Poderia ser um cagarware e não um malware (ou seja, você concordou em começar). Os dois lugares genéricos para verificar isso, se isso acontecer apenas em um navegador:
- Verifique as extensões;
- Verifique as configurações, os valores definidos em "na inicialização";
Se for cross browser, verifique com ps -ef | grep $USER | more
se você pode identificar processos que você não espera ou sugere ser malware. Se assim você tem um problema de segurança e alguém foi capaz de executar um arquivo em seu sistema.