Найти все исполнимые файлы на диске . AFAIK, эта информация о процессе хранится ровно до момента закрытия Handle завершённого процесса. Я не случайно выводил в примере Handle. Чаще он совпадает с PID, но перестраховался. Чтобы не обнадёживать скажу сразу, вероятность 99% ,что Handle уже отпущен и структура с информацией уничтожена т.к. мало кому нужен Handle завершённого процесса и никто не будет его держать, ждать, пока Ваша программа подключится и прочёт, что ей надо. Я так понимаю, вариант с собственным логгером в автозагрузке даже упоминать не стоит?