ho verificato nella guida di windows...
la queryunload passa la variabile UnloadMode..
tra i vari valori c'è proprio:
vbAppWindows: La sessione corrente dell'ambiente operativo Microsoft Windows è conclusa.

:metallica