Рекламные вирусы (трояны) с сайта http://bbup.ru

Здравствуйте!
Мой антивирус на момент заражения: ESET SMART SECURITY 8. Система 64 разрядная. По ссылке [URL]hxxp://lshields.ru/l[/URL] скачал архив с икзешником. Антивирус не ругался на архив, так как до момента заражения я вручную отключил все компоненты защиты, и забыл включить вновь. Запустив программу по ссылке, 02.08.2016 обнаружил множество рекламных приложений, ссылок, замена страниц в браузере и т.д. Пробовал лечить NOD 32 и Malwerebytes Anti-Malware, часть вылечил, но периодически вновь появляются PUP.Optional.Kometa, папка YandexBrowser (причем никогда этот браузер не устанавливал) в корне AppData и др. нежелательное ПО, которое идентифицируется Malwerebytes Anti-Malware.

Уважаемый(ая) [B]Арсений Исаев[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Логи программы Malwerebytes Anti-Malware.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFileF('c:\users\rza\appdata\roaming\adobe\nativeplugin\ooba\ppapi\c484d5c6-b72e-4f82-a757-633b4be7b2d6', '*', true, '', 0 , 0);
QuarantineFile('mrupdsrv.sys', '');
QuarantineFile('C:\Users\RZA\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\C484D5C6-B72E-4F82-A757-633B4BE7B2D6\A1029A8C-874E-4532-8C7F-008AF235305C.exe', '');
QuarantineFile('C:\Users\RZA\AppData\Local\Microsoft\A6E9301075A1050576580F103551BAE8\FDF23BA3DF2547BC095CAFFAB4041D8D.exe', '');
QuarantineFile('C:\Users\RZA\AppData\Local\Mail.Ru\MailRuUpdater.exe', '');
DeleteFile('mrupdsrv.sys', '32');
DeleteFile('C:\Users\RZA\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\C484D5C6-B72E-4F82-A757-633B4BE7B2D6\A1029A8C-874E-4532-8C7F-008AF235305C.exe', '32');
DeleteFile('C:\Users\RZA\AppData\Local\Microsoft\A6E9301075A1050576580F103551BAE8\FDF23BA3DF2547BC095CAFFAB4041D8D.exe', '32');
DeleteFile('C:\Users\RZA\AppData\Local\Mail.Ru\MailRuUpdater.exe', '32');
DeleteService('mrupdsrv');
DeleteFileMask('c:\users\rza\appdata\local\microsoft\a6e9301075a1050576580f103551bae8', '*', true);
DeleteFileMask('c:\users\rza\appdata\local\mail.ru', '*', true);
DeleteDirectory('c:\users\rza\appdata\local\microsoft\a6e9301075a1050576580f103551bae8');
DeleteDirectory('c:\users\rza\appdata\local\mail.ru');
ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\041D8D4BAFFAC590CB7452FD3AFDF23B" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\041D8D4BAFFAC590CB7452FD3AFDF23BSB" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\041D8D4BAFFAC590CB7452FD3AFDF23B" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\041D8D4BAFFAC590CB7452FD3AFDF23BSB" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\AC484D5C6-B72E-4F82-A757-633B4BE7B2D6" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'C484D5C6-B72E-4F82-A757-633B4BE7B2D6');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', '041D8D4BAFFAC590CB7452FD3AFDF23BSB');
ExecuteSysClean;
ExecuteRepair(1);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Сделал.

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.

Здравствуйте. Логи Adw Cleaner:
1. Первый лог до очищения кэша и cookies-файлов браузеров
2. Второй лог после очищения кэша и cookies-файлов (чистил с помощью CCleaner по инструкции с данного сайта) и запуска и отключения Opera 39.0.
MBAM полная проверка с новыми базами 0 зараженных файлов.
Как видно из последнего лога Adw Cleaner находит файл C:\Users\RZA\AppData\Roaming\Opera Software\Opera Stable\Local Extension Settings\ihbiedpeaicgipncdnnkikeehnjiddck. Пробовал делать очистку, но при перезагрузке и повторном сканировании, все равно обнаруживается средствами Adw Cleaner данный файл.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

Все сделал

Не вижу этого расширения в Опере.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-1048257828-1040429118-1263983042-1000\...\Run: [Clownfish] => 0
HKU\S-1-5-21-1048257828-1040429118-1263983042-1000\...\Policies\Explorer: []
ShellExecuteHooks-x32: - {A5BE62CA-DE0F-4764-A0CB-4044816DB174} - No File [ ]
ShortcutTarget: CodecPackUpdateChecker.lnk -> C:\Windows\SysWOW64\C2MP\UpdateChecker.exe (No File)
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
S2 clr_optimization_v1.02; no ImagePath
S2 tuEaglesService; no ImagePath
2016-08-05 19:19 - 2016-08-05 19:19 - 0000124 ___SH () C:\Program Files (x86)\Common Files\SBEXTS
Task: {6C43C9AD-E120-4516-A82E-95D81707A2F0} - \Программа онлайн-обновления Adobe. -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\Temp:25C47B05 [336]
AlternateDataStreams: C:\ProgramData\Temp:58A5270D [144]
AlternateDataStreams: C:\ProgramData\Temp:8ABBFC3E [116]
AlternateDataStreams: C:\ProgramData\Temp:D8999815 [149]
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\tuEaglesService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\tuEaglesService => ""="Service"
S2 eglFS; no ImagePath
S2 eglNokl; no ImagePath
S2 eglPS; no ImagePath
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемами.

Сделал все операции, но Adw Cleaner все равно почему-то диагностирует данный файл, который по пути: C:\Users\RZA\AppData\Roaming\Opera Software\Opera Stable\Local Extension Settings\ihbiedpeaicgipncdnnkikeehnjiddck. Это расширение Up Fast в опере, которое я не устанавливал. Попробую удалить через настройки расширений браузера.
MBAM все нормально, ни одного объекта при полной проверке.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Получилось удалить данное расширение через оперу. Adw cleaner не находит никаких вирусов сейчас. Спасибо, проблема решена!

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]