Ну что же Вы как всегда топорно так велосипеды всякие придумываете.
Ну ведь есть нормальные цивилизованные способы https://docs.microsoft.com/en-us/windows/win32/shutdown/wm-queryendsession
т.е отловить приложением сообщение WM_QUERYENDSESSION и проверить в нём LPARAM