Ну тогда вот, как на картинке. Поключаешся к любому компу на сети и можно как угодно менять локальных пользователей.

а пропалить изменения статуса локальной админки можно? журнал ведется какой-то?

Я думаю eventvwr.exe должен оставить запись. Какую точно - не знаю. Если есть два компа, можно легко протестировать.

http://www.addictivetips.com/windows-tips/windows-7-what-is-account-auditing-and-how-to-enable-it/

Если аудит включен, то в eventviewer останется запись когда юзера выключили и кто это сделал. Если выключен, то возможно что пропалить уже не получится, если только они опять это не сделают.