nech to tam nesmazané, ať se má antivir na čem vyblbnout, a spusť tu bootovací rescue verzi. aspoň uvidíš jestli si něčeho všimne a jak to pojmenuje.

nepoužíváš nějaký spyware terminator a podobný kreténký hlídač systému? taky mi u známých chtěl vracet homepage a toolbar od spyware icq.
přehled škodlivých toolbarů vidíš v internetových prohlížečích - menu nástroje - správa doplňků, nebo je vypíše hijackthis.