そうすれば確かに特定できますね。 でも、それよりRegmonでレジストリへの書き込みを監視したほうが簡単です。 http://www.sysinternals.com/ntw2k/source/regmon.shtml