Такс... вроде нашёл чем определить откуда идёт рассылка, качаем NetBIOS Monitor (http://www.freeware.ru/program_prog_id_12524.html) смотрим подозрительную (частую) активность IP. Идём на тачки и проверям факт заражения (по процессам, ключам реестра).
У меня три машины обнаружились с интенсивной активностью по NetBIOS...
P.S. Пошёл их проверять, продолжение следует...