stáhni si z sysinternals sledovátko registrů regmon
ty se přihlaš jako svůj admoš, pohledej vlastnosti toho uživatele, spusť regmon, zatrhni uživateli že nesmí změnit heslo, ukonči logování regmon a zkus v jeho logu najít který klíč v registrech se přepisuje.