Dann könnten es höchstens Windows
DLL's sein. Andererseits - wohl kaum? Hmhh.. Ich bin ratlos.
Wäre für mich aber auch die einzige Erklärung. Gibt, selbst wenn man von den direkten Varianten (VirtualAlloc, LocalAlloc, GlobalAlloc, HeapAlloc, etc.) absieht, enorm viele WinAPIs, die Speicher alloziieren können.
Bei
FormatMessage mit dem FORMAT_MESSAGE_ALLOCATE_BUFFER Flag muss man am Ende beispielsweise selbst einmal LocalFree callen.
Wenn du mit Inline Hooks vertraut bist, könntest du einfach mal die genannten APIs hooken und dann jeweils auch die Rücksprungadresse vom Stack loggen. Eventuell findest du ja darüber den Übeltäter.