Depois de sugerir o uso da Sysinternals para monitorar o processo, descobri que o anti ransomware do link recém-instalado estava causando a questão (se é um problema em primeiro lugar)
A desinstalação do software resolveu o problema.
Aparentemente, esses arquivos são criados como "Honeypots", onde o software os usa como uma referência para ver se alguma coisa está sendo alterada ou criptografada.