Adware.Mail.Ru.BatBitRst/PUP.Optional.MailRu

[ITD]

После недавних проверок программой Malwarebytes были обнаружены эти угрозы, далее после попытки переместить их в карантин, перемещается только 10 из 11, почему все не перемещаются я не могу понять, очевидно это вредоносное ПО глубоко осело.
Прошу помочь избавиться от паразита.

[Info_bot]

Уважаемый(ая) ITD, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[ITD]

Подскажите пожалуйста что это за вредоносное ПО, которое не может удалить Malwarebytes и как от него избавиться, каждый раз оно всплывает, удаляется только 10 из 11, всегда 1 остается.

[Vvvyg]

Особо страшного в стартовых и поиска от mail.ru нет.

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

>>> [MASK] "C:\Users\Андрей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk"         -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [MASK] "C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk"        -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [MASK] "C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr (64-bit).lnk"       -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [MASK] "C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk"      -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [MASK] "C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk"  -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [MASK] "C:\Users\Андрей\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk"       -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [modified][MASK] "C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\ореrа.lnk"       -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlc1xPcGVyYVw0NS4wLjI1NTIuNjM1XG9wZXJhLmV4ZQ== aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [modified][MASK] "C:\Users\Андрей\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr (3).lnk"          -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [modified][MASK] "C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr.lnk"   -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [modified][MASK] "C:\Users\Андрей\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr (2).lnk"          -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [modified][MASK] "C:\Users\Андрей\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr.lnk"    -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>> [modified][MASK] "C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr (2).lnk"         -> ["C:\Program Files (x86)\HPTurtle\TurtleStarter.exe"  =>> QzpcUHJvZ3JhbSBGaWxlcyAoeDg2KVxJbnRlcm5ldCBFeHBsb3JlclxpZXhwbG9yZS5leGU= aHR0cDovL21hY2lhbmtlbnpvLnJ1Lw==]
>>>  "C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Opera 43.lnk"  -> ["C:\Program Files\Opera\launcher.exe"]
>>>  "C:\Users\Андрей\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk"  -> ["C:\Program Files (x86)\Opera\launcher.exe"]
>>>  "C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\SendTo\МойМир@Mail.ru.lnk"  -> ["C:\Users\Администратор\AppData\Local\Mail.Ru\GameCenter\[email protected]"  =>> /upload]
>>>  "C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Opera.lnk"     -> ["C:\Program Files\Opera\launcher.exe"]

Отчёт о работе прикрепите.

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O22 - Task: (disabled) Opera scheduled Autoupdate 1384754987 - C:\Program Files (x86)\Opera\launcher.exe --scheduledautoupdate (file missing)
O22 - Task: (disabled) Opera scheduled Autoupdate 1448719456 - C:\Program Files (x86)\Opera\launcher.exe --scheduledautoupdate (file missing)
O22 - Task: (disabled) Opera scheduled Autoupdate 1449569887 - C:\Program Files (x86)\Opera\launcher.exe --scheduledautoupdate $(Arg0) (file missing)
O22 - Task: (disabled) Opera scheduled Autoupdate 1449666266 - C:\Program Files (x86)\Opera\launcher.exe --scheduledautoupdate $(Arg0) (file missing)
O22 - Task: (disabled) Opera scheduled Autoupdate 1494757107 - C:\Program Files\Opera\launcher.exe --scheduledautoupdate $(Arg0) (file missing)
O22 - Task: (disabled) {B58B36E4-422A-4C5A-A6D9-A38A7B6067EB} - c:\program files (x86)\opera\launcher.exe http://www.skype.com/go/downloading?source=lightinstaller&ver=6.11.66.102&LastError=404 (file missing)
O22 - Task: (disabled) {E93A9691-9F0D-432D-A262-9CFA4A936725} - c:\program files (x86)\opera\launcher.exe http://www.skype.com/go/downloading?source=lightinstaller&ver=6.11.66.102&LastError=404 (file missing)

Приложите последний лог очистки AdwCleaner, с буквой [C в имени.

[ITD]

Отчёт о работе ClearLNK прикрепил, что касается лога очистки AdwCleaner, при очистке создалась какая то папка Backups с папками в ней от 1-8 (видать это то, что фиксил) и текстовый файлик List, а вот лога очистки с буквой [C в имени не нашел

[Vvvyg]

Тогда сделайте новое сканирование Adwcleaner, по окончании сканирования установите в пункте меню "Инструменты -> Настройки" (Tools -> Settings) дополнительно к установленным по умолчанию галочку "Сброс политик Chrome (Reset Chrome Policies".
Затем нажмите Очистить (Cleaning) и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт очистки AdwCleaner - прикрепите к своему следующему сообщению. Сделайте новое сканирование Adwcleaner и прикрепите лог сканирования.

[ITD]

Отчет AdwCleaner прикрепил

[Vvvyg]

А теперь последний лог сканирования приложите:

C:/AdwCleaner/AdwCleaner[S0].txt - [11016 B] - [2018/2/21 4:23:23]
C:/AdwCleaner/AdwCleaner[S1].txt - [1851 B] - [2018/2/21 4:37:55]
C:/AdwCleaner/AdwCleaner[S2].txt - [1918 B] - [2018/2/21 4:43:32]

[S2] - самый свежий. В AdwCleayth нажмите Logfiles/Отчеты.

[ITD]

последний лог сканирования

[Vvvyg]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[ITD]

Отчеты FRST.txt, Addition.txt

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <==== ATTENTION
C:\ProgramData\LCFApp
C:\ProgramData\Application Data\LCFApp
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, в FRST нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Java 8 обязательно обновите до текущего билда Java 8, у Вас устаревшая версия со множеством критических уязвимостей.

[ITD]

лог-файл (Fixlog.txt)

[Vvvyg]

Что с проблемой? Если осталась, свежий лог MBAM приложите.

[ITD]

Сделал проверку вначале программой Malwarebytes версия 3.2.2, затем AdwCleaner 7, по-прежнему находит эти посторонние файлы, лог приложил.

[Vvvyg]

Не всё, что находят антивирусы, представляет реальную опасность. Кроме того, что это в логах есть, какие-то проблемы есть?

[ITD]

Понял спасибо, проблем вроде как и нет, просто крайне усомнился в этих логах, которые мне нашла программа, раз уж это так, как вы говорите, закройте пожалуйста тему.

[Vvvyg]

Запустите AdwCleaner и нажмите Файл (File) -> Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.