Mělo by stačit v userským účtu spustit jako admin (process monitor). Měl by zachytit i ostatní volání.