Некоторые вредоносные программы, вероятно, выдавали себя за Fiddler , как отметил первоначальный разработчик Fiddler Эрик Лоуренс :
Различные вредоносные программы проверяют, используется ли Fiddler, и если это так, они прекращают свою вредоносную деятельность, пытаясь скрыть свои действия.
( источник )
Fiddler - это инструмент веб-отладки. У него нет вредоносного поведения, и он никогда не будет установлен, если вы лично не установите его с помощью установщика, загруженного из Telerik. Описанный здесь сценарий представляет собой вредоносную программу, которая пытается избежать обнаружения, делая себя похожей на Fiddler.
( источник )
Поведение
Явным признаком вредоносного ПО является то, что Google Chrome не загружает веб-сайты HTTPS, как предполагалось, если вы не используете Fiddler для захвата трафика. Fiddler не предназначен для того, чтобы мешать вашему обычному просмотру веб-страниц, когда он не используется.
Чтобы вредоносная программа скрылась, ей необходимо перехватить прокси-сервер Fiddler и передать HTTPS-трафик с помощью закрытого ключа сертификата Fiddler. Это тривиально изменить настройки прокси - сервера , и можно получить копию секретного ключа при инсталляции Скрипач .
Корневой сертификат
Fiddler установил на ваш компьютер корневой сертификат, который позволяет ему вставлять себя как посредник (MitM) для мониторинга содержимого данных, отправляемых по HTTPS:
Напротив, вот как https://www.google.com/ обычно доверяют:
Ваш компьютер доверяет DO_NOT_TRUST_FiddlerRoot
сертификату, потому что он был установлен в хранилище сертификатов вашей операционной системы.
Прокси для перехвата HTTPS
Вы указали, что HTTPS работает правильно в Mozilla Firefox, который можно настроить на использование собственных независимых правил прокси, а не правил прокси операционной системы. Google Chrome использует прокси операционной системы без простой опции, чтобы сделать иначе.
Проходя через прокси на уровне операционной системы Fiddler, Fiddler теперь может быть MitM для захвата незашифрованных HTTPS-данных, пока он обслуживает сайт. Fiddler выбирает какую-то веб-страницу, затем подписывает ее как «www.google.com», используя сертификат, которому доверяли ранее DO_NOT_TRUST_FiddlerRoot
.
При таких обстоятельствах вредоносное ПО может захватить как прокси-сервер, так и сертификат, чтобы предоставить вам неправильный сайт, но при этом показать вам . Я вижу, что это ведет к сложным фишинговым атакам.
Проблемы безопасности
Связано с обменом стеками безопасности: какие угрозы безопасности представляют поставщики программного обеспечения, развертывающие протокол SSL с перехватом прокси на рабочих столах пользователей
Как однажды написал Эрик Лоуренс ,
Возможности перехвата HTTPS в Fiddler (справедливо) вызывают удивление у пользователей, которые заботятся о безопасности.
Вот почему Fiddler предупреждает о последствиях для безопасности перехвата HTTPS-трафика:
Из-за ошибки пользователя или установки вредоносного ПО Fiddler был связан с различными проблемами:
Хотя сама Fiddler не является вредоносной программой, ее неправильное использование и недоразумения привели к тому, что в прошлом плохая репутация и вирусы притворялись Fiddler .
Удаление
Я не знаю, был ли ваш компьютер скомпрометирован каким-либо угонщиком Fiddler, но вы указали, что у вас нет времени, чтобы стереть компьютер и переустановить его, поэтому, надеюсь, следующие шаги помогут избавиться от Fiddler и восстановить правильное безопасное веб-поведение. (Я бы по-прежнему рекомендовал переустановить и изменить ваши пароли после этого, особенно если вы серьезно относитесь к безопасности. Вы писали, что Spybot - Search & Destroy обнаружил некоторое вредоносное ПО.)
Предисловие: отменить настройку Fiddler
Оригинальный плакат обнаружил эти дополнительные шаги, чтобы решить его проблему с Fiddler:
В конечном итоге, что это было исправлено: Настройки -> Показать дополнительные настройки -> В сети -> Изменить настройки прокси -> Дополнительно -> Сбросить
и
Также в настройках Fiddler я отключил опции, позволяющие расшифровывать трафик HTTPS перед удалением и повторной очисткой сертификатов.
Удалить корневой сертификат (ы) Fiddler
- Нажмите Win+r
- Открыто:
certmgr.msc
- Просмотрите все папки и удалите
DO_NOT_TRUST_FiddlerRoot
сертификат.
Удалить Fiddler
- Перейдите в Панель управления »Программы» Программы и компоненты.
- Удалите Fiddler. Один источник сообщает, что Fiddler может называться «FiddlerRoot» или «BrowserSafeguard».
Очистить настройки прокси
Предполагая, что вы обычно не используете другой прокси…
- Зайдите в Панель управления »Свойства обозревателя.
- В Свойствах Интернета перейдите на вкладку «Подключения».
- В разделе «Настройки локальной сети (ЛВС)» нажмите «Настройки ЛВС».
- Очистите и снимите флажки с настройками прокси-сервера следующим образом:
Удалить вредоносные программы
Как предлагалось ранее для Super User , вы должны попытаться найти и удалить исходное вредоносное ПО, отображающее измененные веб-страницы HTTPS.
Подробный совет:
как удалить со своего компьютера вредоносные шпионские, вредоносные, рекламные программы, вирусы, трояны или руткиты?