Questo e' figo
Fai questa prova, almeno per impedirgli di cambiare le impostazioni degli utenti, e poi vediamo come procedere.
Avvia poi Security Policies (Start->Run->secpol.msc),
Account Policies -> Password Policy -> Minimum password length-> metti un valore alto, per es. 20 caratteri, cosi' la bestiolina non dovrebbe riuscire facilmente a cambiare le password degli utenti.
Cambia poi le password di tutti gli account, rispettando la lunghezza minima.
Se la bestiolina e' stupida e non controlla le policies, non dovrebbe riuscire a cambiare le password - nella speranza che tenti di settarne di piu' brevi del minimo da te impostato
Riavvia dunque il sistema, e vedi se ti ha cambiato le password. Se ha funzionato e le password non sono state cambiate, allora vediamo cos'altro provare.
Facci sapere