Я уже перестал понимать...

Вот что написано в MSDN по поводу RegFlushKey:

Remarks
It is not necessary to call RegFlushKey to change a key. Registry changes are flushed to disk by the registry using its lazy flusher. Lazy flushing occurs automatically and regularly after a system-specified interval of time. Registry changes are also flushed to disk at system shutdown.

Unlike RegCloseKey, the RegFlushKey function returns only when all the data has been written to the registry.

The RegFlushKey function may also write out parts of or all of the other keys. Calling this function excessively can have a negative effect on an application's performance.

An application should only call RegFlushKey if it requires absolute certainty that registry changes are on disk. In general, RegFlushKey rarely, if ever, need be used.


Может это она вызывает NtFsControlFile?

Может и так.

[ antonyo: а дальше у меня сразу же идет брейк. ]

На какую функцию?

Если RegMon видит тот ключ, который тя интересует - это значит, что он (ключ) попадает в реестр именно из-за вызова стандартной RegXxx функции, ибо RegMon только их и хучит.... Ну вернее хучил только их, по крайней мере до версии ~4.24, когда исходники доступны были. Может Марк там что-то и добавил принципиально новое - хз, но это вряд ли. Так что 99.99% NtFsControlFile на прямую тут ни при чем.

Если ты уж совсем на 100% уверен, что именно из-за вызова NtFsControlFile в реестр что-то пихается, единственное что мне приходит на ум это посмотреть файловый хендл, который ей первым параметром передается. Запустить ProcessExplorer, тыкнуть в lsass, найти у него этот хендл (если он конечно еще открыт) и посмотреть на какой объект он ссылается. Может тогда что-нить прояснится. Но мне больше кажется, что ты чего-то там перемудрил.