Скачиваются и пытаются установиться программы. Заголовок у процессов ToDo и иероглифы

Я вот тоже все перепробовал, все еще думаю как бы это дрянь изловить. Для конкретной задачи проще переставить все заново, но для общей пользы и из спортивного интереса и любознательности очень хочется эту дрянь поймать.... procmon видит первое обращение от explorer но дальше из этого ничего найти не могу ... вроде все в нем нормально ничего постороннего нету.