Эти варианты какие-то слишком уж. Пустой пароль администратора? Это не серьезно. Другое дело проверить папку SYSVOL, посмотреть не накатывает ли администратор локальные пароли скриптами или возможно не обновил сервер и накатывает с помощью групповых политик, что тоже светится в данном каталоге к которому имеет доступ каждый пользователь. В общем пока никто ничего к сожалению не посоветовал дельного…