En teoria se puede hacer (Aunque yo aun no lo pude hacer) no se si esuchaste sobre el manejo de ganchos. Bien lo cierto es que cada acción que hace el sistema (Abrir programas, Mover el mouse, presionar una tecla, etc) se puede obtener con los ganchos (SetWindowsHookEx), te recomiendo que busques información sobre esa API y en nuestro caso seria interceptar los mensajes
WM_DESTROY