@siracusa является правильным, мы никогда не будем знать причину.
Если Вы хотите доступ стиля файловой системы, который Средство поиска предлагает, но с поддержкой записи, существует проект MacFUSE. Существует две программы GUI для того, чтобы управлять этими подключениями MacFusion (donationware) и ExpandDrive (коммерческий w/trial).
Вы сделали, см. эту статью о потреблении событий ETW? Я полагаю, что Вы могли изменить GUID в образце Поставщику Трассировки GUID ({0x528dbd54,0x1b68,0x4f58, {0xa8,0xc0,0xb3,0x92,0xdf, 0x6d, 0xf0,0xc9}}). Другая статья, которая стоит посмотреть на, является этим при сцеплении в трассировку через C++ (отличающийся, чем статья, которую Вы связали).