cmd.exe

výpis prostředí udělá příkaz "set", případně začínající písmeno z temp:

set
set t

cílový adresář %temp% ve výpisu musí dávat smysl.

ale fascinuje mě, že to chce při uložení přepisovat výchozí šablonu normal.dot - nemáš to zavirované?
přes makroviry v office se začal šířit ransomware, který šifruje soubory.

edit:
ccleaner, nero, everest ultimate - uživatel toho pc je zjevně lama, čili pc může být zavirovaný.