začal bych projitím logu z hijackthis - všechny položky si musíš zdůvodnit proč tam jsou,
zkontroloval bych naplánované úlohy (příkaz "at"),
ještě jednou bych zkontroloval, co se automaticky spouští po startu v něčem přehledném - třeba codestuff starter.
název "zynga" nebo název toho zástupce můžeš taky nechat vyhledat v registrech.
když se přihlásíš jako jiný uživatel, dělá to taky?
v nouzovém režimu - kde se nespouští nic z "po spuštění" - to nedělá?