Autoruns

   В операционных системах Microsoft Windows XP, Windows Vista и Windows 7 разделы автозапуска обрабатываются в таком порядке:

1. <Запрос на вход>
2. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx]
3. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
4. [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
5. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
6. Папка «Автозагрузка»
7. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]

   Все перечисленные разделы обрабатывает Explorer.exe.

   За исключением HKLM\...\RunOnce(Ex), все разделы и записи в них загружаются асинхронно.
   Записи раздела HKLM\...\RunOnceEx загружаются синхронно, в алфавитном порядке.
   Записи раздела HKLM\...\RunOnce загружаются синхронно, в неопределенном порядке.

   Для обработки HKLM\...\RunOnceEx, если в нем есть что обрабатывать, вызывается функция RunOnceExProcess из динамически загружаемой библиотеки iernonce.dll (после завершения обработки библиотека выгружается).
   HKLM\...\RunOnce обрабатывается эксплорером самостоятельно.

   Рездел HKLM\...\RunOnce(Ex) обрабатывается главным потоком эксплорера на раннем этапе запуска. Остальные разделы обрабатываются позже (после создания Панели задач) в специально созданном для этого потоке.

   explorer.exe!RunStartupAppsThread (Windows XP)
   explorer.exe!RunStartupAppsThreadProc (Windows 7)

   после обработки стартапов поток завершается

   Такие ветки, как
   [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\Load]
   [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run]
   [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
   обрабатываются перед HKLM\...\Run тем же самым отдельным потоком.


Ссылки
[1] Sysinternals Suite
[2] Описание разделов реестра Run, RunOnce, ...
[3] Syntax for the RunOnceEx Registry Key
[4] Description of the RunOnceEx Registry Key