[Bruce Wayne]

Сам же и отвечу :D Нашёл всё-таки методом перебора, так как в Интернете об этом ни слова.

Код:

subinacl /subkeyreg "registry_key" /deny=%username%=S

Может, понадобится кому.