Помогите вылечить троян Bplug 4087

[Deny9111]

Здравствуйте, уже больше месяца замечаю на своем ноутбуке троян Bplug 4087, лечение антивирусом не помогает, пользуюсь браузером Яндекс, не понимаю, как можно вылечить этот вирус. Буду благодарна за помощь

[Info_bot]

Уважаемый(ая) Deny9111, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе прикрепите.

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O4 - HKCU\..\Run: [Felix] = C:\Program Files\ScreenMates\Felix.exe (file missing)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [1] = eav_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [2] = avast_free_antivirus_setup_online.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [3] = eis_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [4] = essf_trial_rus.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [5] = hitmanpro_x64.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [6] = ESETOnlineScanner_UKR.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [7] = ESETOnlineScanner_RUS.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [8] = HitmanPro.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun:  [9] = 360TS_Setup_Mini.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [10] = Cezurity_Scanner_Pro_Free.exe (disabled)
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [11] = AVbr.exe (disabled)
O17 - HKLM\System\CCS\Services\Tcpip\..\{9ae6dcbd-2bc8-4e4a-83d7-4569a3df7e25}: [NameServer] = 163.172.35.26
O17 - HKLM\System\CCS\Services\Tcpip\..\{9ae6dcbd-2bc8-4e4a-83d7-4569a3df7e25}: [NameServer] = 193.37.68.40
O22 - Task (.job): (Not scheduled) Восстановление сервиса обновлений Яндекс.Браузера.job - C:\Program Files (x86)\Yandex\YandexBrowser\22.9.1.1095\service_update.exe (file missing)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Doctor Web (empty)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Intel (empty)
O22 - Tasks: \ASUS\Aura Wallpaper Service - C:\Program Files\ASUS\Aura Wallpaper Service\Aura Wallpaper Service.exe (file missing)

Судя по детекту, эт о какое-то расширение браузера. Покажите детект Dr. Web, чтобы было видно, в каком файле находит вирус.

[Deny9111]

Сделала все, как вы написали, отчет приложила

Я не очень разбираюсь, у меня стоит антивирус доктор веб, а где взять детект? Я даже не в курсе, что это такое..
Сделала скрин карантина, скрин проверки компьютера

[Vvvyg]

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Deny9111]

Сканирование сделала, файлы приложила

[Vvvyg]

Удалите в Яндекс браузере расширение WinSafe - быстрый доступ к сайтам! - на него Dr. Web ругается.

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
Task: {345F48B3-77ED-40C9-BCE1-28FB1688843D} - System32\Tasks\iTop Sump Task(One-Time) => C:\Program Files (x86)\iTop VPN\SumpiTop.exe /sup (Нет файла)
CHR HKU\S-1-5-21-751602692-874100078-54618301-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gndelhfhcfbdhndfpcinebijfcjpmpec]
CHR HKLM-x32\...\Chrome\Extension: [mlomiejdfkolichcflejclcbmpeaniij]
2022-02-18 13:32 C:\AdwCleaner
2022-02-18 13:32 C:\KVRT_Data
2022-02-18 13:32 C:\Program Files\AVAST Software
2022-02-18 13:32 C:\Program Files\AVG
2022-02-18 13:32 C:\Program Files\Cezurity
2022-02-18 13:32 C:\Program Files\COMODO
2022-02-18 13:32 C:\Program Files\ESET
2022-02-18 13:32 C:\Program Files\Kaspersky Lab
2022-02-18 13:32 C:\Program Files\Malwarebytes
2022-02-18 13:32 C:\Program Files (x86)\360
2022-02-18 13:32 C:\Program Files (x86)\AVAST Software
2022-02-18 13:32 C:\Program Files (x86)\AVG
2022-02-18 13:32 C:\Program Files (x86)\Cezurity
2022-02-18 13:32 C:\Program Files (x86)\GRIZZLY Antivirus
2022-02-18 13:32 C:\Program Files (x86)\Kaspersky Lab
2022-02-18 13:32 C:\Program Files (x86)\Microsoft JDX
2022-02-18 13:32 C:\Program Files (x86)\Panda Security
2022-02-18 13:32 C:\Program Files (x86)\SpyHunter
2022-02-18 13:32 C:\Windows\speechstracing
2022-02-18 13:32 C:\Program Files\Common Files\McAfee
2022-02-18 13:32 C:\ProgramData\360safe
2022-02-18 13:32 C:\ProgramData\AVAST Software
2022-02-18 13:32 C:\ProgramData\Avira
2022-02-18 13:32 C:\ProgramData\ESET
2022-02-18 13:32 C:\ProgramData\grizzly
2022-02-18 13:32 C:\ProgramData\Kaspersky Lab
2022-02-18 13:32 C:\ProgramData\Kaspersky Lab Setup Files
2022-02-18 13:32 C:\ProgramData\Malwarebytes
2022-02-18 13:32 C:\ProgramData\MB3Install
2022-02-18 13:32 C:\ProgramData\McAfee
2022-02-18 13:32 C:\ProgramData\Norton
2023-02-12 13:22 - 2022-05-17 12:42 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced SystemCare
FirewallRules: [{26E618B4-75A1-4053-A293-F78D5D30AFB6}] => (Block) LPort=445
FirewallRules: [{05B435E5-0A12-4708-85F2-A24B084F1658}] => (Block) LPort=445
FirewallRules: [{2F5A4998-25F3-4DF7-A924-F9EB16A3CEE8}] => (Block) LPort=139
FirewallRules: [{8EA83F99-D9B9-4DD5-AFDA-7FE98BE5258A}] => (Block) LPort=139
FirewallRules: [{554A6EDA-638B-4FD7-89C1-4CB8FF18B4BF}] => (Allow) C:\Users\Admin\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
FirewallRules: [{9A78F84C-6777-43EE-A7B1-44AC7E982AA0}] => (Allow) C:\Users\Admin\AppData\Roaming\uTorrent\uTorrent.exe => Нет файла
FirewallRules: [TCP Query User{CF4F88E8-DB76-4A34-A5BA-2A1AA46F7ADC}C:\games\phasmophobia\phasmophobia.exe] => (Allow) C:\games\phasmophobia\phasmophobia.exe => Нет файла
FirewallRules: [UDP Query User{7B49CF96-2D23-4FF8-862A-130E88343A16}C:\games\phasmophobia\phasmophobia.exe] => (Allow) C:\games\phasmophobia\phasmophobia.exe => Нет файла
FirewallRules: [{BF0B5AF6-312D-4291-8F53-03B1D8F0C444}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Serious Sam Fusion 2017\Bin\x64\Sam2017_Unrestricted.exe => Нет файла
FirewallRules: [{A91C94F1-B875-49D3-911C-1E6B2D425C90}] => (Allow) C:\Program Files (x86)\Steam\steamapps\common\Serious Sam Fusion 2017\Bin\x64\Sam2017_Unrestricted.exe => Нет файла
FirewallRules: [{3C08A594-6131-4081-B9D9-CDE95FD4F39B}] => (Allow) C:\Users\Admin\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
FirewallRules: [{A2ADA26A-9D0B-47E3-BA70-797E5D2197E3}] => (Allow) C:\Users\Admin\AppData\Roaming\Zoom\bin\airhost.exe => Нет файла
YAN Extension: (WinSafe - быстрый доступ к сайтам!) - C:\Users\Admin\AppData\Local\Yandex\YandexBrowser\User Data\Default\Extensions\bgnodfikjoihkcjjnefbjkeclamhipak [2023-02-13]
StartBatch:
del /s /q C:\Windows\SoftwareDistribution\download\*.*
del /s /q C:\Windows\Temp\*.*
del /s /q "%userprofile%\AppData\Local\temp\*.*"
sfc /scannow
endbatch:
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Упакуйте его в архив и прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

В Яндекс.Браузере удалите куки и кэш.

Сообщите, что с проблемой.

[Vvvyg]

Надо просто скопировать текст, программа примет его из буфера обмена.

[Deny9111]

Вчера все сделала, на проверке антивирус ничего не нашел, документ прикрепляю.

[Vvvyg]

Запущено с помощью Admin (15-02-2023 15:12:39) Run:3

Достаточно было один раз исправление запустить, три - перебор )

Завершаем.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.