Можно ещё ипользовать прогу regmon. Покажет обращение любых программ к реестру, и как написал NaX[no]r† .../ а там смотри, что и куда он лезет.