Отслеживание причины изменения переменной среды клиентом групповой политики

что-то таинственным образом меняет одну из моих переменных окружения в моей системе Win 7. Я следовал указаниям в этой теме, и разыскали преступника... на svchost.исполняемый. Process Explorer, кажется, указывает, что поток svchost.exe-файл работает под управлением клиента групповой политики (gpsvc). Любые мысли о том, как отследить, почему gpsvc изменяет эту переменную среды, и как остановить его от этого?

спасибо заранее...

A registry value was modified.

Subject:
    Security ID:        SYSTEM
    Account Name:       machine$
    Account Domain:     mydomain
    Logon ID:       0xfff

Object:
    Object Name:        REGISTRYUSERS-1-5-21-1657032316-61167162-621696214-25666Environment
    Object Value Name:  R_LIBS
    Handle ID:      0x16c
    Operation Type:     Existing registry value modified

Process Information:
    Process ID:     0x474
    Process Name:       C:WindowsSystem32svchost.exe

Change Information:
    Old Value Type:     REG_SZ
    Old Value:      D:Program FilesR_libs
    New Value Type:     REG_SZ
    New Value:      z:R