DrorЦитата: IDM сам запускается
Включите "Аудит отслеживания процессов" в Локальной политике безопасности (по умолчанию он выключен):
Панель управления->Администрирование->Локальная политика безопасности->Локальные политики->Политика аудита->Аудит отслеживания процессов->Успех.
Теперь в Журнале событий Windows (Просмотр событий) будет фиксироваться каждый запуск и закрытие любого приложения:
Панель управления->Администрирование->Просмотр событий->Журналы Windows->Безопасность.
Например, IDM не запущен, при скачивании по ссылке из Firefox (установлено расширение IDM) в журнале появляется такое событие:
Это Win10, в XP, возможно, какие-то термины по-другому звучат.
P.S.
Возможно, в процессе вычисления виновника понадобится разинтегрировать IDM с браузерами, по очереди.