[Destruction]

обычно этот тип вирусов прописывается в реестре, в ветке winlogon. различное по умеет мониторить эти изменения, например KIS 2010, но предварительно эту опцию нужно включить (по умолчанию отключена).