Вирус подменяет explorer (заявка №106071)

Пользователь обратился [URL=http://virusinfo.info/911test]в сервис 911[/URL], указав на следующие проблемы в работе его компьютера:
Установлен NOD32 3-й версии. Постоянно ругается на троян, при подключении к сети, идет атака с 1-го IP - 98.126.35.112:80 Утилита AVZ удаляет некоторые (временные) файлы, но при перезагрузке компьютера (Wix XP 3SP)- в реестре появляются непонятные процессы, на флешках прописывается autorun.inf в Windows файлы, создаваемые вирусом - не видны. Вместо папок - на флешках появляются ярлыки.
Код руткита в функции CopyFileA нейтрализован
Функция kernel32.dll:CopyFileW (67) перехвачена, метод APICodeHijack.JmpTo[00061096]
>>> Код руткита в функции CopyFileW нейтрализован
Функция kernel32.dll:CreateFileA (80) перехвачена, метод APICodeHijack.JmpTo[000611B6]
>>> Код руткита в функции CreateFileA нейтрализован
Функция kernel32.dll:CreateFileW (83) перехвачена, метод APICodeHijack.JmpTo[000613F6]
>>> Код руткита в функции CreateFileW нейтрализован
Функция kernel32.dll:MoveFileA (609) перехвачена, метод APICodeHijack.JmpTo[00062396]
>>> Код руткита в функции MoveFileA нейтрализован
Функция kernel32.dll:MoveFileW (612) перехвачена, метод APICodeHijack.JmpTo[000623F6]
>>> Код руткита в функции MoveFileW нейтрализован - несколько строк из AVZ
Дата обращения: 08.08.2011 13:30:50
Номер заявки: [URL=http://virusinfo.info/911test/?action=case_show_directions&case_id=106071]106071[/URL]

[B]08.08.2011 14:20:05[/B] на зараженном компьютере были обнаружены следующие вредоносные файлы:
[LIST=1][*] [B]C:\\WINDOWS\\jodrive32.exe[/B] - [URL=http://www.securelist.com/ru/find?words=Net-Worm.Win32.Kolab.aomv]Net-Worm.Win32.Kolab.aomv[/URL]
[LIST][*] размер: 111616 байт[*] дата файла: 07.08.2011 11:54:22[*] версия: "1.0.0.1"[*] копирайты: "Copyright (C) 2011"[*] детект других антивирусов: DrWEB 6.0: Зловред Trojan.AVKill.2; BitDefender: Зловред Trojan.Generic.6411386[/LIST][*] [B]C:\\WINDOWS\\System32\\Drivers\\sptd.sys[/B] - подозрительный, обрабатывается вирлабом
[LIST][*] размер: 717296 байт[*] дата файла: 05.07.2011 8:02:22[*] версия: "1.56.0.0 built by: WinDDK"[*] копирайты: "Copyright (C) 2004"[/LIST][*] [B]C:\\RECYCLER\\S-1-5-21-0243936033-3052116371-381863308-1811\\vsbntlo.exe[/B] - [URL=http://www.securelist.com/ru/find?words=Backdoor.Win32.Floder.bmo]Backdoor.Win32.Floder.bmo[/URL]
[LIST][*] размер: 61440 байт[*] дата файла: 08.08.2011 17:00:32[*] детект других антивирусов: DrWEB 6.0: Зловред Trojan.Inject.50959; VBA32: Зловред BScope.BackDoor.RusKill.01339; BitDefender: Зловред Trojan.Generic.6383834; Avast4: Зловред Win32:Trojan-gen[/LIST][*] [B]C:\\WINDOWS\\System32\\Drivers\\sptd.sys[/B] - подозрительный, обрабатывается вирлабом
[LIST][*] размер: 717296 байт[*] версия: "1.56.0.0 built by: WinDDK"[*] копирайты: "Copyright (C) 2004"[/LIST][/LIST]

14.08.2011 11:24:55 лечение успешно завершено