HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
и еще RunOnce & RunOnceEx
плюс по каждому пользователю те-же разделы (хотя обычно встречается только Run, но если ручками прописать RunOnce тоже проконает... если встретил - ищи "коней"
) см в HKCU