Nehme aber an, dass es das aktiviert Windowsupdateservice ist, der so nach Updates sucht.
Kann mir schlecht vorstellen, dass MS auf eine gehijackte Seite verlinkt.
Ich stelle einfach mal das Windowsupdate aus. Mal sehen, ob die IP noch vorhanden ist.
Gruß