RE: [ml] EXE sotto C:\WINDOWS\TEMP

> un piccolo EXE di 162K sotto
> c:\windows\temp, dal nome mutevole, che riparte allo startup, anche se
> abbiamo controllato in tutti i possibili posti tramite Startup-CPL.

Attenzione che un amico mio per il suo personale keylogger invece di andare
ad aggiungere una voce in
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run rinominava
uno degli eseguibili ivi trovati, si sostituiva ad esso, e lo rilanciava.

Io cercherei se esiste un'utility analoga a filemon di sysinternals, ma da
command line (purtroppo nn ne conosco non avendola mai cercata), la farei
partire "presto" nell'avvio della macchina per loggare l'attività e vedere
chi crea questo file.
Un'altra cosa: prova a fare un giro con ADAware. Spesso trova schifezze che
non essendo rigorosamente "virus" vengono tralasciate dagli antivirus.

HTH