Как я это себе представляю на основе того что видел и насколько помню.
Стадия 1. Примерно c Windows 3.1, более ранних я не видел. Обработка кнопки закрытия в NC ведется в приложении, в DefWindowProc. В ней формируется сообщения WM_CLOSE, оно посылается в очередь сообщений, откуда забирается циклом сообщений, и в обработчике приложение должно красиво все закрыть и вызвать PostQuitMessage. Если что зависало ждать можно было полминуты, может и больше, не помню.
Стадия 2. Примерно с Windows 98 (SE?). Обработка кнопки закрытия в NC остается в приложении, а снаружи навешивается таймер, который отслеживает попадание в очередь WM_CLOSE, и если прошло достаточно времени и приложение не завершило обработку WM_CLOSE, появляется запрос от системы "кажется, тут зависло, не срубить ли?". Вопрос появлялся емнип секунд через 10.
В этих стадиях, если приложение зависало, то повторное нажатие на кнопку закрытия визуально ее не нажимало, она оставалась в верхнем положении, что соответствует зависанию в приложении, в его обработчике WM_CLOSE.
Возможно где-то в конце жизни этой 2й стадии было дополнительное окно поверх и в тех же координататх, с целью получить другую кнопку закрытия, и получить от юзера сигнал нажатиями, что зависание никуда не делось. У меня в памяти эти окна сильно не отложились. Может эту фазу стоило бы оформить в списке как 3ю стадию, а то что у меня 3я как 4ю.
Стадия 3. Примерно с ХР (SP?). Обработка кнопки закрытия в NC выносится из приложения, сообщение WM_CLOSE теперь формируется не в приложении, но посылается в него, таймаут сокращен до 5-6 секунд, кнопка закрытия, если нажимать повторно, визуально нажимается каждый раз. И теперь если ее нажимать часто, то даже до истечения таймаута можно раньше получить сообщение "похоже зависло". Окна-фантома нет. Т.е. это то как сейчас, по крайней мере я такого окна давно уже не видел.