Вписываться может только под чьим то руководством, тоесть под руководством "плохой" программы, следовательно, эта "плохая" программа гдето сидит, или в памяти, или запускается время от времени ( ну к примеру "назначеные задания" )
Следовательно. Надо смотреть что за процессы лезут к hosts и анализировать их