Забивается диск от S-1-5-18 и S-1-5-20
 

По два 3Кб файла в минуту пишутся данные в эти папки:
C:\ProgramData\Microsoft\Crypto\RSA\S-1-5-18
C:\Windows\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\Crypto\RSA\S-1-5-20
как узнать кто и зачем это делает?

Process Monitor, фильтр Path…begins with…C:\ProgramData\Microsoft\Crypto\RSA\S-1-5-18 и ещё один фильтр на другой путь, не?

Это для «кто».

Operation "CreateFile" исходит от Explorer.exe. Как теперь определить зачем он это творит?

Выяснил, что это делал (мусорил) ESET File Scurity v.6

dascon, а зачем — не выяснили?