Tengo el caso de que se ejecuta muchisimas veces el cmd.exe en un servidor de windows server 2003, el proceso se ejecuta por la cuenta system.
Si eres administrador de sistemas no creo que debamos explicarte como localizar el punto de origen de un árbol de procesos.
Si eres novato en la materia usa ProcessHacker para localizar el proceso padre que está lanzando a CMD, localizar sus ventanas activas y ver que servicios tiene vinculados.
Ejemplo:
