Hola,
Echa un vistazo a las claves del registro:
Código:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Código:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
Código:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Código:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
A ver si encuentras alguna "referencia" a lo que te preocupa en ellas, teniendo en cuenta que lo que se encuentre en estas claves es ejecutado por Windows al iniciar la sesión de usuario.