Hola chapalee. Uno de los más conocidos es Process monitor que además de trackear registros, también hace lo mismo con ficheros.

Otro ya menos conocido es regshot, este en vez de actuar como un capturador de "tráfico" como process explorer se encarga de hacer una copia del registro antes y otra después para posteriormente hacer la comparación. Este ultimo solo sirve para el registro.

Sobre la última pregunta supongo que si un instalador debería poder modificar claves ya existentes, jeje.