В uVS есть категория для отсутствующих файлов.
Можно создать отдельную категорию:  Пустые каталоги с информацией по ним.

RP55, ты постоянно данные темы здесь мониторишь, так что можно хотя бы раз и проверить как будет работать связка deldir+regt 18, а после этого снять логи FRST, для для большей точности, снять логи FRST+скрипт uVS с deldir+regt + новые логи FRST для проверки результата

https://forum.esetnod32.ru/messages/forum3/topic16130/message110663/?result=reply#message110663

Полное имя                  C:\WINDOWS\SYSTEM32\NOTEPAD.EXE

CPU                         34.37%
CPU (1 core)             549.92%

уже было такое ранее:
https://chklst.ru/discussion/1841/trojan-multi-genautorunproc-a

перенес тему:
https://forum.esetnod32.ru/forum6/topic16130/

здесь аналогичная тема:
https://virusinfo.info/showthread.php?t=225795

в hj висит задача:
O22 - Task: MicrosoftOfficeScheduledUpdate - C:\Windows\system32\rundll32.exe C:\Users\Администратор\AppData\Roaming\Microsoft\freetp\freetp­org.dll,UpdateService

хотя потоки в notepad, которые показаны в uVS здесь  не увидят

кстати,
по логу uVS:
======= Начало исполнения скрипта =======
--------------------------------------------------------
v400c
--------------------------------------------------------
--------------------------------------------------------
unload %Sys32%\RUNDLL32.EXE
--------------------------------------------------------
Операция выгрузки объекта добавлена в очередь: C:\WINDOWS\SYSTEM32\RUNDLL32.EXE
--------------------------------------------------------
deltsk %Sys32%\RUNDLL32.EXE
--------------------------------------------------------
--------------------------------------------------------
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\­FREETP\FREETPORG.DLL
--------------------------------------------------------
Копирование файла в Zoo: \\?\C:\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\FREETP\FREETP­ORG.DLL
Файл скопирован в ZOO: C:\USERS\АДМИНИСТРАТОР\DESKTOP\SUPPORT\ZOO\FREETPORG.DLL._BE2292743106EC183CD2DA5B9CB0CE4548C3C5B8
--------------------------------------------------------
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\­FREETP\FREETPORG.DLL
--------------------------------------------------------
--------------------------------------------------------
dirzooex %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\­FREETP
--------------------------------------------------------
Копирование файла в Zoo: C:\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\FREETP\freept­org.dll
Копирование файла в Zoo: C:\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\FREETP\freetp­org.dll
Копирование файла в Zoo: C:\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\FREETP\main.exe
Копирование файла в Zoo: C:\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\FREETP\Module­.exe
Копирование файла в Zoo: C:\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\FREETP\StartP­rocess.dll
Копирование файла в Zoo: C:\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\FREETP\stub.exe
--------------------------------------------------------
deldir %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\­FREETP
--------------------------------------------------------
Удалено файлов: 8 из 8

А не должно быть записи типа: выгрузка успешно завершена ?
команда есть, а где пруфы ?

Видит ли uVS записи типа:
CHR NewTab: Default ->  Active:"chrome-extension://hdpgllbnilfcbckbdchjcfgopijgllcm/index.html", Not-active:"chrome-extension://kppacdmmddediahklmcgkgdhhoojemmd/visual-bookmarks.html"
--------
CHR NewTab: Default ->  Not-active:"chrome-extension://oelpkepjlgmehajehfeicfbjdiobdkfj/visual-bookmarks.html", Not-active:"chrome-extension://pchfckkccldkbclgdepkaonamkignanh/layout/newtab.html"
--------
CHR NewTab: Default ->  Not-active:"chrome-extension://piioimajcjmcjbnjkgbmdefehpofbhfl/start/index.html"
--------
CHR NewTab: Default -> "chrome-extension://iflppbjnpneiigcbdfjpnkebidmkjmoi/visual-bookmarks.html"

---------------------------------------------------------
4.11.2
---------------------------------------------------------
o Добавлена поддержка VT API v3.

o Восстановлена поддержка сервиса runscanner.net

o Исправлена функция переключения рабочих столов при работе с удаленной системой.

o В лог теперь выводится информация о существующих оконных станциях и список рабочих столов для дефолтной оконной станции.

o Добавлены горячие клавиши при работе с активной системой:
  Alt->left и Alt->right клавиши переключают доступные рабочие столы.

HKLM\SOFTWARE\Policies\Microsoft\Edge: Restriction <==== ATTENTION