Можно было бы полные названия папок закинуть и посмотреть свойства (расположение, к чему относится). Поэтому только предположу, что это может быть... Эти "вирусы" скорее всего - "чудесные" продукты микросуфта. Если папочка "обработчик протокола" (полностью) называется "обработчик протокола поиска SharePoint Workspace (хх бита)", то она относится к Microsoft SharePoint Portal Server. Автосоздание папок должно вылечиться удалением сей программы. Кстати, вполне возможно, что она имеет отношение к созданию папки onenote, но этого я точно не знаю.