в открытом виде они, по моим наблюдениям, есть в момент сверки пароля при разблокировке компьютера. соответственно, учетная запись должна быть уже "залогиниться" в системе. не знаю до конца механизма, возможно пароль хранится в этот момент в "lsa secrets"