Solche Schreibzugriffe werden ggf. in den VirtualStore umgeleitet wie auch Dateizugriffe auf das Programmverzeichnis usw., allerdings dachte ich, dass das nur bei alter Software ohne aktuelles Manifest passiert.
Jedenfalls findest du diese Werte dann unter:
Code:
Computer\HKEY_CURRENT_USER\SOFTWARE\Classes\VirtualStore\MACHINE\SOFTWARE