Mais uma vez ... minha receita favorita ... baixe sysinternals e use procmon, filemon / regmon para ver se algo está acontecendo lá. Use o explorador de processos para ver se há arquivos anômalos abertos a partir da lista de identificadores de arquivos abertos.
Há algo aparecendo nos logs do IIS?
Se for algo com o processamento de um determinado arquivo ou script, você pode obter uma sugestão da função de identificadores de arquivos abertos do Process Explorer.
Que tipo de conteúdo é a veiculação do IIS quando isso acontece?
E, claro ... as últimas atualizações / service packs aplicados?