Aunque los metodos antes mencionados son fiables, gracias por ayudarme, hice uno

en el cual tomo como hora de inicio del sistema el ultimo acceso a ntuser.dat en userprofile luego le sumo el retorno de la API GetTickCount y así obtengo la hora "real" del sistema y la comparo con la actual y bueno ya de hay sabemos que han hecho con el reloj, además que usar ntuser.dat me ayuda ya que no se puede editar ni acceder.