Grazie per i suggerimenti.
La difficoltà è proprio capire chi sia il colpevole dal momento che lascio il pc acceso anche 8-12 ore (lavoro, figlio che gioca, ecc.) prima di arrestarlo e quindi chissà cosa ha caricato nel frattempo.
Ho notato che se chiudo la sessione appena riavviato non capita mai.
Ultimamente ho provato a chiudere manualmente le applicazioni aperte prima di arrestare il sistema (Skype, Dropbox, Steam, antivirus ecc.) ma non ho ottenuto risultati; oltretutto fosse uno di questi l'icona sarebbe riconoscibile