Grundsätzlich verwende ich unter allen Windows Versionen den
Process Monitor von SysInternals. Damit kann man genau sehen, welche Anwendung auf welche Daten wann und wie zugreift.
Genauer kann man sowas wohl kaum lokalisieren. Einfach mal den Dienst abschalten, der die meisten unnützen Speicherzugriffe usw. durchführt und schauen, ob sich etwas verändert.