freeman440, я отфильтровал процессы по Parent Process ID 1820, который в этой сессии принадлежит explorer.exe. Другими словами, процессы запускает оболочка, это и есть автозагрузка.
Здесь те же 3 процесса,
что и в Autoruns, но есть еще runonce.exe. Думаю, это 4й и есть. А уж почему он у вас запускается, это уже другой вопрос - видимо, так настроено в реестре.
