grazie, è sospetta anche questa credo: O4 - HKLM\..\Run: [crtfmon] C:\WINDOWS\400x.exe o no?