Internet Explorer auto run on startup

Na eni win xp x32 sp3 kišti, ki je preverjena z f-secure rescue cd (današnje definicije), MS Windows Malicious Software Removal Tool, bitdefender online scan (v safe modu), Sophos Anti-Rootkit & RootKit Hook Analyzer 3.02 se vsakič, ko se uporabnik prijavi v profil, po novem zažene še 1 proces IE6 (prej nobeden); in sicer tako (uporabil sem Process Explorer):

path:
C:\Program Files\Internet Explorer\iexplore.exe

command line:
"C:\Program Files\Internet Explorer\iexplore.exe" -Embedding

current directory:
C:\Documents and Settings\ uporabnik \Desktop\

IE-ja se na tej kišti ne uporablja.Na novo se ni nameščalo nič.
Isti problem se pojavi tudi v drugem uporabniškem profilu, prav tako tudi v safe modu.

Pregledoval sem tudi že z msconfig, autoruns, hijackthis, skopiral log fajl na stran hijackthis.de, a ni nič sumljivega videti.
Prej, ko je bil gori še IE8/7, se je vsakič zagnal IE kot 2 ločena procesa, father/son relacija.
Pri IE6 je zagnan kot son od path C:\WINDOWS\system32\svchost.exe ; command line: C:\WINDOWS\system32\svchost -k DcomLaunch
System restore sem tudi izklopil.

Preveri z Norton Power Eraser (NPE) in Comodo Cleaning Essentials...

Naredi full scan s kakšnim rescue cd-jem, recimo avira.

Regedit:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
in preveri, če niz SHELL vsebuje EXPLORER.EXE in ne kaj drugega.

Nato še:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution.options
in če obstajata ključa z imenom EXPLORER.EXE in IEXPLORE.EXE jih izbriši, zapri Regedit, restartaj komp in poročaj.

p.s.
Zapri vse programe.
Start/Zaženi in vpiši:
msinfo32
V levi drevesni strukturi razširi "Programsko okolje" in izberi "Zagnana opravila", ki pokaže vse .exe module. Poglej za explorer.exe, če je pot C:\Windows\explorer.exe
Povej, če je na tem seznamu tudi iexplore.exe in napiši njegovo pot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
in preveri, če niz SHELL vsebuje EXPLORER.EXE in ne kaj drugega.

checked

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution.options
in če obstajata ključa z imenom EXPLORER.EXE in IEXPLORE.EXE jih izbriši, zapri Regedit, restartaj komp in poročaj.

teh 2 ključev ni

Zadevo sem rešil (avira offline cd) -zaznal in popravil, če se prav spomnem je šlo za fajl "volsnap.sys", na katerega se je dodala zlobna koda, saj je bil checksum fajla drugačen od originalnega.