Flashback, пропиши в shell вместо explorer.exe любой путь, убей explorer и запусти его снова. У тебя откроется та папка, путь к которой ты прописал.
Я почти на 100% уверен, что у него в данном случае прописан путь к вирусному exe, который хранился либо где-то в application data, либо в local settings. Так как файла-вируса уже нет и полный путь к нему оказывается несуществующим, то открывается просто Documents and Settings\%username%.
Я так понимаю, у NIKr0m@nceRа было что-то типа порнобаннера, блокирующего вход в систему, потому что именно они меняют путь с explorer'а, запускающегося автоматически при входе в систему, на файл, который запускает баннер с требованием отправить смс.