IK>Нда... Ну в принципе ничуть не лучше программы в AutoRun'е или отслеживания появление процесса explorer.exe. Печально...

Вот именно, что лучше. Именно так мелкософт рекомендует отлавливать юзверей из сервиса.
Помню, нашел по названию НУ ОЧЕНЬ подходящую функцию. Смотрю описание, а там написано, что теперь этой функции нету и нужно использовать Event Logging. При этом мы просто сидим на event'е и нам не требуется через определенные интервалы времени что-то там смотреть. Единственная проблема — это самый первый вход пользователя. Иногда начало отлова событий приходится на момент после входа пользователя. Поэтому нужно перед началом отлова посмотреть журнал событий до записи о запуске службы журнала событий.