Referencia
Con dicho codigo haces parte de lo que necesitas; ahora lo que debes hacer algo "invasivo", osea que dicho hook afecte a todos los procesos.
Otra forma es haciendo el listado de los procesos activos cada intervalo corto de milisegundos; comparando dichas "listas"; las diferencias significan procesos cerrados o abiertos.
Suerte.