Что скрывается за ndis.sys?

[Zr0M]

Здравствуйте! Помогите дочистить комп. Два зловреда нашел, отправил в Лабароторию Касперского. Остался третий. Спамит, как только кабель подключаешь.
На компе WinXP SP2. При установки SP3 ругается на то, что файл c:\..\ndis.sys занят другим процессом и не ставится дальше.
Логи прикладываю. В них только заметил в файлике host левую запись. Ткните носом, где зловред?

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
 DeleteFile('digiwet.dll');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=43978

Добавлено через 2 минуты

В случае подмены файла C:\WINDOWS\System32\Drivers\NDIS.sys его надо заменить на нормальный из дистрибутива.

[Zr0M]

Большой спасибо Aleksandra! Выполнил скрипт. Файл 'digiwet.dll' я до этого как раз и отправлял в Лабораторию. Отправил Вам запрошенный карантин.
Действительно была подмена файла ndis.sys. Причем когда смотришь из-под Windows (NTFS) он нормального размера. Но когда копируешь на флешку (отформатированную под FAT) он увеличивается в размере. Загрузился с Life-CD там этот файл, понятное дело, никак не маскируется и имеет увеличенный размер. Я перезалил нормальный файл. После этого удалось уже поставить SP3.

Насколько я понимаю ndis.sys маскировался в ntfs-потоке. Вот только где почитать про эти механизмы поподробнее? Как можно проверять, что какие либо файлы ОС осуществляют подобное?

P.S. На всякий случай снял после лечения (но до установки SP3) еще раз все логи. Прикладываю.

[Aleksandra]

Ничего зловредного в логах нет.

Добавлено через 1 минуту

NDIS.sys - Trojan.NtRootKit.2670

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\ndis.sys - Virus.Win32.Protector.a ( DrWEB: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )