[Котяра]

Hromius, еще есть C:\windows\system32\drivers\winlogon.exe, C:\windows\system32\drivers\svchost.exe (не путать с настоящими в SYSTEM32), часто имеют иконку как настоящего winlogon, с изображением "месяца за окном". Правда, оные требуют ЯндексДенег. А вот SMS блокиратор зачастую называется svhgost.exe (чуточку похоже на svchost) и в 99% имеет автозапуск под названием ekzabc