[El Scorpio]

Причем это происходит не в момент загрузки системы, и даже не в момент логина. Такое впечатление, что это происходит по какому-то таймеру. »

Может быть, по таймеру применения групповых политик?
Что показывает rsop.msc?

1) Запустите procmon из пакета sysinternalsuite
2) Настройте фильтр событий - изменение нужного ключа реестра
3) ...
4) PROFIT!!!!


P.S.
Многие антивирусы (тот же Касперский), имеют "активную защиту", которая позволяет контролировать обращение к разделам реестра.
Пропишите правило контроля данного раздела и настройте отправку уведомлений на электронную почту.

[goodguy]

Может быть, по таймеру применения групповых политик? »

Не исключаю.

1) Запустите procmon из пакета sysinternalsuite 2) Настройте фильтр событий - изменение нужного ключа реестра 3) ... 4) PROFIT!!!! »

Спасибо за совет Уже пробую. Только не понятно как настроить procmon именно на мониторинг события по изменению ключа DisableTaskMgr. Он по-любому мониторит все возможные события, коих там просто гора

Что показывает rsop.msc? »

Опа! А это уже интереснее. Есть пункт "удалить диспетчер задача" - включено.
Только как убрать? Кнопки не доступны

[goodguy]

Все, разобрался ) Это я туплю. Надо же было через gpedit. Отключил эту фигню.
El Scorpio огромное спасибо за помощь!

[El Scorpio]

Только не понятно как настроить procmon именно на мониторинг события по изменению ключа DisableTaskMgr. Он по-любому мониторит все возможные события, коих там просто гора »

Капитан Очевидность говорит, что для фильтрации отображаемых событий нужно использовать функцию "фильтр". Так то!

Фильтры можно задавать на сокрытие лишних событий и на показ только конкретных событий.
Условия можно придумывать любые - по PID процеса, по имени программы, по тексту значения (имя файла или ключа реестра), по типу операции (чтение, изменение).
В вашем случае нужно мониторить запросы на изменение данного ключа реестра.

[goodguy]

Капитан Очевидность говорит, что для фильтрации отображаемых событий нужно использовать функцию "фильтр". Так то! »

Да это-то понятно. Но, PID процесса отпадает. Я же не знаю какой процесс мне нужен, имя программы так же. А вот как там выбрать мониторинг именно ключа реестра, ума не приложу. Указать тип фильтра Path?

[El Scorpio]

Указать тип фильтра Path? »

Угу.
Или указать полный путь, или "заканчивается на" имя нужного ключа.