Se foi apenas uma vez e você não sabe como desencadear isso, será difícil discernir de onde veio.
De qualquer forma, sugiro que você dê uma olhada em Autoruns da Sysinternals - você pode encontre algumas chaves reg em 'Run'.
Além disso, confira suas tarefas agendadas (não me lembro se o Autoruns as mostrar).