Procmon мог бы быть Вашим лучшим решением здесь, поскольку он может зарегистрировать то, что процессы используют что файлы. Даже если файл не обнаружится в openfiles procmon, то зарегистрируется, кто открыл его. Антивирусное программное обеспечение является обычным преступником в этих случаях.
Оказывается, что необходимо быть очень осторожными с IP-адресами VPN. У нас была старая установка для VPN к сети, которая ранее использовала ту подсеть. После того как та старая установка была удалена, и только новая VPN утверждала, что диапазон, соединилась.