На терминальном сервере вижу что кто-то качает тяжелый файл по локальной сети (в мониторе производительности). Как узнать какой файл и кто? Хотя-бы кто.

А на закладке "Диск" разве нельзя увидеть?

(1) там скорее всего будет SYSTEM

perfmon.exe
поиграться с добавлением счетчика Сеть RemoteFX

А в терминале много пользователей?

Управление компьютером > Общие папки > Открытые файлы.
Смотришь кто что читает и методом перебора находишь виновника

(2) так и есть

(5) похоже на то. Оказалось бекап.