Вирус Win32/Spy.Goldun.GU: идентифицировано но не вылечено.

Здравствуйте.
Проблема у меня в следующем: Nod32, сканируя оперативку выдает сообщение: модифицированный Win32/Spy.Goldun.GU троян найден в оперативной памяти. Файл может быть удален. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\system32\xartcd5.dll. Дальнейшая очистка проблему не решает.
Прошу помощи у знающих.
Заранее спасибо.

[quote=Jarbon]Здравствуйте.
Проблема у меня в следующем: Nod32, сканируя оперативку выдает сообщение: модифицированный Win32/Spy.Goldun.GU троян найден в оперативной памяти. Файл может быть удален. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\system32\xartcd5.dll. Дальнейшая очистка проблему не решает.
Прошу помощи у знающих.
Заранее спасибо.[/quote] -для начала [URL="http://virusinfo.info/attachment.php?attachmentid=4715&d=1164888253"]выполните[/URL] в AVZ скрипт:[quote]begin
QuarantineFile('C:\WINDOWS\system32\nutafun4.dll','');
QuarantineFile('C:\WINDOWS\Temp\JET6DA9.tmp','');
QuarantineFile('H:\Program Files\ad\AdMunch.exe','');
QuarantineFile('C:\WINDOWS\PowerS.exe','');
QuarantineFile('H:\Program Files\ad\AdMunch.dll','');
QuarantineFile('C:\WINDOWS\System32\xartcd5.dll','');
QuarantineFile('c:\windows\powers.exe','');
QuarantineFile('h:\program files\ad\admunch.exe','');
QuarantineFile('\??\C:\WINDOWS\System32\xartcd7.sys','');
QuarantineFile('c:\documents and settings\andrey\Рабочий стол\inetaccess.exe','');
end.[/quote] -далее, выполните, начиная с пятого пункта[quote]
[COLOR=brown][B]Приложение 2.[/B] Поиск файлов при помощи AVZ.[/COLOR]


[COLOR=brown][B]1.[/B][/COLOR] Выберите "Файл" - "Добавление в карантин по списку".
[COLOR=brown][B]2.[/B][/COLOR] В верхнем окне введите список файлов которые Вас просили прислать.
[COLOR=brown][B]3.[/B][/COLOR] Нажмите на кнопку "Пуск" и дождитесь появления в нижнем окне надписи "Процесс добавления файлов завершен"
[COLOR=brown][B]4.[/B][/COLOR] Закройте текущее окно "Добавление в карантин по списку"
[COLOR=brown][B]5.[/B][/COLOR] Выберите из меню "Файл" - >"Просмотр карантина".
[COLOR=brown][B]6.[/B][/COLOR] Справа в списке файлов отметьте те файлы которые хотите выслать.
[COLOR=brown][B]7.[/B][/COLOR] Нажмите на кнопку "Архивировать" и укажите место на диске где будет сохранён архив.
[COLOR=brown][B]8.[/B][/COLOR] Загрузите полученный архив по адресу [URL="https://virusinfo.info/upload_virus.php"]https://virusinfo.info/upload_virus.php[/URL] , указав в поле "Ссылка на тему" ссылку на открытую Вами тему (ссылка должна быть вида [B]httр://virusinfo.info/showthread.php?t=ХХХХ[/B]).[/quote]

-кроме того, [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксить[/URL] в HijackThis строки:
[QUOTE]O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing)
[/QUOTE]

Выполнил все пункты. Файлы отправлены.
Профиксил данные строки. После перезагрузки строка:
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing) все еще висит в списке HijackThis.

[QUOTE=Jarbon]Выполнил все пункты. Файлы отправлены.
Профиксил данные строки. После перезагрузки строка:
O23 - Service: Power Manager (PowerManager) - Unknown owner - C:\WINDOWS\svchost.exe (file missing) все еще висит в списке HijackThis.[/QUOTE]
[url]http://virusinfo.info/showpost.php?p=80604&postcount=2[/url]

Сделал все по ссылке. Hijack This выдает сообщение. The service 'PowerManager' is enabled and/or runing. Disable it firstt, using HijackThis itself (from the scan results) or SErvices.msc window.
Че делать-не знаю.
Извените, если вдруг туплю на ровном месте.

-мда... похоже, всё, что Вы нам прислали пойдёт на пополнение базы безопасных, а вот то что действительно хотелось бы пощупать в карантин AVZ и не попало...
-давайте ещё попробуем так, [URL="http://virusinfo.info/attachment.php?attachmentid=4715&d=1164888253"]выполните[/URL] в AVZ скрипт:[quote]begin
SearchRootkit(True, True);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\nutafun4.dll','');
QuarantineFile('C:\WINDOWS\Temp\JET6DA9.tmp','');
QuarantineFile('C:\WINDOWS\System32\xartcd5.dll','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
QuarantineFile('C:\WINDOWS\System32\xartcd7.sys','');
DeleteFile('C:\WINDOWS\svchost.exe');
ExecuteSysClean;
RebootWindows(True);
end.[/quote] ...ну, а дальше Вы уже знаете, с пункта 5 Приложения 2.

Сделано.
Строка
O23 - Service: Power Manager (PowerManager) - Unknown owner -C:\WINDOWS\svchost.exe (file missing)
из реестра вроде исчезла.
Строку
O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)
профиксил кнопкой 'FixChecked', она помещена в раздел 'Backups'.Надо ли с ней делать еще что-то?

-поскольку нам так и не удалось получить образцы вышеперечисленных объектов, а используемый вами NOD32 окончательно решить проблему не может, предлагаю:
*сменить антивирус, хотя бы временно, ну, скажем на [URL="ftp://ftp.drweb.com/pub/drweb/windows/drweb-433-win-ru.exe"]DrWeb[/URL], возможно он справится, измените в настройках SpIDer Guard`а режим проверки "на лету" из Оптимального на Другой (Запуск и открытие + Создание и запись) и перезагрузите ПК; (позже вернёте режим проверки "на лету" на Оптимальный, а то он может довольно заметно тормозить работу на Машине)
**сменить все пароли - почтовые, ICQ и т.д. и т.п.;
***обновите ОС Windows XP SP1 до SP2 + несколько десятков обновлений(без этого никак не удастся добиться сколь нибудь стабильного положительного результата)

Ура! DrWeb справился моментально. Только закончил все обновления. Система в порядке(поплюем через оба плеча). ОГРОМНЕЙШЕЕ СПАСИБО за помощь и рекомендации!!!

-не помешает полная проверка Сканером всех дисков на ПК, лучше в Безопасном режиме (SafeMod, F8 до начала загрузки ОС)