Se a data e hora da pasta forem alteradas quando o atributo aparecer, você poderá monitorar o processo que estava sendo executado.
Uma ferramenta gratuita para monitorar pastas é a Exibição de Alterações de Pastas da Nirsoft. Embora ele registre "cada nome de arquivo que está sendo modificado, criado ou excluído enquanto a pasta está sendo monitorada", não sei se ele interceptará uma alteração de atributo.
Se o Modo de exibição de alterações de pastas não for suficiente, o MS fornece o Sync Framework 2.1 que poderia ser usado para criar um pequeno aplicativo para monitorar a pasta.