Мне обычно помогает вычищать подозрительные программы msconfig'ом, а также убиением текущих подозрительных процессов
Обычно обращаю внимание на ветки
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon параметры Userinit и Shell
+ \SOFTWARE\Microsoft\Windows\CurrentVersion\Run стандартный естественно
+ HKCR\exefile\shell (долбанная Neshta)
Пока виряки этого типа не выживали