chtělo se to podívat nějakým rozumnějším správcem úloh, co běží v paměti a odkud z disku je to spuštěno - nějakým process explorerem, starterem a.j. na rootkity to nezabírá, procesy jako služby je třeba zobrazit zas jinde.
taky přehled všeho co se spouští po startu - hijackthis, starter, autoruns, combofix ...

pokud nešlo o vir, možná by zafungoval obyčejný unlocker. soubory mohly pocházet například od nějakého shareware, který si hloupým způsobem (zrovna v koši) cosi poznamenával. ale píšeš že žádný čistič nezabral.

ještě: rootkity se v běžícím systému špatně detekují, někdy zabere jednoúčelový čistič když ale člověk ví na co. je možné vytáhnout disk, připojit k jinému pc jako druhý, a tam ho nechat prohledat - v nenastartovaném systému se neschová.
čili takto by šel vymazat i tvůj nesmazatelný obsah koše - běžným správcem souborů v jiném pc, anebo pod nabootovaným jiným "live cd" systémem.

windows by mě k "systémovému" zobrazování nenapadlo přemlouvat, protože neschopného průzkumníka nepoužívám. samozřejmě mám zobrazení přípon souborů, i zobrazení skrytých položek, ani nevím zda i systémových - jde taky nastavit.
už to že průzkumák neumí třídit podle přípon, a nefunguje v něm f3 pro prohlížení obsahu souboru ho vylučuje z rozumného použití.

všechny svoje flashky a výměnné disky mám ošetřené tím, že je na nich můj autorun.inf, který zobrazuje nějakou rozumnou poznávací ikonu:

[autorun]
icon=\reg\xporter.ico

pak nečekám až nějaký antivir při náhodném scanu dorazí až k flashce, ale rovnou ve správci souborů (ve všech open/save dialogových oknech windows) vidím ikonu zdravého disku.
nevím jestli totalcmd zobrazuje při výběru disků i autorun ikony, já používám salamander.