Làm cách nào để xác định phần mềm độc hại có chứa tiện ích mở rộng Chrome trong Linux?


21

Tôi dường như đã bị nhiễm phần mềm độc hại. Cụ thể, cứ thỉnh thoảng (cứ vài ngày một lần) tôi lại được chuyển hướng đến một trang yêu cầu tôi tải xuống một cái gì đó, thường là "phiên bản Flash mới". Có lẽ, nó không là gì cả, nhưng thực sự là một loại virus hoặc trojan nào đó.

Tôi đang sử dụng google-chromephiên bản 30.0.1599.114 trên Debian Linux và tôi khá chắc chắn rằng điều này là do tiện ích mở rộng. Tôi biết tôi chỉ có thể gỡ cài đặt tiện ích mở rộng hoặc xóa ~/.config/google-chromethư mục của mình , nhưng tôi không muốn làm điều đó. Tôi muốn xác định phần mở rộng gây ra điều này và chỉ loại bỏ điều đó.

Khi cố gắng gỡ lỗi này (cảm ơn @Braiam), tôi đã kiểm tra trình ghi nhật ký sự kiện chrome://net-internals/#eventsvà tìm kiếm một trong những URL mà tôi được chuyển hướng đến:

Ảnh chụp màn hình của trình ghi sự kiện của Chrome

Nội dung của chrome://net-internals/#events:

122667: URL_REQUEST
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.358

t=1393864121358 [st=  0] +REQUEST_ALIVE  [dt=334]
t=1393864121359 [st=  1]   +URL_REQUEST_START_JOB  [dt=332]
                            --> load_flags = 134349184 (ENABLE_LOAD_TIMING | ENABLE_UPLOAD_PROGRESS | MAYBE_USER_GESTURE | VERIFY_EV_CERT)
                            --> method = "GET"
                            --> priority = 2
                            --> url = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121359 [st=  1]      HTTP_CACHE_GET_BACKEND  [dt=0]
t=1393864121359 [st=  1]      HTTP_CACHE_OPEN_ENTRY  [dt=0]
                              --> net_error = -2 (ERR_FAILED)
t=1393864121359 [st=  1]      HTTP_CACHE_CREATE_ENTRY  [dt=0]
t=1393864121359 [st=  1]      HTTP_CACHE_ADD_TO_ENTRY  [dt=0]
t=1393864121359 [st=  1]     +HTTP_STREAM_REQUEST  [dt=1]
t=1393864121360 [st=  2]        HTTP_STREAM_REQUEST_BOUND_TO_JOB
                                --> source_dependency = 122670 (HTTP_STREAM_JOB)
t=1393864121360 [st=  2]     -HTTP_STREAM_REQUEST
t=1393864121360 [st=  2]     +HTTP_TRANSACTION_SEND_REQUEST  [dt=0]
t=1393864121360 [st=  2]        HTTP_TRANSACTION_SEND_REQUEST_HEADERS
                                --> GET /p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980 HTTP/1.1
                                    Host: cdn.adnxs.com
                                    Connection: keep-alive
                                    User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/30.0.1599.114 Safari/537.36
                                    Accept: */*
                                    DNT: 1
                                    Referer: http://ib.adnxs.com/tt?id=2301980&cb=1393864120&referrer=http://fra1.ib.adnxs.com/if?enc=gbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.&pubclick=http://fra1.ib.adnxs.com/click?XkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA./cnd%3D!8gXSNwiT18QBEIujlwYY0cEVIAA./referrer%3Dhttp://www.imgclck.com/serve/imgclck.php/clickenc%3Dhttp://optimized-by.rubiconproject.com/t/9164/15602/101258-2.3581666.3755480?url%3D&cnd=%218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.&ccd=%21vwV6NgiCtsABEL3CkgYYt5YRIAA.&udj=uf%28%27a%27%2C+279660%2C+1393864119%29%3Buf%28%27c%27%2C+3152642%2C+1393864119%29%3Buf%28%27r%27%2C+12886333%2C+1393864119%29%3B&vpid=77&apid=189016&referrer=http%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php&media_subtypes=1&ct=0&dlo=1&pubclick=http://fra1.ib.adnxs.com/click?AAAAAAAAAAAAAAAAAAAAALTIdr6fGus_AAAAAAAAAAAAAAAAAAAAAA-Oj4oIzbJcljpJTzhxcH-4rRRTAAAAANYjIwB6AgAAEAkAAAIAAAAfKcUAD5wFAAAAAQBVU0QAVVNEANgCWgCqqwAAtdQAAQUCAQIAAIwA6xZV3wAAAAA./cnd=%21GgafOwjH0sYBEJ_SlAYYj7gWIAE./referrer=http%3A%2F%2Ffra1.ib.adnxs.com%2Fif%3Fenc%3DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%26pubclick%3Dhttp%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%2Fcnd%253D%218gXSNwiT18QBEIujlwYY0cEVIAA.%2Freferrer%253Dhttp%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php%2Fclickenc%253Dhttp%3A%2F%2Foptimized-by.rubiconproject.com%2Ft%2F9164%2F15602%2F101258-2.3581666.3755480%3Furl%253D%26cnd%3D%25218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.%26ccd%3D%2521vwV6NgiCtsABEL3CkgYYt5YRIAA.%26udj%3Duf%2528%2527a%2527%252C%2B279660%252C%2B1393864119%2529%253Buf%2528%2527c%2527%252C%2B3152642%252C%2B1393864119%2529%253Buf%2528%2527r%2527%252C%2B12886333%252C%2B1393864119%2529%253B%26vpid%3D77%26apid%3D189016%26referrer%3Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%26media_subtypes%3D1%26ct%3D0%26dlo%3D1/clickenc=
                                    Accept-Encoding: gzip,deflate,sdch
                                    Accept-Language: en-US,en;q=0.8,fr;q=0.6
                                    Cookie: __gads=ID=386c1f6bc0285adb:T=1390666421:S=ALNI_MZXJdGrAsWELFKRsS7QcqnPTkuaMw; uuid2=9182964126870747798; sess=1; icu=ChIIr54TEAYYASAAKAEwu8_EmAUKEgiCyRUQBhgDIAAoAzDGkb-XBQoSCKraFRAGGAEgACgBMIyKv5cFChII5I8WEAYYASAAKAEw0szplwUKEgjXlhYQBhgCIAAoAjDFvM2YBQoSCP7-CBAKGAUgBSgFMMjU0pgFChIIpogJEAoYByAHKAcwqtXSmAUKEgiDtwoQChgdIB0oHTCx29KYBQoSCNuECxAKGAUgBSgFMPbX0pgFChII0aELEAoYASABKAEwuc3SmAUKEgjLzwsQChgBIAEoATDrzNKYBQoSCK7fCxAKGAEgASgBMJfH0pgFChII0eQLEAoYASABKAEw5czSmAUKEgi78AsQChgHIAcoBzDwyNKYBQoSCL_yCxAKGAEgASgBMKzV0pgFChIIkoAMEAoYAiACKAIwrdvSmAUKEgi3hQ0QChgBIAEoATCv1dKYBQoSCMWnDhAKGAcgBygHMOzY0pgFChII_KcOEAoYBSAFKAUwisHSmAUKEgiIqA4QChgEIAQoBDCr1dKYBQoSCJ7pDhAKGAUgBSgFMMnK0pgFChII3ukOEAoYICAgKCAwuNvSmAUKEgi0hw8QChgBIAEoATC2ydKYBQoSCOeVDxAKGAUgBSgFMMnK0pgFChII_J4PEAoYASABKAEwrtvSmAUKEgi_lxAQChgDIAMoAzC8zdKYBQoSCNCkEBAKGAIgAigCML3N0pgFChII6acQEAoYBiAGKAYw5dfSmAUKEgjpsRAQChgGIAYoBjCv1dKYBQoSCMy5EBAKGAEgASgBMO3U0pgFChII1uoQEAoYASABKAEwstXSmAUKEgipghEQChgIIAgoCDCJy9KYBQoSCIaeERAKGAQgBCgEMOzY0pgFChIIh54REAoYAyADKAMw79jSmAUKEgjJpREQChgBIAEoATCbytKYBQoSCI-yERAKGAEgASgBMInL0pgFChIIqbcREAoYAiACKAIwisvSmAUKEgievhEQChgBIAEoATCtw9KYBQoSCP7GERAKGAYgBigGMNzT0pgFChIIofMREAoYAyADKAMwttHSmAUKEgjK-xEQChgCIAIoAjCx1dKYBQoSCJ6BEhAKGBsgGygbMNvX0pgFChII9ogSEAoYBiAGKAYw18rSmAUKEgjvmRIQChgDIAMoAzDP2dKYBQoSCI2qEhAKGAQgBCgEMLXJ0pgFChIInLASEAoYAiACKAIw0srSmAUKEgjXsRIQChgCIAIoAjDYytKYBQoSCKO0EhAKGAMgAygDMKjV0pgFChIIvrQSEAoYByAHKAcw19jSmAUKEgjFthIQChgCIAIoAjD0zNKYBQoSCLHAEhAKGAEgASgBMKDE0pgFChIIqswSEAoYASABKAEwzsrSmAUKEgiv0hIQChgDIAMoAzCPwdKYBQoSCOTYEhAKGAEgASgBMLTV0pgFChIIrNkSEAoYByAHKAcw7MLSmAUKEgj-2xIQChgDIAMoAzCx1dKYBQoSCInfEhAKGAIgAigCMMDN0pgFChIIxuASEAoYByAHKAcw3dnSmAUKFQj14BIQChjIASDIASjIATC429KYBQoSCPfgEhAKGAEgASgBMMDN0pgFChII9-ISEAoYBCAEKAQw5djSmAUKEgjw5BIQChgDIAMoAzD4wdKYBQoSCJXqEhAKGAMgAygDMI3F0pgFChII6uwSEAoYAiACKAIwpNLSmAUKEgjB8BIQChgGIAYoBjC_zdKYBQoSCOTyEhAKGAIgAigCMPXM0pgFChII5fISEAoYAyADKAMw-czSmAUKEgiG8xIQChgHIAcoBzDQ2dKYBQoSCIuJExAKGBMgEygTMMTW0pgFChIIoIwTEAoYBSAFKAUw7dTSmAUKEgjDohMQChgBIAEoATC21dKYBQoSCI-wExAKGAUgBSgFMLrN0pgFChIIxLATEAoYBiAGKAYwqtXSmAUKEgjIsBMQChgDIAMoAzDzzNKYBQoSCLyyExAKGAQgBCgEMOnL0pgFChIIvrITEAoYASABKAEw2cnSmAUKEgj6shMQChgBIAEoATDbx9KYBQoSCMi2ExAKGAEgASgBMNnG0pgFChII5bgTEAoYAiACKAIwhNfSmAUKEgiXuRMQChgEIAQoBDDU2NKYBQoSCIq-ExAKGAYgBigGMMfC0pgFChIInsITEAoYASABKAEw2cbSmAUKEgibxRMQChgGIAYoBjCE0dKYBQoSCP_FExAKGAIgAigCMOjM0pgFChIIkcYTEAoYBCAEKAQwz8fSmAUKEgi3xhMQChgBIAEoATCfydKYBQoSCOvGExAKGAEgASgBMLjb0pgFChIIx8gTEAoYBCAEKAQw6NTSmAUKEgiFyhMQChgBIAEoATDTzNKYBQoSCI_KExAKGAIgAigCMMbU0pgFChIIu9ETEAoYAyADKAMw2sfSmAUKEgjr2BMQChgCIAIoAjC21dKYBQoSCIbbExAKGAIgAigCMLnb0pgFChIIzuUTEAoYASABKAEw8MzSmAUKEgj76RMQChgCIAIoAjCqydKYBQoSCIHrExAKGAEgASgBMKrJ0pgFELnb0pgFGNYE; anj=dTM7k!M4.g1IKw2hK`RZ[+9f#Abz#5Z8>#V-^@!KG9XLO4442ch)Pc]jvxZ!#GhOwx*meAdp/D)elWNRR%-I!MOpSn=J+VCrW%0=hj]Bz32M!LSOQ5gll*LP_br1!?zqWv$YT0!S8!Ssqbx<[gw>6wFG2.OXE$1'cEc8BdiTCWLi:P+XwDKQDr`LmI$bR^3u%?co]YbrY[FD44<J(CU/Gn<5H=tP`n<jx[Cz6px:fcFXbqHccp2?vY*$/m>4GqE.2:v`'pIRgJ@wKuwpOTY'2wRpvC`e.1o[gHdch:d8Ly_dx!x3SeM0^!qrZIi%XQ$0pC/UUYEnNS-^j>32us+UP1VB_*ML]?KovH`x8g7%)dRu@#?pr+Lx<$9w@Af%inZIpkFAP#Y`t[+c'OBbc?!FUlhh4fF<-9S<1`W1<W3_z!``x7Jhjeh
t=1393864121360 [st=  2]     -HTTP_TRANSACTION_SEND_REQUEST
t=1393864121360 [st=  2]     +HTTP_TRANSACTION_READ_HEADERS  [dt=330]
t=1393864121360 [st=  2]        HTTP_STREAM_PARSER_READ_HEADERS  [dt=330]
t=1393864121690 [st=332]        HTTP_TRANSACTION_READ_RESPONSE_HEADERS
                                --> HTTP/1.1 200 OK
                                    Server: Apache
                                    ETag: "d932a372371bd0a47ba7e2a73649a8d0:1393776550"
                                    Last-Modified: Sun, 02 Mar 2014 16:09:10 GMT
                                    Accept-Ranges: bytes
                                    Content-Length: 5255
                                    Content-Type: application/x-shockwave-flash
                                    Date: Mon, 03 Mar 2014 16:28:41 GMT
                                    Connection: keep-alive
t=1393864121690 [st=332]     -HTTP_TRANSACTION_READ_HEADERS
t=1393864121690 [st=332]      HTTP_CACHE_WRITE_INFO  [dt=0]
t=1393864121690 [st=332]      HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121690 [st=332]      HTTP_CACHE_WRITE_INFO  [dt=0]
t=1393864121691 [st=333]   -URL_REQUEST_START_JOB
t=1393864121691 [st=333]    HTTP_TRANSACTION_READ_BODY  [dt=0]
t=1393864121691 [st=333]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121691 [st=333]    HTTP_TRANSACTION_READ_BODY  [dt=1]
t=1393864121692 [st=334]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121692 [st=334]    HTTP_TRANSACTION_READ_BODY  [dt=0]
t=1393864121692 [st=334]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121692 [st=334]    HTTP_TRANSACTION_READ_BODY  [dt=0]
t=1393864121692 [st=334]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121692 [st=334] -REQUEST_ALIVE

Và của URL_REQUEST:

122669: DISK_CACHE_ENTRY
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.359

t=1393864121359 [st=  0] +DISK_CACHE_ENTRY_IMPL  [dt=350]
                          --> created = true
                          --> key = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121690 [st=331]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 304
                            --> index = 0
                            --> offset = 0
                            --> truncate = true
t=1393864121690 [st=331]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 304
t=1393864121690 [st=331]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 0
                            --> index = 1
                            --> offset = 0
                            --> truncate = true
t=1393864121690 [st=331]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 0
t=1393864121690 [st=331]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 0
                            --> index = 2
                            --> offset = 0
                            --> truncate = true
t=1393864121690 [st=331]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 0
t=1393864121691 [st=332]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 2612
                            --> index = 1
                            --> offset = 0
                            --> truncate = true
t=1393864121691 [st=332]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 2612
t=1393864121692 [st=333]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 1448
                            --> index = 1
                            --> offset = 2612
                            --> truncate = true
t=1393864121692 [st=333]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 1448
t=1393864121692 [st=333]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 1195
                            --> index = 1
                            --> offset = 4060
                            --> truncate = true
t=1393864121692 [st=333]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 1195
t=1393864121693 [st=334]    ENTRY_CLOSE
t=1393864121709 [st=350] -DISK_CACHE_ENTRY_IMPL

Quét các DISK_CACHE_ENTRYchương trình cho thấy nó được sạch sẽ:

$ sudo clamscan -r .config/google-chrome/
[...]
Known viruses: 3138491
Engine version: 0.97.8
Scanned directories: 543
Scanned files: 1511
Infected files: 0
Data scanned: 70.93 MB
Data read: 135.29 MB (ratio 0.52:1)
Time: 22.528 sec (0 m 22 s)

Các trang được phục vụ thường (có lẽ luôn luôn, không chắc chắn) trên xxx.adnx.comtên miền ( xxxphần khác nhau). Tìm kiếm chuỗi đó trong google-chromethư mục trả về:

$ grep -lR adnx .config/google-chrome/
.config/google-chrome/Default/Preferences
.config/google-chrome/Default/History Provider Cache
.config/google-chrome/Default/Cookies
.config/google-chrome/Default/Current Tabs
.config/google-chrome/Default/History
.config/google-chrome/Default/Archived History
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/#cdn.adnxs.com/settings.sol
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/settings.sol
.config/google-chrome/Default/Favicons-journal
.config/google-chrome/Default/Preferences~
.config/google-chrome/Default/Favicons
.config/google-chrome/Default/Cookies-journal

Tiện ích cài đặt của tôi theo sau. Đây là từ cửa hàng tiện ích của Chrome:

"View Vote totals" without 1000 rep
AutoReviewComments 1.3.0
Chat Reply Helper for Stack Exchange sites 2.4.0
Close Tabs 1.1
Desktop Notifications for Stack Exchange 1.6.5.1
Docs PDF/PowerPoint Viewer (by Google) 3.10
Edit with Emacs 1.13
Hangout Chat Notifications 2.0.0
IE Tab 6.1.21.1
KBD Button for Stack Exchange sites 0.2.0
Sexy Undo Close Tab 7.4.13
Smooth Gestures 0.17.14
SmoothGestures: Plugin 0.9.1
Yet another flags 0.9.10.0

Đây là từ Stack Apps :

Dude, where's my cursor 1.0
SE Comment Link Helper 1.0
Super User Automatic Corrector 1.0
threading-comments 1.0
stackexchange-tab-editing 1.0

Các plugin đã cài đặt:

Ảnh chụp màn hình hiển thị các plugin đã cài đặt

Làm cách nào tôi có thể sử dụng thông tin này (hoặc bất kỳ thông tin nào khác) để xác định tiện ích bổ sung nào gây ra sự cố này?


1
Cách duy nhất tôi biết là một cách tiếp cận thử nghiệm và lỗi.
Ramhound

@Ramhound vâng. Vấn đề là vì điều này hiếm khi xảy ra, cứ sau vài ngày, phương pháp thử và sai có thể mất vài tháng, đó là lý do tại sao tôi chưa thử.
terdon

@terdon | clamscanchính xác là những gì tôi đã nghĩ đến. Vì nó có phần không liên tục, bạn không có khả năng tìm ra phần mở rộng ngắn tắt chúng và thêm chúng trong một khoảng thời gian. Điều này giả định rằng nó là một vấn đề mở rộng. Bạn có nhận thấy bất cứ điều gì phù hợp trong hoạt động của bạn khi vấn đề xảy ra?
Matthew Williams

@MatthewWilliams không có gì cả. Có vẻ như hoàn toàn ngẫu nhiên, tôi biết nó chỉ xảy ra trong chrome. Tôi có thể đang đọc một bài đăng ở đây chẳng hạn và không có nhấp chuột, tôi đột nhiên được chuyển hướng đến một trang thêm / tải xuống.
terdon

1
Chỉ cần một lưu ý, bạn không cần phải tắt các tiện ích của bạn cùng một lúc . Vô hiệu hóa một nửa trong số đó trong vài ngày và chẳng mấy chốc bạn sẽ thu hẹp trường xuống một nửa (trừ khi bạn có nhiều hơn một tiện ích mở rộng bị nhiễm).
alexis

Câu trả lời:


10

Tôi không chắc đây có phải là vấn đề trong vấn đề cụ thể của bạn không nhưng đã có tình huống các tiện ích mở rộng tốt đã được bán cho bên thứ 3, những người sau đó đồng ý chọn tiện ích mở rộng cho mục đích bất chính. Đây là một câu chuyện như vậy thảo luận về điều này: Tiện ích mở rộng Google Chrome đang được bán cho các công ty phần mềm quảng cáo độc hại .

đoạn trích

Ron Amadeo từ Ars Technica gần đây đã viết một bài viết về các nhà cung cấp phần mềm quảng cáo mua tiện ích mở rộng Chrome để đặt các bản cập nhật độc hại, bị tiêm quảng cáo.

Google Chrome có các bản cập nhật tự động để đảm bảo rằng người dùng luôn chạy trên các bản cập nhật mới nhất. Rõ ràng, Google Chrome được Google cập nhật trực tiếp. Tuy nhiên, quá trình cập nhật này do đó bao gồm các tiện ích mở rộng của Chrome. Các tiện ích mở rộng Chrome được cập nhật bởi chủ sở hữu tiện ích mở rộng và tùy thuộc vào người dùng để xác định xem chủ sở hữu tiện ích mở rộng có đáng tin hay không.

Khi người dùng tải xuống tiện ích mở rộng, họ sẽ cấp quyền cho chủ sở hữu tiện ích mở rộng mã mới ra trình duyệt của họ bất cứ lúc nào.

Điều chắc chắn đã xảy ra là các nhà cung cấp phần mềm quảng cáo đang mua các phần mở rộng, và do đó người dùng, từ các tác giả mở rộng. Các nhà cung cấp này đang đẩy phần mềm quảng cáo ra cho mọi người dùng tiện ích mở rộng, điều này có thể mang lại trải nghiệm duyệt web nguy hiểm.

Một tác giả tiện ích mở rộng của Google đã cung cấp cho tài khoản cá nhân của mình về điều này trong bài đăng trên blog của mình có tựa đề là Tôi đã bán tiện ích mở rộng Chrome nhưng đó là một quyết định tồi.

Lời khuyên của tôi là hãy nghiêm túc thực hiện tình huống này và vô hiệu hóa các tiện ích mở rộng mà bạn không chắc chắn. Sau đó tôi sẽ theo dõi tình hình để xem nó giảm xuống hay tiếp tục.

Nếu nó tiếp tục thì tôi sẽ đào sâu hơn và bắt đầu nghiên cứu kỹ các máy chủ DNS bạn đang sử dụng. Tôi thường sử dụng OpenDNS vì lý do chính xác này, vì dịch vụ này (miễn phí) cố gắng ngăn chặn các vectơ tấn công bằng cách chuyển hướng tra cứu DNS sang các trang OpenDNS thay thế.

Tại sao phải quan tâm đến DNS?

Các máy chủ DNS của OpenDNS sẽ cố tình gia tăng các kết quả mà họ trả về khi bạn thực hiện tra cứu nếu tên máy chủ được biết là có liên kết với các hoạt động liên quan đến spam / hack / lừa đảo. Họ đang ở một vị trí duy nhất kể từ khi họ thực hiện tra cứu cho mọi trang web lưu lượng khách hàng của họ, vì vậy họ có thể phát hiện ra sự bất thường nhìn thấy ở đây: BẢO VỆ PHONG CÁCH BẢO VỆ , cũng như tại đây .

Còn gì nữa không

Tôi cũng sẽ đảm bảo rằng /etc/hoststệp của bạn đã không bị xâm phạm và tiếp tục theo dõi tình hình bằng cách sử dụng một cái gì đó như nethog, sẽ cho thấy quá trình nào đang truy cập vào mạng của bạn.

Amit Agarwal đã tạo tiện ích mở rộng Feedly cho Chrome trong vòng chưa đầy một giờ và vô tình bán nó cho nhà cung cấp Phần mềm quảng cáo để cung cấp 4 con số. Tiện ích mở rộng có hơn 30.000 người dùng trên Chrome tại thời điểm bán. Các chủ sở hữu mới đã đẩy một bản cập nhật lên cửa hàng Chrome, nơi đã đưa phần mềm quảng cáo và liên kết liên kết vào trải nghiệm duyệt web của người dùng. Mặc dù tiện ích mở rộng này đã bị xóa do sự công khai mà lời thú nhận hối hận của Agarwal đã đưa ra, đây là một sự kiện rất phổ biến trong các tiện ích mở rộng của Chrome.


Vâng, tôi hình dung một cái gì đó như thế đang xảy ra. Tôi có thể xác nhận rằng hoststệp của mình sạch và sẽ chuyển sang OpenDNS chỉ trong trường hợp. Cảm ơn.
terdon

OpenDNS không có sự khác biệt. Tôi đoán nó xem xét các yêu cầu hợp lệ này.
terdon

@terdon - họ có thể chưa phát hiện ra vấn đề này.
slm

5

Hãy xem các đánh giá của tiện ích mở rộng Smooth Gestures ( liên kết trực tiếp ).

Nếu bạn sắp xếp các đánh giá theo ngày (bằng cách nhấp vào Gần đây ), bạn sẽ thấy rằng hầu hết tất cả các đánh giá mới đều có xếp hạng một sao và phàn nàn về quảng cáo ngầm:

Kevin Lee 1 ngày trước

Được bán cho một công ty bên thứ ba có thêm quảng cáo và tính năng trả tiền để loại bỏ quảng cáo.

Suresh Nageswaran 3 ngày trước

Ghét quảng cáo. Hoạt động tốt cho đến khi nó bắt đầu đưa quảng cáo vào trải nghiệm duyệt web của tôi. Tôi đã phải trả tiền để tiếp tục sử dụng nó, nhưng tôi cảm thấy mạnh mẽ về sự lén lút. Đường biên giới trên phần mềm gián điệp.

John Smith 6 ngày trước

Không sử dụng cái này. Nó đang tiêm mã JS vào những thứ clickjack và gây ra sự cố bảo mật XSS với https.

Tomas Hlavacek ngày 23 tháng 2 năm 2014

Tào lao tuyệt đối ... Hãy nhớ sự cố với việc đánh cắp URL trái phép? Sau đó, họ bắt đầu buộc người dùng "quyên góp" hoặc chịu đựng quảng cáo. Nó thậm chí đã bắt đầu tụt lại trên một số trang nhất định (điều này không xảy ra trước tất cả những "cải tiến" đó). Vì vậy, tôi đã chuyển sang CrxMouse và tôi ổn.

kyle barr ngày 19 tháng 2 năm 2014

Đó là một phần mở rộng cử chỉ chuột vững chắc, nhưng quảng cáo mới là một bổ sung khủng khiếp. Đầu tiên vì tiện ích mở rộng cập nhật và âm thầm thêm quảng cáo, vì vậy bạn không biết chúng đến từ đâu. Ở đây tôi đang quét máy tính của mình bằng nhiều máy quét phần mềm độc hại vì tôi đang nhận được quảng cáo ngẫu nhiên, cho đến khi tôi nhận ra đó là Cử chỉ mượt mà chèn chúng.

Không có lý do chính đáng để sử dụng tiện ích mở rộng này nữa và cá nhân tôi muốn biết ai sẽ phát triển tiện ích mở rộng này để tôi có thể đảm bảo không cài đặt bất cứ thứ gì từ chúng trong tương lai.

Hình như đó là thủ phạm.


Ah, bây giờ điều đó thực sự có triển vọng. Cảm ơn bạn, tôi sẽ cài đặt lại những cái tôi đã gỡ bỏ và chỉ xóa cái này. Tôi sẽ không chấp nhận vì sẽ mất vài ngày để chắc chắn, nhưng tôi sẽ quay lại và cho bạn biết.
terdon

Vui mừng bạn dường như tìm thấy thủ phạm. Có một phần mở rộng tương tự được gọi là SmoothScroll dường như có cùng một vấn đề. chrome.google.com/webstore/search/smooth%20scroll . Một trong những đánh giá nhiều hơn, nếu bạn nhìn vào xếp hạng, tương tự như cái này!
slm

@terdon: Tôi nghĩ rằng tôi đã tìm thấy một phần mở rộng hữu ích. Thông báo cập nhật tiện ích mở rộng hiển thị thông báo trên màn hình mỗi khi tiện ích mở rộng được cập nhật.
Dennis

5

Ngoài các câu trả lời ở đây, tôi tìm thấy một vài tài nguyên hữu ích hơn.

  1. Bài viết howtogeek này đề xuất một chương trình có tên Fiddler hoạt động như một proxy gỡ lỗi web, cho phép bạn kiểm tra các yêu cầu mạng (có phiên bản alpha linux ). @slm chỉ cho tôi câu trả lời này trên SO có nhiều chương trình tương tự.

  2. Chế độ nhà phát triển trong chrome://extensionstrang của chrome cho phép bạn kiểm tra từng tiện ích mở rộng cho các quy trình đang chạy trong nền:

    nhập mô tả hình ảnh ở đây

    Nhấp vào background.htmlsẽ mở cửa sổ công cụ dành cho nhà phát triển của chrome, cho phép bạn dễ dàng xem qua các nguồn của các tập lệnh khác nhau mà tiện ích mở rộng chứa. Trong trường hợp này, tôi nhận thấy một thư mục có tên supporttrong cây nguồn của Sexy Undo Close Tab có chứa một tập lệnh được gọi là background.jstrông đáng ngờ (nó tạo ra các khoảng thời gian ngẫu nhiên phù hợp với các triệu chứng của tôi).

  3. Bài viết howtogeek khác này có một danh sách các tiện ích mở rộng đã biết để tránh, nhưng thậm chí tốt hơn là http://www.extensiondefender.com dường như là cơ sở dữ liệu do người dùng tạo ra các tiện ích mở rộng độc hại. Tuy nhiên, họ không chỉ định làm thế nào hoặc tại sao một tiện ích mở rộng cụ thể đã được gắn thẻ là mal- hoặc phần mềm bổ sung để có lẽ nên sử dụng một hạt muối.

  4. Những người đứng sau extensiondefender.com (bất kể họ là ai) cũng đã phát triển một tiện ích mở rộng nhỏ rất thú vị có tên gọi, (Drumroll) Extension Defender . Điều này cho phép bạn quét các tiện ích mở rộng hiện có để biết các tiện ích mở rộng "xấu" đã biết và cũng chặn các tiện ích mở rộng trong danh sách đen được cài đặt.

Vì vậy, trong số các tiện ích mở rộng trong OP của tôi, cả Smooth Gestures (cảm ơn @Dennis) và Sexy Undo Close Tab đều là phần mềm bổ sung. Dựa trên mã nguồn của support/background.jstệp sau này, tôi khá chắc chắn rằng đó là trang bị đánh cắp ngẫu nhiên trang hiện tại của tôi nhưng tôi sẽ chắc chắn vài ngày.

Một tiện ích mở rộng hữu ích khác là Trình thông báo cập nhật tiện ích mở rộng (cảm ơn @Dennis ) dường như cho bạn biết bất cứ khi nào một tiện ích mở rộng được cập nhật có thể giúp xác định thủ phạm trong trường hợp cập nhật thêm loại hành vi này.


OK tôi phải hỏi, cái quái gì là gợi cảm hoàn tác tab?
slm

@slm heh, đó là lý do tại sao tôi chắc chắn [sửa: nghĩ rằng tôi đã chắc chắn, liên kết được thêm bây giờ] tên là một liên kết, vì vậy không ai hiểu sai mục đích của nó :). Nó chỉ là một phần mở rộng "mở lại các tab đã đóng" và các nhà phát triển đã quyết định cái tên lố bịch đó.
terdon

fiddler là cửa sổ chỉ BTW. Bạn có thể sử dụng mitmproxy trên Linux. stackoverflow.com/questions/2040642/ trên
slm

@slm không phải vậy, họ có phiên bản Alpha dựa trên Mono mà họ tuyên bố sẽ hoạt động trên Linux và OSX. Có một liên kết đến nó trên trang tải xuống.
terdon

David là ai? : P
Dennis

4

Tôi sẽ tập trung vào các phương pháp phát hiện.

Kiểm tra các thay đổi

Điều này dường như là hiển nhiên. Kiểm tra trang tiện ích chrome để thay đổi, so sánh thời điểm các tiện ích mở rộng được cập nhật lần cuối với khi hành vi bắt đầu. Đây là một con trỏ tốt trong trường hợp bạn muốn xác định chính xác phần mở rộng có lỗi.

Phân tích các kịch bản nền

Trong tệp chrome extest.json, hãy tìm backgroundđối tượng, đại loại như thế này:

  "background" : {
    "persistent" : true,
    "scripts" : [
        "js/jquery.js",
        "js/jQuery.loadScript.js",
        "js/i18n.js",
        "js/MangaElt.js",
        "js/mgEntry.js",
        "js/BSync.js",
        "js/analytics.js",
        "js/personalstat.js",
        "js/wssql.js",
        "js/amrcsql.js",
        "js/background.js"
    ]
  },

Các tập lệnh này thường được chạy mọi lúc trong khi phần mở rộng đang hoạt động và là vectơ tấn công phổ biến nhất. Phân tích văn bản cho:

chrome.extension.sendRequest({action: "opentab"
chrome.tabs.create({
chrome.windows.create({

và các tên miền (như adnxs) là một cách tiếp cận tốt. Điều này sẽ không hoạt động nếu các tập tin bị che khuất theo cách nào đó cũng là một con trỏ mà một thứ gì đó tanh tanh.

Loại bỏ bởi bruteforce

Cách dễ hơn, nhưng trong trường hợp của bạn, phương thức dài là vô hiệu hóa từng phần mở rộng cho đến khi loại bỏ bạn xác định thủ phạm.

Kiểm tra các sự kiện ổ cắm

Đây là cải tiến nhất nhưng nó sẽ không xác định chính xác một tiện ích mở rộng nhưng là một cách để thu thập thông tin, nhược điểm duy nhất là chrome / ium có thể loại bỏ các sự kiện khi bộ nhớ bị cạn kiệt và nó giới thiệu một chút chi phí.

So sánh các tiện ích mở rộng của bạn với các ảnh hưởng khác

Nếu hai người có cùng một vấn đề và chỉ có một phần mở rộng chung, họ có thể đoán rằng phần mở rộng đó là thủ phạm và vô hiệu hóa nó một cách an toàn. Nếu điều đó không hiệu quả, thì tiện ích mở rộng sạch sẽ và họ có thể so sánh với những người khác.


Hmm, mẹo hay để phân tích các công cụ nền, sẽ làm điều đó ngay bây giờ. Thật không may, điều có xu hướng chiếm quyền điều khiển một tab hiện có như vậy không có opentabhoặc createcần thiết. Bất kỳ con trỏ về những gì tôi nên tìm kiếm? Một cái gì đó giống như một yêu cầu NHẬN tôi đoán.
terdon

@terdon trong trường hợp đánh dấu cửa sổ hiện tại, tôi sẽ kiểm tra các nội dung thay thế. Đợi đã, tôi sẽ nhận được một số màn hình
Braiam

Vâng, không có gì rõ ràng trong các manifest.jsontập tin. Trường hợp / các nội dung là gì?
terdon

1

Một nơi tốt để bắt đầu là với phần mở rộng chrome "lá chắn cho chrome." Nó sẽ giúp phát hiện ra các phần mở rộng với các vấn đề KNOWN. Nó có sẵn trên Cửa hàng Chrome trực tuyến, miễn phí, rất dễ sử dụng. https://chrom.google.com.vn/webstore/detail/shield-for-chrom/cbaffjopmgmcijlkoafmgnaiciogpdel

Hoặc "Hậu vệ mở rộng." https://chrom.google.com.vn/webstore/detail/extension-defender/lkakdehcmmnojcdalpkfgmhphnicaonm?hl=vi


1

Nếu bạn đã cài đặt Trình giả lập Wine Windows , nó có thể bị nhiễm và Chrome đang mở do phần mềm độc hại đang mở trình duyệt mặc định.

Bạn có thể thử di chuyển / xóa ~/.winethư mục và khởi động lại máy. Tôi đã có cùng một vấn đề vài tháng trước và đó là cách tôi giải quyết nó.

Nhìn nhận lại, tôi muốn tôi giữ một bản sao của thư mục để xác định các chi tiết cụ thể của nhiễm trùng. Vào thời điểm đó tôi không biết phương pháp này sẽ hoạt động, cũng như mức độ lây nhiễm rộng đến mức nào, vì vậy tôi đã chọn chỉ xóa toàn bộ.


0

Bạn có chắc chắn đó là phần mềm độc hại? Đã có một cơn sốt quảng cáo tự gây ra chuyển hướng, v.v. và vì họ có thể chạy khá nhiều JavaScript, nên họ có thể làm điều đó với độ trễ. Thực tế là việc gỡ lỗi yêu cầu của bạn cho thấy những gì tôi tin là một nền tảng phân phối quảng cáo cho thấy có thể ở đâu đó để xem xét.

Tôi sẽ thử một trình chặn quảng cáo. (Tuy nhiên, không chắc chắn những gì tốt trên Chrome ngày nay.)


Khá chắc chắn, tôi có hành vi này trên các trang web tôi khá chắc chắn là không có phần mềm độc hại, ví dụ như điều này. Vì tôi có đủ đại diện, không có thêm thông tin nào trên các trang SE mà tôi thường xuyên và tôi vẫn nhận được những chuyển hướng khó chịu này.
terdon

Đây không phải là các trang web có phần mềm độc hại; đó là mạng quảng cáo họ sử dụng. Người mua quảng cáo đã mua quảng cáo và lén lấy mã của riêng họ.
zigg

Vâng, nhưng vì tôi không thấy quảng cáo nên tôi cho rằng chúng không được phục vụ cho trình duyệt của tôi. Chỉ người dùng mới nhìn thấy quảng cáo.
terdon

0

99% trong số này dường như chỉ dành cho Windows - tuy nhiên hãy thử làm theo hướng dẫn này .

Từ những gì bạn đã đăng, không thể biết phần mở rộng nào gây ra những vấn đề đó.

Chúc may mắn!


Cảm ơn nhưng như bạn đã nói, đó là tất cả cho Windows. Gợi ý duy nhất về HĐH là loại bỏ tất cả các tiện ích bổ sung không được tôi cài đặt (tất cả chúng đều được).
terdon

@terdon - bắt đầu với cập nhật tiện ích mở rộng kể từ khi vấn đề này bắt đầu.
Ramhound

@terdon Có rất nhiều thứ liên quan đến trình duyệt! Hãy thử vô hiệu hóa tất cả các tiện ích mở rộng và ở lại với những tiện ích bạn thực sự cần. Hãy thử Firefox và xem nếu có các tiện ích mở rộng tương tự. Kiểm tra tất cả các tiện ích mở rộng - từng cái một trên - Google. Có lẽ ai đó đã báo cáo vấn đề tương tự? Đăng danh sách tất cả các tiện ích mở rộng bạn đã cài đặt.
Chris

@Ramhound cảm ơn nhưng hầu hết chúng đã được cài đặt trong cùng một ngày.
terdon

@Chris Tôi biết đó là chrome cụ thể, và đó chính xác là những gì tôi muốn tránh. Vì nó chỉ xảy ra vài ngày một lần, nên việc gỡ lỗi từng cái một có thể mất vài tháng. Tôi đã thêm danh sách các tiện ích mở rộng của mình vào OP.
terdon
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.