Windows olay görüntüleyicisi -> Windows günlükleri -> sistem veya uygulama tabına bakmalısın hocam.
Olay saatini az buçuk hatırlıyorsan girdilere bakıp rahat bulabilirsin neyin CMD/Powershell'i tetiklediğini.
Brightvpn diye bir zımbırtı yüzünden Windows açılırken sürekli PowerShell açılıyordu bende, bu şekilde neyin yaptığını bulup müdahale edebildim.
Bu arada Kaspersky, Norton, Hitman Pro... Hiçbiri çare olmuyor bu tarz durumlarda çünkü virüs değil CMD veya PowerShell'i tetikleyen şeyler.