflow contendo listagens de vários desses utilitários.
Obtendo o utilitário para executar primeiro
Para começar, você pode tentar colocá-lo na sua inicialização normalmente e esperar que ele seja carregado primeiro. Se isso não funcionar, você pode tentar substituir o Explorer.exe por um programa próprio que executa o seu criador de logs e, em seguida, executa o Explorer.exe real (apenas para resolver esse problema; alterne-o depois).
Você não precisaria se preocupar com isso se pudesse substituir a DLL real que contém a função (Shell32.dll) por uma versão que grava em um log e, em seguida, delega a chamada à função real, mas eu Não tenho certeza se o Windows permitirá que você faça isso (ele pode validar assinaturas para DLLs do sistema ou algo que eu saiba).
Verificando tudo manualmente
Outra opção é passar toda entrada na lista de processos em execução e matar cada um por vez até que o ícone desapareça (certifique-se de mover o cursor do mouse sobre ele depois de cada um deles) refresh). Isso pode parecer uma maneira irritante de fazer isso, mas pode ser o mais fácil de fazer, afinal de contas ...
