Bei user32!LockWorkStation wird ein neuer Desktop namens "winlogon" von der winlogon.exe erstellt und zu dem geswitched.
Ein im Hintergrund laufender Service oder eine Dll, die in die winlogon.exe injeziert wurde, könnte zu dem "Default" Desktop zurückswitchen.
Siehe dazu:
http://www.codeproject.com/KB/system/RemoteUnlock.aspx