Já faz muito tempo desde que eu postei essa pergunta, e há muito tempo desde que ela saiu da minha lista de coisas para fazer.
No final, determinamos que o problema estava limitado ao usuário (/ perfil local) naquela máquina. Normalmente, apenas recriamos o perfil do usuário se fosse algo assim que não poderíamos determinar facilmente, mas esse usuário mudou para uma nova máquina logo depois de termos feito essa determinação.
A correção seria excluir o perfil do usuário local e recriar a máquina com imagem nova.