Hier eine funktionierende Lösung, auch falls sich RegKeys/Dateien NICHT löschen lassen
(für PCs in einer Domäne, aber bestimmt abwandelbar :O)

AM DomainController/Server:
REGEDIT.EXE öffnen, im Menü Datei -> mit Netzwerkregistrierung verbinden, betroffenen PC-Namen oder IP eingeben
dort im Registry-Ast des geöffneten PCs:

HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Image File Excecution Options\USERINIT.EXE:
der Inhalt=verweist auf z.B "loginf.EXE"-Datei (der VIRUS! - Datei merken!)
(Hinweis: durch diesen Eintrag wird die UserInit über den Umweg „Debugger“ gestartet, dabei aber halt eine andere, die sich abmeldende
Virusdatei geladen (hier im Beispiel die LoginF.EXE)

Jetzt diesen Key löschen (also LINKS den gelben Ordner "Userinit.exe", und damit rechts auch den beinhalteten Eintrag der .EXE)

Das wird meistens nicht gehen, Berechtigungsfehler, deshalb jetzt der Trick „Wir blockieren den Eintrag für den Virus“:

wieder Rechtsklick auf den links beinhaltenden gelben „Ordner“ Userinit.exe,
- Berechtigungen, Erweitert, Haken raus bei „Berechtigung übergeordneter bla übernehmen“ ->ÜBERNEHMEN->OK
- dann die Gruppe der Domänenadmins als berechtigt hinzufügen, Haken bei Vollzugriff -> ÜBERNHEMEN(wichtig wegen Selbstaussperre!!)
- danach ALLE anderen Berechtigten (auch SYSTEM usw) rauslöschen -> ÜBERNEHMEN ->OK
- dann rechts im Bild den Eintrag/Verweis auf zB C:\Windows\System32\loginf.exe ändern in zB ...\loginmuell.exe ändern
- Menü Datei -> von Netzwerkregistrierung TRENNEN
(Damit kann der Virus den Eintrag nicht mehr auf seine Abmeldedatei loginf.exe umbiegen :O) , das WARs)
FERTIG, den PC BOOTEN

Wieder anmelden und besser mal die Datei löschen :O)
also im Beispiel C:\Windows\System32\loginf.exe

Viel Erfolg !!!

NACHTRAG:

- und noch den REG_SZ-Key „Debugger“ umbenennen nach „Debugger.bak“ (damit sich der Administrator wieder anmelden kann :O)