Как найти зловреда по попытке установить расширение?
В качестве полумера: согласитесь на установку расширения, а после установки просто его отключите (без удаления). Зловред будет считать, что расширение уже установлено.
Какая именно программа - огнелису не известно, потому что он просто обнаружил в папке с расширениями новое, которое не числится установленным через стандартный механизм. Кто положил туда файлы - можно узнать лишь отследив процесс копирования файлов туда с помощью procmon, filemon и т.п. либо настроив аудит.
В общем случае, зловред уже отработал своё и может даже уже не существовать на диске.