преди 3 минути, B-boy/StyLe/ написа:

Да, имаше една грешка в скрипта. Пробвайте с този => http://dox.bg/files/dw?a=e28758ad0a

Прикачете файла => export.reg, който трябва да се е създал на десктопа.

Същата работа и с този бат файл.

Този трябва да проработи вече.... => http://dox.bg/files/dw?a=4d66d89891

Този път май проработи, да. Проблемът за жалост още си е налице.

export.reg

Интересно...

Изпълнете първо 1.reg с десен бутон Merge => 1.reg

След това 2.bat с десен бутон => run as administrator => 2.bat

След това рестартирайте системата и направете нова проверка с FRST Като сложите отметка пред Addition.txt преди да натиснете бутона SCAN.

Прикачете FRST.txt и Addition.txt в следващия си коментар.

Прикачвам логовете.

FRST.txt

Addition.txt

След като стартирах 1.reg проблемът като че ли вече се оправи. Антивирусната не ме известява, а също и проверих в regedit.. ключът който правеше проблема вече перманентно го няма (преди се възобновяваше).

Понеже мислех, че имаме още работа и указания за премахване на комбофикс и другите програми, затова не бързах да изказажа благодарности за помощта. И понеже ми е интересно и се чудя как и от къде го бях прихванал този адуер, бих желал, ако е възможно разбира се, да ми обясниш и защо толкова трудно го премахнахме.
Малуърбайтс (изключителна програма, на която се доверявам от години) откриваше адуера, но не успяваше трайно да го премахне..

Благодаря най-искрено за оказаната помощ !

Да, логовете са чисти вече. Можете да изтриете следните ключове от регистрите на Google, защото заради тях в момента FRST дори мисли, че имате инсталиран Google Chrome:

Цитат

Chrome:
=======
CHR HKLM\...\Chrome\Extension: [ngpampappnmepgilojfohadhhmbhlaek] - C:\Program Files (x86)\Internet Download Manager\IDMGCExt.crx <not found>
CHR HKU\S-1-5-21-878371416-534066379-273716249-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [hegneaniplmfjcmohoclabblbahcbjoe] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-878371416-534066379-273716249-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hegneaniplmfjcmohoclabblbahcbjoe] - hxxp://clients2.google.com/service/update2/crx

Ключовете, които трябва да изтриете са следните: В търсачката на Windows въведете CMD.exe => кликнете с десен бутон върху файла CMD.exe и изберете Run as administrator.

С десен бутон Copy копирайте долните редове един по един и с десен бутон Paste ги поставете в CMD. Натиснете Enter след всяка една команда.

reg delete "HKEY_CURRENT_USER\SOFTWARE\Google" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Google" /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Google" /f

Ако използвате следната програма си я преинсталирайте, защото бе затрита от Combofix по погрешка => InViewer

Можем да я върнем и със скрипт разбира се: (но е по-лесно да я преинсталирате, защото Combofix премахна и информацията за нея от Add/Remove Programs - скрипта е по-скоро информативен, но вие решете, кой е по-добрия метод за вас):

Отворете Notepad.exe и се уверете, че пред Format => няма отметка пред Word Wrap (ако има я махнете).



С copy/paste въведете следната информация:

Цитат

DeQuarantine::
C:\Qoobox\Quarantine\C\program files (x86)\InViewer
Quit::

Запазете файла с име CFScript.txt и го провлачете и пуснете в Combofix (както на картинката отдолу):



Публикувайте лог файл в следващия си пост.

Колкото до гадината...тя просто използва една тънкост като променя настройките на ключа

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections

и на други места и прави доста трудно премахването на Proxy адреса в браузъра. Само че при вас имаше доста промени и трябваше да впрегна всичките си познания към момента за да ги отстраня. Доста добри съвети има тук, но съвсем не са всичките разбира => http://answers.microsoft.com/en-us/ie/forum/ie11-iewindows8_1/lan-connection-settings-keep-changing-back-to/76a0f5d2-167f-41fa-bf40-1461b8c01642?auth=1

Смешното е, че аз премахнах с 1.reg именно настройки добавени явно от настройките на доставчика:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections]
"skat"=-
"s"=-

Skat са точно на доставчика ви:

Country	Bulgaria
Region	Turgovishte
City	Omurtag
Latitude	43.1
Longitude	26.41667
ZIP Code	7900
Time Zone	UTC +03:00
ISP	IP networks for SKAT-Omurtag
Domain	neterra.net
Net Speed	DSL
Usage Type	Fixed Line ISP
IDD Code	359
Area Code	060
Elevation	559 meters
Weather	Sliven (BUXX0017)
Weather Condition	View Weather

Аз лично бих променил и DNS настройките с тези на Google

8.8.8.8

8.8.4.4

Вместо да използвам тези на доставчика:

DNS Servers: 87.120.67.1

Кликнете с десен бутон върху иконата на мрежовия адаптер в системния трей => Open network and sharing center => change adapter settings (линка вляво) => десен бутон върху мрежовия адаптер => properties => плъзнете плъзгача до Internet protocol version 4 (TCP/IPv4) =>   Properties и ще ги видите.

Ето малко финални препоръки: (Не е задължително да ги прилагате всичките, а само тези, които сметнете за необходими. Направете обаче една нова точка за възстановяване докато всичко работи преди да започнете да прилагате съветите):

http://windows.microsoft.com/bg-bg/windows7/create-a-restore-point

1. За да почистим използваните от нас инструменти направете следното:

Изтеглете Delfix.exe и го стартирайте. Сложете отметка пред Remove disinfection tools и Purge system restore (трябва да има такава по-подразбиране, но все пак да си кажа) => натиснете бутона Run. Инструмента ще се самоизтрие след като приключи своята задача!

Ако има папки, които не са се изтрили след гореспоменатите процедури пишете и ще ги премахнем ръчно.

2. Проверете за стари приложения с помощта на PatchMyPC или с програмата Secunia Personal Software Inspector.

3. Инсталирайте Unchecky за да се предпазите от адуер по време на инсталацията на даден софтуер.

4. За защита от криптовирусите, освен обновяване на ОС и антивирусната програма е добре да имунизирате системата си с CryptoPrevent и профила Maximum Protection: (Не използвайте последната опция, защото още е бъгава и не работи коректно).

Ако имате проблеми с инсталацията на програми след използването на CryptoPrevent вижте следните съвети както и тези.

Не забравяйте да изключите и Autorun в Windows, защото криптовирусите могат да се настанят и на външните дискове и флашки и да заразят информацията на тези носители при свързването им с инфектирана система и след това да заразят и други системи при свързването на външните дискове към други компютри (и така да го предадете и на тях). Microsoft са създали автоматичен инструмент за целта => MSFixIt. Добре е също така след като вкарате външния диск дори и при спрян Autorun просто да сканирате буквата на устройството с обновена антивирусна програма преди да започнете да прехвърляте данни от и към външния диск.

Има и други програми, но са главно за напреднали потребители и няма да се спирам много задълбочено на тях, защото са сравнително по-сложни за употреба на средностатистическите потребители.. Затова ще ги пропусна. Добре е да не се спира System Restore (и File History в Windows 8), да не се спира UAC - User Account Control (даже да се направи на максималното ниво на защита), да не се спира SmartScreen (наличен само в Windows 8), да се внимава с прикачените файлове към електронната поща. Добра идея е и да забраните скриптовете, ако не използвате такива с помощта на инструмента - Noscript.exe. Стартирайте го и изберете Disable. Ако ви потрябва да стартирате някога (js или vbs файлове, просто стартирайте инструмента и го направете на Enable). Добре е да се внимава и с PDF файловете (повечето програми позволяват да се изключи java script в PDF четците, да се забрани на PDF файловете да стартират външни програми и да комуникират с интернет и прочие), да се внимава с офис файловете за макрос вируси и експлоити (пак може да се затегне сигурността от настройките на офис пакетите), добре е да се внимава за файлове с двойни разширения (например ако в My Computer => Tools => Folder Options => не е премахната отметката пред "Hide extensions for known file types" ако свалите даден файл от интернет с името image.exe.jpg, вие ще го видите като image.jpg, но всъщност файла ще е image.exe и щом го стартирате това ще задейства и вируса).

5. Добра идея е да инсталирате Malwarebytes Anti-Exploit за да си осигурите спокойствие при сърфиране. Трудничко е, но просто няма как. Потребителите трябва да се научат да проявяват бдителност и хигиена при сърфиране.

6. За подобряване на производителността (ако системата ви се вижда мудна) вижте следните няколко теми:

Оптимизиране на Windows с цел по-добра производителност

Ръководство за поддръжка на Windows (XP, Vista и 7) [Revision 2.0]

Какво да направя, ако компютърът ми работи бавно

7. Проверете системата си актуални драйвери от сайтовете на производителите на компонентите ако ви се занимава (не използвайте програми за автоматично обновяване на драйверите за да си спестите главоболията после) и направете пълна проверка за гадини с наличната ви антивирусна програма за всеки случай.

8. Винаги правете бекъп на важните си документи на външни носители и за не толкова ценните неща на cloud услуги. Научете се да не инсталирате програми от съмнителни източници. Добра идея е да се научите да си създавате огледални образи на текущото работещо състояние на дяла на който се намира Операционната Система. Възстановяването на такъв образ при нужда в пъти по-лесен и бърз начин за връщане на работещото състояние на системата от преинсталация или опит за ръчно премахване на даден проблем. Такъв образ може да се създаде с външна програма като Macrium Reflect Free. Можете да видите и тази тема

Поздрави и усмихната седмица! Ще маркирам случая като решен!

Поздрави!

Имайки налице ЕСЕТ и AdGuard не съм смятал никога, че някога от някъде мога да лепна адуер. Още по-малко като считам, че поддържам добра хигиена на браузване и махам всички отметки при инсталиране на програми, които идват с разни бонуси, тулбари и прочие. Още веднъж се потвърждава твърдението, че 100% защита обаче няма и никой не е застрахован. Благодаря за изчерпателния отговор, поясненията и още веднъж за помощта !

Забравих само да спомена как се деинсталира Combofix:

Отворете Start => в полето за търсене въведете командата Combofix /Uninstall (има място между Combofix и /Uninstall) и натиснете Enter