Ищи его в службах и в свойствах ставь отключено, также проверь, чтобы в планировщике не было задачи включать службу при логине пользователя.
Уууу, как только не изворачиваются, видел даже в авторан пихали тулу с каким нибудь именем обычным, у которой только одна задача, запустить какую нить вредную такую программу