После удаления baseprew32.dll не грузится даже в safe mode

Добрый день!
NOD32 обнаружил заразу в baseprew32.dll - Win32/SubSys.NAD.
Файл был заблокирован и NOD собирался удалить его после перезагрузки.
Проверка CureIt ничего не нашла.
После перезагрузки Windows не грузится ни в нормальном, ни в безопасном режиме.
Попробовал загрузиться с Hiren'sBootCD9.9
Скопировал чистый basesrv.dll в system32 как basesrv.dll и как baseprew32.dll. Ничего не дало.
Проверил реестр, как описано в Чаво. Все на месте.
Загрузка останавливается на чистом голубом экране с курсором, перед экраном ввода пароля.
Провел проверки по правилам из под Hiren'sBootCD9.9.
HijackThis выдал Run-time error '50003' после нажатия на кнопку I Accept.
Результаты проверки направляю.

[QUOTE='Ikal_2;538239']Проверил реестр, как описано в Чаво[/QUOTE]
Что именно и как вы смотрели в реестре?
Не припоминаю в Чаво статьи про basesrv.
Сейчас попробую найти, давно это было...

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

В общем так:
Надо с помощью Win PE или др. системы цеплять в regedit куст SYSTEM и смотреть во всех ControlSet'ах ветку [B]Control\Session Manager\SubSystems[/B]. В ней есть параметр [I]Windows[/I] а правильным значением его должно быть следующее:
[QUOTE]%SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=[COLOR="Red"][B]basesrv[/B][/COLOR],1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16[/QUOTE]
Насколько мне известно, троян менял только имя dll (выделено красным).
Исправьте его аккурантно, остальное не трогайте.

Не дождался ответа в пятницу, начал лечиться самостоятельно.
Систему удалось запустить, но есть подозрения, что какая-то зараза осталась. Комп притормаживает.:unsure:
Новые логи:

Активной заразы в логах не видно.
Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(True);
DeleteFile('D:\WIN.XP\herjek.exe');
DeleteFile('D:\WIN.XP\TEMP\winlogon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новый лог syscheck (только п.2 раздела Диагностика).

В безопасном режиме свежий CureIt нашел в system32\oobe вирус
Tool.Wpakill.2 в файле MSOOBE.EXE. Удален.
Перед выполнением скрипта заглянул по указанным в нем адресам.
В WIN.XP herjek.exe не обнаружен зато имеется herjek.config.
В WIN.XP\TEMP winlogon.exe также не обнаружен.
Выполнен скрипт. Новый лог syscheck прилагается.
После выполнения скрипта herjek.config остался. Могу прислать, если интересует.

В логе порядок.
herjek.config не нужен, можете удалить.

Большое СПАСИБО за содействие.
[I][FONT=Tahoma][COLOR=#ff0000]С наступающим 2010 годом![/COLOR][/FONT][/I]
[I][FONT=Tahoma][COLOR=#ff0000]Успехов в Новом Году! [/COLOR][/FONT][/I]
:wink_3: