подозреваю что для остановки используются специальные IOCTL коды, передаваемые DeviceIOControl функции (как вариант) надо бы отмониторить вызовы этой функции на всякий случай