Klingt für mich nach einem Hijacker. AdAware und Spybor dtüberlaufen lassen, dann sollte der weg sein.