качай procmon от sysinternals , далее в procmon ставь фильтр что-то вроде filename и путь к твоему трою , таким образом определишь откуда он появляется или кто его создает и del