каспер еще с древних времен палит ключи:
*\Software\Microsoft\Windows\CurrentVersion\Run*
тем более любая проактивка тоже палит их. а вот в TDSS новом есть метод который никто не палит ) Даже аутпост с комодом )