Вот эти ветки:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Если я ни чего не путаю, то эти ветки отвечают за:

Уведомление о том, что windows не активирован
Запускалка пользовательской оболочки
Сама пользовательская оболочка, тот самый рабочий стол
Список запускаемых программ для всех пользователей
Установленные компоненты
Файлы, загружаемые при запуске Windows Explorer.
Тоже что то запускное, но, видимо,. с какой то задержкой
Список запускаемых программ для текущего пользователя

Голыми руками туда лазить не рекомендую, потому как можно удалить или испортить что ни будь нужное. Но если вы уверены в своих силах… Кстати, во второй и третьей ветках не редко живут пресловутые порнобанеры. По умолчанию значения там следующие:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit "C:\Windows\system32\userinit.exe,"
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell "explorer.exe"

Естественно без кавычек.

Ценная информация потырена из статьи “Сброс пароля, редактирование реестра Windows из Ubuntu” Ещё одна интересная статья на тему борьбы с вирусами из под Linux называется “Очистка windows от вирусов с помощью Ubuntu“

Дальше идут скучные технические подробности

В общем, в новых Виндах, и в семёрке и в 2008 что то накручено с NTLM. В Vista может быть тоже, но я пока не проверял. Решается следующим образом:

На виндовой машине лезем в реестр, Ищем там HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa, создаём там новый параметр под названием LmCompatibilityLevel типа DWORD и присваиваем ему значение “1″. После чего перегружаемся.

Более подробно про значения этого параметра, отвечающего за тип NTLM авторизации можно почитать в статье на Технете Microsoft.