Поиск в Google угнали только тогда, когда не наблюдали. Присоединение отладчика возвращает нормальные результаты


12

Я не могу понять это. Я заметил, что мои результаты поиска были немного «другими» в последнее время.

  • Я не вошел в систему, когда я выполняю поиск в Google, но если я нажму "Изображения" или "Видео", я буду отображаться как вошедший в систему.
  • В боковой панели страницы поиска нет информации о Википедии.
  • Если я отключу Ghostery и uBlock, многие результаты будут рекламными.

Я решил проверить инструменты разработчика и заметил, что на странице был SyntaxError, я щелкнул по нему, и он фактически приводит к функции javascript, которая заменяет веб-адрес Google.

Похоже, проблема возникает только в Chrome, а вот и Firefox: http://i.imgur.com/7J1G9mR.png

Я попытался подключить Fiddler Web Debugger для захвата трафика, чтобы я мог видеть, куда меня перенаправляют. Но как только я присоединяю веб-отладчик, все исчезает, и я получаю настоящую страницу поиска .... Источник страницы, когда захватывает Fiddler, совершенно другой.

Ниже приведен скриншот GIFV, показывающий это. Он начинается с угнанной страницы, и я обводю курсор вокруг некоторых схематичных дополнительных исходных файлов javascript. Затем я говорю Fiddler для захвата трафика и обновления результатов поиска. Страница, которую я обслуживаю, совершенно другая. Наконец, я снова отключаю захват трафика и обновляю страницу, чтобы показать захваченную страницу, и перехожу к функции с синтаксической ошибкой, которая должна заменить веб-адрес.

http://i.imgur.com/gbWkkLp.gifv

Я запустил Malwarebytes и не получил никаких результатов. Spybot предложил несколько попаданий, но их удаление не решило проблему. Я также полностью сбросил Chrome, используя инструмент Googles. Если я использую другой веб-профиль, например, тот, в котором я выставляю счета, я не получаю результатов поиска. Если я включу Fiddler, вдруг я получу результаты. введите описание изображения здесь


2
Google использует HTTPS для предоставления вам результатов. Проверьте сертификат их сайта и убедитесь, что он подписан Google Internet Authority G2 . Если нет, кто-то добавил новый корневой сертификат на ваш компьютер и захватывает ваш трафик.
Дельтик

Вы можете быть на что-то здесь. Он был подписан «DO_NOT_TRUST_FiddlerRoot», поэтому это может не совпадать с тем, что он работает, когда фидлер захватывает трафик. i.imgur.com/b61IkYc.png Я удалил все сертификаты Fiddler с помощью certmgr.cfg. Был ли целью скрипача? После удаления FiddlerRoot я не могу получить доступ к google.com
Дерек Зимба

1
Похоже, что Fiddler был связан с рекламным ПО HTTPS в прошлом, прямо здесь, на Super User . Возможно, вы захотите избавиться от скрипача. Возможно, вы тоже смените пароли, как только окажетесь на защищенном компьютере.
Deltik

После перезапуска я снова могу получить доступ к Google, и сертификат подписывается «Google Internet Authority G2», но только если для Fiddler установлено значение «Захват трафика». Когда Fiddler не захватывает или не удаляется, Google возвращается к использованию недействительного сертификата. Я не успеваю все переустановить ...
Дерек Зимба

Различные вредоносные программы проверяют, используется ли Fiddler, и если это так, они прекращают свою вредоносную деятельность, пытаясь скрыть свои действия.
EricLaw

Ответы:


8

Некоторые вредоносные программы, вероятно, выдавали себя за Fiddler , как отметил первоначальный разработчик Fiddler Эрик Лоуренс :

Различные вредоносные программы проверяют, используется ли Fiddler, и если это так, они прекращают свою вредоносную деятельность, пытаясь скрыть свои действия.

( источник )

Fiddler - это инструмент веб-отладки. У него нет вредоносного поведения, и он никогда не будет установлен, если вы лично не установите его с помощью установщика, загруженного из Telerik. Описанный здесь сценарий представляет собой вредоносную программу, которая пытается избежать обнаружения, делая себя похожей на Fiddler.

( источник )


Поведение

Явным признаком вредоносного ПО является то, что Google Chrome не загружает веб-сайты HTTPS, как предполагалось, если вы не используете Fiddler для захвата трафика. Fiddler не предназначен для того, чтобы мешать вашему обычному просмотру веб-страниц, когда он не используется.

Чтобы вредоносная программа скрылась, ей необходимо перехватить прокси-сервер Fiddler и передать HTTPS-трафик с помощью закрытого ключа сертификата Fiddler. Это тривиально изменить настройки прокси - сервера , и можно получить копию секретного ключа при инсталляции Скрипач .

Корневой сертификат

Fiddler установил на ваш компьютер корневой сертификат, который позволяет ему вставлять себя как посредник (MitM) для мониторинга содержимого данных, отправляемых по HTTPS:

Снимок экрана: /superuser/1034394/google-search-hijacked-only-when-not-being-observed-attaching-a-debugger-return?noredirect=1#comment1443606_1034394

Напротив, вот как https://www.google.com/ обычно доверяют:

Снимок экрана правильной цепочки безопасности Google HTTPS

Ваш компьютер доверяет DO_NOT_TRUST_FiddlerRootсертификату, потому что он был установлен в хранилище сертификатов вашей операционной системы.

Прокси для перехвата HTTPS

Вы указали, что HTTPS работает правильно в Mozilla Firefox, который можно настроить на использование собственных независимых правил прокси, а не правил прокси операционной системы. Google Chrome использует прокси операционной системы без простой опции, чтобы сделать иначе.

Проходя через прокси на уровне операционной системы Fiddler, Fiddler теперь может быть MitM для захвата незашифрованных HTTPS-данных, пока он обслуживает сайт. Fiddler выбирает какую-то веб-страницу, затем подписывает ее как «www.google.com», используя сертификат, которому доверяли ранее DO_NOT_TRUST_FiddlerRoot.

При таких обстоятельствах вредоносное ПО может захватить как прокси-сервер, так и сертификат, чтобы предоставить вам неправильный сайт, но при этом показать вам зеленый значок замка. Я вижу, что это ведет к сложным фишинговым атакам.

Проблемы безопасности

Связано с обменом стеками безопасности: какие угрозы безопасности представляют поставщики программного обеспечения, развертывающие протокол SSL с перехватом прокси на рабочих столах пользователей

Как однажды написал Эрик Лоуренс ,

Возможности перехвата HTTPS в Fiddler (справедливо) вызывают удивление у пользователей, которые заботятся о безопасности.

Вот почему Fiddler предупреждает о последствиях для безопасности перехвата HTTPS-трафика:

Скриншот встроенного предупреждения Fiddler

Из-за ошибки пользователя или установки вредоносного ПО Fiddler был связан с различными проблемами:

Хотя сама Fiddler не является вредоносной программой, ее неправильное использование и недоразумения привели к тому, что в прошлом плохая репутация и вирусы притворялись Fiddler .


Удаление

Я не знаю, был ли ваш компьютер скомпрометирован каким-либо угонщиком Fiddler, но вы указали, что у вас нет времени, чтобы стереть компьютер и переустановить его, поэтому, надеюсь, следующие шаги помогут избавиться от Fiddler и восстановить правильное безопасное веб-поведение. (Я бы по-прежнему рекомендовал переустановить и изменить ваши пароли после этого, особенно если вы серьезно относитесь к безопасности. Вы писали, что Spybot - Search & Destroy обнаружил некоторое вредоносное ПО.)

Предисловие: отменить настройку Fiddler

Оригинальный плакат обнаружил эти дополнительные шаги, чтобы решить его проблему с Fiddler:

В конечном итоге, что это было исправлено: Настройки -> Показать дополнительные настройки -> В сети -> Изменить настройки прокси -> Дополнительно -> Сбросить

и

Также в настройках Fiddler я отключил опции, позволяющие расшифровывать трафик HTTPS перед удалением и повторной очисткой сертификатов.

Удалить корневой сертификат (ы) Fiddler

  1. Нажмите Win+r
  2. Открыто: certmgr.msc
  3. Просмотрите все папки и удалите DO_NOT_TRUST_FiddlerRootсертификат.

Удалить Fiddler

  1. Перейдите в Панель управления »Программы» Программы и компоненты.
  2. Удалите Fiddler. Один источник сообщает, что Fiddler может называться «FiddlerRoot» или «BrowserSafeguard».

Очистить настройки прокси

Предполагая, что вы обычно не используете другой прокси…

  1. Зайдите в Панель управления »Свойства обозревателя.
  2. В Свойствах Интернета перейдите на вкладку «Подключения».
  3. В разделе «Настройки локальной сети (ЛВС)» нажмите «Настройки ЛВС».
  4. Очистите и снимите флажки с настройками прокси-сервера следующим образом: Снимок экрана: настройки локальной сети (LAN)

Удалить вредоносные программы

Как предлагалось ранее для Super User , вы должны попытаться найти и удалить исходное вредоносное ПО, отображающее измененные веб-страницы HTTPS.

Подробный совет:
как удалить со своего компьютера вредоносные шпионские, вредоносные, рекламные программы, вирусы, трояны или руткиты?


Спасибо за подробную рецензию. Я не могу заставить себя поверить, что Fiddler является гнусным, потому что мои коллеги и я использую его почти каждый день в течение многих лет. Я могу поверить, что что-то еще, возможно, воспользовалось сертификатом FiddlerRoot. У меня всегда был установлен Fiddler, и я недавно не делал обновления, эта проблема появилась в последние несколько дней. Если бы Fiddler был гнусным, я не думаю, что в названии сертификата было бы "DO_NOT_TRUST". В конечном итоге, что это было исправлено: Настройки -> Показать дополнительные настройки -> В сети -> Изменить настройки прокси -> Дополнительно -> Сбросить
Дерек Зимба

Также certlm.msc, по-видимому, не доступен в Win7. Однако я удалил все записи сертификатов для Fiddler, используя certmgr.msc. Также в настройках Fiddler я отключил опции, позволяющие расшифровывать трафик HTTPS перед удалением и повторной очисткой сертификатов. Если вы отредактируете свой пост, включив в него несколько отличающиеся этапы, я отмечу это как ответ, потому что в конечном итоге это решило проблему.
Дерек Зимба

@DerekZiemba: Обращаясь только к различным жалобам, которые я нашел о Fiddler, я не знал, что это было, но теперь, когда я посмотрел его, я вижу, что он должен быть законным инструментом. Я изменил свой ответ, чтобы сделать его менее обвинительным, а также включить исправленные факты, которые вы нашли.
Deltik

2
Вы ОЧЕНЬ смущены из-за Скрипача. Fiddler - это инструмент веб-отладки. У него нет вредоносного поведения, и он никогда не будет установлен, если вы лично не установите его с помощью установщика, загруженного из Telerik. Описанный здесь сценарий представляет собой вредоносную программу, которая пытается избежать обнаружения, делая себя похожей на Fiddler.
EricLaw

Привет @EricLaw. Для меня большая честь иметь ваш официальный / авторитетный комментарий. Я виноват в том, что я не информирован и излишне тяжело против Фиддлера. Я отредактировал свой ответ, чтобы включить ваш вклад. Я извиняюсь за неудобства. (В конце концов, ты достаточно близко, чтобы подойти ко мне и ударить меня по лицу!)
Deltik
Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.