questo è il log di hijack considerando ch è di un ente pubblico con relative applicazioni particolari.
Se riuscite in breve tempo grazie.

Logfile of HijackThis v1.99.0
Scan saved at 10.52.35, on 19/01/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\mgabg.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\WINNT\inet10009\winlogon.exe
C:\WINNT\system32\Promon.exe
C:\WINNT\System32\PDesk\PDesk.exe
C:\WINNT\system32\carpserv.exe
C:\WINNT\System32\unmxtbcq.exe
C:\WINNT\system32\internat.exe
C:\WINNT\System32\PDesk\PDMMD.EXE
C:\Programmi\WinZip\WZQKPICK.EXE
C:\Documents and Settings\OPERATORE6\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://prefettura.savona.sirioweb.com/index_r.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
F3 - REG:win.ini: run=C:\WINNT\inet10009\winlogon.exe
O2 - BHO: CeresObj Class - {00000049-8F91-4D9C-9573-F016E7626484} - C:\WINNT\ceres.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programmi\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {7B55BB05-0B4D-44fd-81A6-B136188F5DEB} - C:\WINNT\questmod.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [tourpath] regedit /s c:\winnt\tour.reg
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Promon.exe] Promon.exe
O4 - HKLM\..\Run: [ConfigSafe] C:\CFGSAFE\NTFSCLUP.EXE
O4 - HKLM\..\Run: [CSScheduleCheck] C:\CFGSAFE\SCHWIZEX.EXE -CHECK
O4 - HKLM\..\Run: [Matrox Powerdesk] C:\WINNT\System32\PDesk\PDesk.exe /Autolaunch
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Programmi\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [xp_system] C:\WINNT\inet10009\winlogon.exe
O4 - HKLM\..\Run: [jlbkzouzymu] C:\WINNT\System32\unmxtbcq.exe
O4 - HKCU\..\Run: [internat.exe] internat.exe
O4 - HKCU\..\Run: [Matrox MultiDesktop] C:\WINNT\System32\PDesk\PDMMD.EXE /Startup
O4 - HKCU\..\Run: [xp_system] C:\WINNT\inet10009\winlogon.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Programmi\WinZip\WZQKPICK.EXE
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINNT\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{6B9AAF78-E224-4CD5-9465-383FDE44BC7E}: NameServer = 151.99.125.2,212.216.112.112
O23 - Service: Servizio amministrativo di Gestione disco logico - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: MGABGEXE - Matrox Graphics Inc. - C:\WINNT\System32\mgabg.exe
O23 - Service: NMS Service - Intel Corporation - C:\WINNT\System32\NMSSvc.exe

ATTENZIONE se si tratta di un computer aziendale ti consiglio di rivolgerti al tecnico della rete, se il tuo computer e infetto lo sono anche gli altri computer connessi, meglio far intervenire il responsabile della rete.
<b>Per i seguenti consigli non posso assumermi nessuna responsabilità.</b>

Ciao,
esegui queste operazioni

riavvia in modalità provvisoria, leggi qui come fare
http://www.aiutamici.com/software/view.asp?tipo=home&CodSw=344&SH=N

apri HIJAC THIS ed elimina come indicato in questo articolo
http://www.aiutamici.com/software/descrizione.asp?CodSw=1175
le righe che seguono, (nel caso le righe da eliminare non compaiono in modalità provvisoria, eliminale dalla modalità normale e riavvia il computer).

==================================
F3 - REG:win.ini: run=C:\WINNT\inet10009\winlogon.exe
<font color=red>winlogon.exe dovrebbe stare nella cartella C:\WINDOWS\SYSEM32 pertanto questo file potrebbe essere pericoloso, se conosci la cartella inet10009 non eliminarlo</font id=red>
-
O2 - BHO: CeresObj Class - {00000049-8F91-4D9C-9573-F016E7626484} - C:\WINNT\ceres.dll
-
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
-
O2 - BHO: (no name) - {7B55BB05-0B4D-44fd-81A6-B136188F5DEB} - C:\WINNT\questmod.dll
-
O4 - HKLM\..\Run: [xp_system] C:\WINNT\inet10009\winlogon.exe
O4 - HKLM\..\Run: [jlbkzouzymu] C:\WINNT\System32\unmxtbcq.exe
-
O4 - HKCU\..\Run: [xp_system] C:\WINNT\inet10009\winlogon.exe
==================================

Con la funzione TROVA di Windows, cerca ed elimina questi file,

==================================
<b>C:\WINNT\inet10009\</b><font color=red>winlogon.exe</font id=red> da eliminare solo il file che si trova in questa cartella, non eliminare gli altri winlogon.exe
<font color=red>
ceres.dll
questmod.dll
unmxtbcq.exe</font id=red>
==================================

al termine utilizza i programma AD-AWARE e SPYBOT indicati in questo articolo
http://www.aiutamici.com/software/view.asp?tipo=home&CodSw=388&SH=N

sempre in modalità provvisoria fai una scansione Antivirus.

---

Collaboratore Aiutamici

problema risolto grazie mille