Вирус в браузере ("страница спонсора")

[Puerra]

Добрый день!

В браузере открывается "страница спонсора" (gameorplay.info).
Аваст, CureIt и Anti-Malware не помогли от нее избавиться.

[Info_bot]

Уважаемый(ая) Puerra, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе прикрепите.

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O4 - HKCU\..\Run: [Iulia] = C:\Windows\explorer.exe http://exinariuminix.info
O22 - Task: Iulia - C:\Windows\system32\cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Iulia /t REG_SZ /d "explorer.exe http://exinariuminix.info"

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

[Puerra]

Все сделала (но строки "O4 - HKCU\..\Run: [Iulia] = C:\Windows\explorer.exe http://exinariuminix.info" не оказалось)
К сожалению, не помогло.

[Vvvyg]

Значит, не заметили.
Выполните скрипт в AVZ:

begin
 ExecuteFile('schtasks.exe', '/delete /TN "Iulia" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Iulia');
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Puerra]

Отчеты Farbar Recovery Scan Tool в приложенном архиве.

Не помогло

"Страница спонсора" сейчас не открывается, но каждый раз при открытии Оперы и дальше с интервалом в минут 20, в час (регулярно) Malwarebytes по-прежнему блокирует исходящие подключения ("вредоносное рекламное ПО").
Пример такого отчета:
-Сведения о заблокированном веб-сайте-
Вредоносный веб-сайт: 1
, , Заблокировано, [-1], [-1],0.0.0
-Информация о веб-сайте-
Категория: Не указано
Домен: api3.fri-gate.biz
IP-адрес: 195.154.43.38
Порт: [49615]
Тип: Исходящий трафик
Файл: C:\Program Files (x86)\Opera\51.0.2830.55\opera.exe

[Vvvyg]

Это проделки расширения FriGate. Удалите, в Opera есть встоенный VPN.
Очистите кеш и cookie: Настройки -> Безопасность -> Очистить историю посещений. Поставьте галочки "Файлы сookie и прочие данные сайтов", "Кэшированные изображения и файлы" и выберите "Уничтожить указанные элементы за следующий период:" "За последнюю неделю".

[Puerra]

Большое спасибо за помощь!

UPD. Теперь блокируется такое:
-Сведения о заблокированном веб-сайте-
Вредоносный веб-сайт: 1
, , Заблокировано, [-1], [-1],0.0.0

-Информация о веб-сайте-
Категория: Не указано
Домен: www.podari-zhizn.ru
IP-адрес: 78.110.60.30
Порт: [54488]
Тип: Исходящий трафик
Файл: C:\Program Files (x86)\Opera\51.0.2830.55\opera.exe

[Vvvyg]

Вообще говоря, Malwarebytes проявляет излишнюю подозрительность, и именно поэтому его не рекомендуется использовать в качестве антивируса с постоянной защитой, только для разовых проверок. В данном случае он блокирует, скорее всего, баннер со ссылкой на безобидный благотворительный фонд. Перейдите на вкладку Параметры - Личный кабинет и нажмите кнопку Деактивировать ознакомительную Premium-версию, или удалите MBAM полностью.
Деинсталлируйте также программу Elex.

[Puerra]

Да, а в остальном все в порядке (автоматического открытия страницы спонсора больше нет).

Большое спасибо!

[Vvvyg]

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.