Провожу эксперимент:
1. В DLL_PROCESS_ATTACH создаю новый поток — создается и нормально работает.
2. Ставлю в DLL_PROCESS_DETACH breakpoint и вижу в отладчике, что процесса уже нет.

Куда он делся, и кто и в какой момент его убил?

Проект маленький, и никакие побочных процессов влияющих на потоки нет.
Перечитал Рихтера, но у него ничего по этому поводу нет, т.к вроде как все должно быть ОК.