Вирус. НОД32 говорит Spy.Small.NBO trojan

Сообщение НОДа: Приложение KernelDrv.exe пытается создать dll.dll что он определяет как вирус (см. заголовок темы). Пытался удалить этот KernelDrv.exe просто в винде, в безопасном режиме, в реестре в автозагрузке, в Хайджек - результат 0. Последствия после этой ерунды иногда при загрузке винды появляется синий экран смерти, или при сканировании НОДом тоже бывает. В безопасном режиме все спокойно, здесь можно и НОДом сканировать. Также при создании файлов (см. аттач) проги обнаружили какие-то другие инфицированные файлы. Хотя в безопасном режиме все просканил последним НОДом, все впорядке.
Заранее спасибо за помощь.

Забыл добавить: Интернет Эксплорер грузится не хочет, появляется окно и исчезает через долю секунды. Соответственно требования по поводу включенного Эксплорера я не смог выполнить, сижу через Оперу.

Пофиксите в HijackThis:
[code]
O2 - BHO: wxilibP - {7E3EDD51-48FD-40F2-ACE4-0D2D9F2889AE} - C:\Documents and Settings\All Users\Application Data\wxilib.dll (file missing)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: chmlibP - {A79EF23F-6A62-4880-B74F-213CE8D8FBDA} - C:\Documents and Settings\All Users\Application Data\chmlib.dll (file missing)
O2 - BHO: (no name) - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL (file missing)
O4 - HKLM\..\Run: [lanmanwrk.exe clean] C:\WINDOWS\System32\lanmanwrk.exe clean
O4 - HKLM\..\Run: [KernelDrv.exe clean] C:\WINDOWS\System32\KernelDrv.exe clean
O20 - Winlogon Notify: crypt - crypts.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\375.exe','');
QuarantineFile('C:\Documents and Settings\Владимир\Рабочий стол\honeywell\Work\Honeywell\Шевр\FW RFQ 13856 - Item 1 open only.msg','');
QuarantineFile('C:\Documents and Settings\Владимир\Local Settings\Temp\fe21C.tmp','');
QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
QuarantineFile('C:\WINDOWS\lsass.exe','');
QuarantineFile('C:\WINDOWS\System32\lanmandrv.sys','');
QuarantineFile('C:\WINDOWS\system32\winlogon.exe','');
QuarantineFile('C:\WINDOWS\System32\lanmanwrk.exe','');
QuarantineFile('C:\WINDOWS\System32\KernelDrv.exe','');
QuarantineFile('setuprs1.PIF','');
QuarantineFile('C:\WINDOWS\system32\ksvcl.dll','');
DeleteFile('C:\WINDOWS\system32\ksvcl.dll');
DeleteFile('C:\WINDOWS\System32\KernelDrv.exe');
DeleteFile('C:\WINDOWS\System32\lanmanwrk.exe');
DeleteFile('C:\WINDOWS\System32\lanmandrv.sys');
DeleteFile('C:\WINDOWS\lsass.exe');
DeleteFile('C:\Documents and Settings\Владимир\Local Settings\Temp\fe21C.tmp');
DeleteFile('C:\Documents and Settings\Владимир\Рабочий стол\honeywell\Work\Honeywell\Шевр\FW RFQ 13856 - Item 1 open only.msg');
DeleteFile('C:\WINDOWS\system32\digeste.dll');
DeleteFile('C:\WINDOWS\system32\drivers\375.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('ksi32sk');
BC_DeleteSvc('ati8uaxx');
BC_DeleteSvc('ati8rwxx');
BC_DeleteSvc('ati7yexx');
BC_DeleteSvc('ati7ejxx');
BC_DeleteSvc('ati6joxx');
BC_DeleteSvc('ati5xdxx');
BC_DeleteSvc('ati5otxx');
BC_DeleteSvc('ati4rwxx');
BC_DeleteSvc('ati2mrxx');
BC_DeleteSvc('ati1osxx');
BC_DeleteSvc('ati0otxx');
BC_DeleteSvc('ati0kpxx');
BC_DeleteSvc('lanmandrv');
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=39367[/url]).
Сделайте новые логи.

Карантин выслал.

Файл сохранён как 090211_004033_virus_4991f4512da26.zip
Размер файла 1335949
MD5 545a3f0be896622838f4e744e2485fcb

Результаты после выполнения скрипта и фикса в ХайДжек:
1) НОД32 больше не ругается
2) Синего экрана пока еще не видел
3) IE все еще закрывается сразу после запуска

Под подозрением остался только winlogon.exe с датой изменения 08.02.2009, подождем ответа аналитиков.

Как там с ответом аналитиков ?

Ээээ... вы карантин присылали вообще? Я вот его вообще не вижу. Вы откуда его отправляли? Из своей темы, надеюсь?

Да, карантин я отправил, о чем незамедлительно сообщил.

Файл сохранён как 090211_004033_virus_4991f4512da26.zip
Размер файла 1335949
MD5 545a3f0be896622838f4e744e2485fcb

Имя файла указано выше, если файла нету, могу выслать еще раз.

Ответа пока нет...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\kerneldrv.exe - [B]Backdoor.Win32.Qmop.h[/B][*] c:\windows\system32\lanmandrv.sys - [B]Backdoor.Win32.Qmop.b[/B] (DrWEB: Trojan.NtRootKit.2676)[/LIST][/LIST]