Надо ловить вызов функции GetVolumeInformationA, например Soft Icе'ом. Есть конечно множество программ, с названиями вроде API Spy, но S-Ice самая реальная вещь. Если надо, можно узнать адрес буфера, где ф-ция сохраняет серийник (это четвертый параметр) и прописать брейк на обращение к памяти (bpm <addr> r). Так можно выйти на процедуру, где этот серийник используется, например для генерации ключа регистрации и т. д.
cmp_prompt GetVolumeInformation - не единственная функция, выдающая серийник тома. Еще есть GetFileInformationByHandle и native API
