Забыл написать, еще в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon проверить параметр Shell в значении должно быть explorer.exe вирусы обычно любят через пробел дописывают туда свои dll-ки и экзешники. Ну и само собой проверить авторан в реестре.
