[Petya V4sechkin]

KvoD, в нормальной ситуации cmd.exe никак не связан с 16-разрядной подсистемой MS-DOS (и в CheckCfg я не вижу досовских программ).
Посмотрите, нет ли параметра AutoRun в разделах реестра:

• HKEY_CURRENT_USER\Software\Microsoft\Command Processor
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor

Не существует ли ветки
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe

Сделайте полную проверку и логи.

[KvoD]

Petya V4sechkin,
в ветке HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor
есть параметр AutoRun - пустой
HKEY_CURRENT_USER\Software\Microsoft\Command Processor
параметр AutoRun - отсутствует

Ветки
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe - нет

Логи прилагаются...
на подозрение c:\windows\slave.exe не обращайте внимания, это старенькая программа удаленного управления REMOTE-ANYTHING (RA) фирмы http://www.twd-industries.com/
Старенькая потому, что у меня используется версия v4.12.15 - 2002 года

Понятно что это остатки от какого то вируса, и оптимально было бы переставить систему, только от меня до этого компьютера больше 1700 км

[Petya V4sechkin]

2010-12-26 12:44:04 ----A---- C:\WINDOWS\system32\command.com

KvoD, файл Command.com сами заменили?
Странно все это. Может, в logon.cmd действительно досовская программа запускается? Проверьте разрешения NTFS на временные папки (чтобы у пользователей было право на изменение).

[KvoD]

Petya V4sechkin, Да command.com заменил сам, с рабочего компа с сп3. под рукой небыло диска с интегрированным сп3.
разрешения на папку полные, в logon.cmd больше ничего не выполняется.

И еще ... под Администратором ошибки нет, под любым другим пользователем аналогичная ошибка. Ошибка именно на выполнение checkcfg.exe, хоть она ни разу не 16 битная.

Вот и я в полных непонятках ...

[Petya V4sechkin]

KvoD, можно помониторить с помощью FileMon или Process Monitor (что происходит при выполнении скрипта).

[KvoD]

Petya V4sechkin, спасибо за помощь...
пока решил вопрос добавив в группу "Опытные пользователи".

судя по Process Monitor
checkcfg.exe - вызывает C:\WINDOWS\system32\cmd.exe /C C:\Temp\~RomDmp1\RomDump.com > C:\Temp\~RomDmp1\Rom.dmp

FileMon показывает что все пишется и читается.

Спасибо за участие дальше буду ковырять после НГ каникул.
С наступающим тебя