Einträge von user.js werden gewöhnlich in die prefs.js übernommen. Es reicht also nicht einfach diese zu löschen. Außerdem können noch Dateien oberhalb vom Profilverzeichnis nachgeladen werden
Da ich das schon zur Genüge analysiert habe gab ich dir diese obigen Hinweise. Ein scheinbar sauberer PC kann trotzdem kompromittiert sein!