HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Credentials
 

Зачем нужен раздел реестра
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Credentials
?

По-видимому - политика входа в систему. Вот инфа от MS
А вот Гугл. Интересна статья: относительно вируса

okshef, я именно про Credentials спрашивал. Про Winlogon и сам знаю - там задается например "Shell" и "Userinit" (это программа, запускающая Shell и сеанс пользователя). Winlogon\Notify задает библиотеки winlogon, туда часто вирус лезут типа "crypts.dll".
Раздел Credentials закрыт от доступа.

Вход из-под SYSTEM (через at 14:38 /INTERACTIVE cmd.exe) показал, что раздел все же пустой, однако удалось создать строковый параметр, который я потом и удалил. Из под админ. пользователя не удавалось.