Io tempo fa ho avuto un problema su un mio sito, non proprio simile pero' magari puo darti un idea: al primo accesso di qualunque utente scaricava un file nella cache dell'utente stesso, e causava vari problemi tra cui si aprivano dei pop up o redirect, cambio home page ecc.
Dopo molti tentativi ho scoperto che il problema era nel mio contatore delle visite... avevo registrato un contatore su un sito che ho rimosso ora e, ad ogni primo accesso di nuovi utenti, scaricava automaticamente questo trojan/virus ! Ora uso shinystat ed ho risolto il problema, cmq controlla magari hai il mio stesso ex-problema