Ну я пытался выяснить. Делал снапшоты рестра до и после. Но там было просто дохуя записей. Типа, пара тыщ строк. Похоже на то что он не все это делает, а делает система сама большую часть.
Пробовал трекать вызовы winapi, но я плохо знаком с тулом и чето как-то непонятно было