Danke, habe es jetzt gefunden.
Es ist die Datei winupdate.exe, erstellt am 17.04.2008 bei einem Windows Update, wird im Netz als Virus bezeichnet aber dies ist keiner! Signiert von MS und habe ihn selber getestet.
Normal müsste sich der Eintrag hier in der Registrierung befinden aber da ist er nicht???
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices, HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run)