मैं लिनक्स में क्रोम एक्सटेंशन वाले मैलवेयर की पहचान कैसे कर सकता हूं?

21

मैं मालवेयर से संक्रमित हो गया लगता हूं। विशेष रूप से, हर अब और फिर (आमतौर पर हर कुछ दिनों में एक बार) मुझे एक पृष्ठ पर पुनः निर्देशित किया जाता है जो मुझे कुछ डाउनलोड करने के लिए कहता है, आमतौर पर "फ्लैश का नया संस्करण"। संभवतया, यह कुछ भी नहीं है, लेकिन वास्तव में यह किसी प्रकार का वायरस या ट्रोजन है।

मैं google-chromeडेबियन लिनक्स पर 30.0.1599.114 संस्करण का उपयोग कर रहा हूं और मुझे पूरा यकीन है कि यह एक एक्सटेंशन के कारण है। मुझे पता है कि मैं केवल अपने एक्सटेंशन को अनइंस्टॉल कर सकता हूं या अपना ~/.config/google-chromeफ़ोल्डर हटा सकता हूं , लेकिन मैं ऐसा नहीं करूंगा। मैं इसके कारण होने वाले विस्तार की पहचान करना चाहता हूं और केवल इसे हटाता हूं।

इसे डिबग करने के प्रयास में (धन्यवाद @Braiam), मैंने उन घटनाओं लकड़हारा की जाँच की है chrome://net-internals/#eventsऔर उनमें से किसी एक URL की खोज की है जिसे मैं पुनर्निर्देशित कर रहा हूँ:

क्रोम के इवेंट लकड़हारे का स्क्रीनशॉट

की सामग्री chrome://net-internals/#eventsहैं:

122667: URL_REQUEST
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.358

t=1393864121358 [st=  0] +REQUEST_ALIVE  [dt=334]
t=1393864121359 [st=  1]   +URL_REQUEST_START_JOB  [dt=332]
                            --> load_flags = 134349184 (ENABLE_LOAD_TIMING | ENABLE_UPLOAD_PROGRESS | MAYBE_USER_GESTURE | VERIFY_EV_CERT)
                            --> method = "GET"
                            --> priority = 2
                            --> url = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121359 [st=  1]      HTTP_CACHE_GET_BACKEND  [dt=0]
t=1393864121359 [st=  1]      HTTP_CACHE_OPEN_ENTRY  [dt=0]
                              --> net_error = -2 (ERR_FAILED)
t=1393864121359 [st=  1]      HTTP_CACHE_CREATE_ENTRY  [dt=0]
t=1393864121359 [st=  1]      HTTP_CACHE_ADD_TO_ENTRY  [dt=0]
t=1393864121359 [st=  1]     +HTTP_STREAM_REQUEST  [dt=1]
t=1393864121360 [st=  2]        HTTP_STREAM_REQUEST_BOUND_TO_JOB
                                --> source_dependency = 122670 (HTTP_STREAM_JOB)
t=1393864121360 [st=  2]     -HTTP_STREAM_REQUEST
t=1393864121360 [st=  2]     +HTTP_TRANSACTION_SEND_REQUEST  [dt=0]
t=1393864121360 [st=  2]        HTTP_TRANSACTION_SEND_REQUEST_HEADERS
                                --> GET /p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980 HTTP/1.1
                                    Host: cdn.adnxs.com
                                    Connection: keep-alive
                                    User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/30.0.1599.114 Safari/537.36
                                    Accept: */*
                                    DNT: 1
                                    Referer: http://ib.adnxs.com/tt?id=2301980&cb=1393864120&referrer=http://fra1.ib.adnxs.com/if?enc=gbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.&pubclick=http://fra1.ib.adnxs.com/click?XkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA./cnd%3D!8gXSNwiT18QBEIujlwYY0cEVIAA./referrer%3Dhttp://www.imgclck.com/serve/imgclck.php/clickenc%3Dhttp://optimized-by.rubiconproject.com/t/9164/15602/101258-2.3581666.3755480?url%3D&cnd=%218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.&ccd=%21vwV6NgiCtsABEL3CkgYYt5YRIAA.&udj=uf%28%27a%27%2C+279660%2C+1393864119%29%3Buf%28%27c%27%2C+3152642%2C+1393864119%29%3Buf%28%27r%27%2C+12886333%2C+1393864119%29%3B&vpid=77&apid=189016&referrer=http%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php&media_subtypes=1&ct=0&dlo=1&pubclick=http://fra1.ib.adnxs.com/click?AAAAAAAAAAAAAAAAAAAAALTIdr6fGus_AAAAAAAAAAAAAAAAAAAAAA-Oj4oIzbJcljpJTzhxcH-4rRRTAAAAANYjIwB6AgAAEAkAAAIAAAAfKcUAD5wFAAAAAQBVU0QAVVNEANgCWgCqqwAAtdQAAQUCAQIAAIwA6xZV3wAAAAA./cnd=%21GgafOwjH0sYBEJ_SlAYYj7gWIAE./referrer=http%3A%2F%2Ffra1.ib.adnxs.com%2Fif%3Fenc%3DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%26pubclick%3Dhttp%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%2Fcnd%253D%218gXSNwiT18QBEIujlwYY0cEVIAA.%2Freferrer%253Dhttp%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php%2Fclickenc%253Dhttp%3A%2F%2Foptimized-by.rubiconproject.com%2Ft%2F9164%2F15602%2F101258-2.3581666.3755480%3Furl%253D%26cnd%3D%25218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.%26ccd%3D%2521vwV6NgiCtsABEL3CkgYYt5YRIAA.%26udj%3Duf%2528%2527a%2527%252C%2B279660%252C%2B1393864119%2529%253Buf%2528%2527c%2527%252C%2B3152642%252C%2B1393864119%2529%253Buf%2528%2527r%2527%252C%2B12886333%252C%2B1393864119%2529%253B%26vpid%3D77%26apid%3D189016%26referrer%3Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%26media_subtypes%3D1%26ct%3D0%26dlo%3D1/clickenc=
                                    Accept-Encoding: gzip,deflate,sdch
                                    Accept-Language: en-US,en;q=0.8,fr;q=0.6
                                    Cookie: __gads=ID=386c1f6bc0285adb:T=1390666421:S=ALNI_MZXJdGrAsWELFKRsS7QcqnPTkuaMw; uuid2=9182964126870747798; sess=1; icu=ChIIr54TEAYYASAAKAEwu8_EmAUKEgiCyRUQBhgDIAAoAzDGkb-XBQoSCKraFRAGGAEgACgBMIyKv5cFChII5I8WEAYYASAAKAEw0szplwUKEgjXlhYQBhgCIAAoAjDFvM2YBQoSCP7-CBAKGAUgBSgFMMjU0pgFChIIpogJEAoYByAHKAcwqtXSmAUKEgiDtwoQChgdIB0oHTCx29KYBQoSCNuECxAKGAUgBSgFMPbX0pgFChII0aELEAoYASABKAEwuc3SmAUKEgjLzwsQChgBIAEoATDrzNKYBQoSCK7fCxAKGAEgASgBMJfH0pgFChII0eQLEAoYASABKAEw5czSmAUKEgi78AsQChgHIAcoBzDwyNKYBQoSCL_yCxAKGAEgASgBMKzV0pgFChIIkoAMEAoYAiACKAIwrdvSmAUKEgi3hQ0QChgBIAEoATCv1dKYBQoSCMWnDhAKGAcgBygHMOzY0pgFChII_KcOEAoYBSAFKAUwisHSmAUKEgiIqA4QChgEIAQoBDCr1dKYBQoSCJ7pDhAKGAUgBSgFMMnK0pgFChII3ukOEAoYICAgKCAwuNvSmAUKEgi0hw8QChgBIAEoATC2ydKYBQoSCOeVDxAKGAUgBSgFMMnK0pgFChII_J4PEAoYASABKAEwrtvSmAUKEgi_lxAQChgDIAMoAzC8zdKYBQoSCNCkEBAKGAIgAigCML3N0pgFChII6acQEAoYBiAGKAYw5dfSmAUKEgjpsRAQChgGIAYoBjCv1dKYBQoSCMy5EBAKGAEgASgBMO3U0pgFChII1uoQEAoYASABKAEwstXSmAUKEgipghEQChgIIAgoCDCJy9KYBQoSCIaeERAKGAQgBCgEMOzY0pgFChIIh54REAoYAyADKAMw79jSmAUKEgjJpREQChgBIAEoATCbytKYBQoSCI-yERAKGAEgASgBMInL0pgFChIIqbcREAoYAiACKAIwisvSmAUKEgievhEQChgBIAEoATCtw9KYBQoSCP7GERAKGAYgBigGMNzT0pgFChIIofMREAoYAyADKAMwttHSmAUKEgjK-xEQChgCIAIoAjCx1dKYBQoSCJ6BEhAKGBsgGygbMNvX0pgFChII9ogSEAoYBiAGKAYw18rSmAUKEgjvmRIQChgDIAMoAzDP2dKYBQoSCI2qEhAKGAQgBCgEMLXJ0pgFChIInLASEAoYAiACKAIw0srSmAUKEgjXsRIQChgCIAIoAjDYytKYBQoSCKO0EhAKGAMgAygDMKjV0pgFChIIvrQSEAoYByAHKAcw19jSmAUKEgjFthIQChgCIAIoAjD0zNKYBQoSCLHAEhAKGAEgASgBMKDE0pgFChIIqswSEAoYASABKAEwzsrSmAUKEgiv0hIQChgDIAMoAzCPwdKYBQoSCOTYEhAKGAEgASgBMLTV0pgFChIIrNkSEAoYByAHKAcw7MLSmAUKEgj-2xIQChgDIAMoAzCx1dKYBQoSCInfEhAKGAIgAigCMMDN0pgFChIIxuASEAoYByAHKAcw3dnSmAUKFQj14BIQChjIASDIASjIATC429KYBQoSCPfgEhAKGAEgASgBMMDN0pgFChII9-ISEAoYBCAEKAQw5djSmAUKEgjw5BIQChgDIAMoAzD4wdKYBQoSCJXqEhAKGAMgAygDMI3F0pgFChII6uwSEAoYAiACKAIwpNLSmAUKEgjB8BIQChgGIAYoBjC_zdKYBQoSCOTyEhAKGAIgAigCMPXM0pgFChII5fISEAoYAyADKAMw-czSmAUKEgiG8xIQChgHIAcoBzDQ2dKYBQoSCIuJExAKGBMgEygTMMTW0pgFChIIoIwTEAoYBSAFKAUw7dTSmAUKEgjDohMQChgBIAEoATC21dKYBQoSCI-wExAKGAUgBSgFMLrN0pgFChIIxLATEAoYBiAGKAYwqtXSmAUKEgjIsBMQChgDIAMoAzDzzNKYBQoSCLyyExAKGAQgBCgEMOnL0pgFChIIvrITEAoYASABKAEw2cnSmAUKEgj6shMQChgBIAEoATDbx9KYBQoSCMi2ExAKGAEgASgBMNnG0pgFChII5bgTEAoYAiACKAIwhNfSmAUKEgiXuRMQChgEIAQoBDDU2NKYBQoSCIq-ExAKGAYgBigGMMfC0pgFChIInsITEAoYASABKAEw2cbSmAUKEgibxRMQChgGIAYoBjCE0dKYBQoSCP_FExAKGAIgAigCMOjM0pgFChIIkcYTEAoYBCAEKAQwz8fSmAUKEgi3xhMQChgBIAEoATCfydKYBQoSCOvGExAKGAEgASgBMLjb0pgFChIIx8gTEAoYBCAEKAQw6NTSmAUKEgiFyhMQChgBIAEoATDTzNKYBQoSCI_KExAKGAIgAigCMMbU0pgFChIIu9ETEAoYAyADKAMw2sfSmAUKEgjr2BMQChgCIAIoAjC21dKYBQoSCIbbExAKGAIgAigCMLnb0pgFChIIzuUTEAoYASABKAEw8MzSmAUKEgj76RMQChgCIAIoAjCqydKYBQoSCIHrExAKGAEgASgBMKrJ0pgFELnb0pgFGNYE; anj=dTM7k!M4.g1IKw2hK`RZ[+9f#Abz#5Z8>#V-^@!KG9XLO4442ch)Pc]jvxZ!#GhOwx*meAdp/D)elWNRR%-I!MOpSn=J+VCrW%0=hj]Bz32M!LSOQ5gll*LP_br1!?zqWv$YT0!S8!Ssqbx<[gw>6wFG2.OXE$1'cEc8BdiTCWLi:P+XwDKQDr`LmI$bR^3u%?co]YbrY[FD44<J(CU/Gn<5H=tP`n<jx[Cz6px:fcFXbqHccp2?vY*$/m>4GqE.2:v`'pIRgJ@wKuwpOTY'2wRpvC`e.1o[gHdch:d8Ly_dx!x3SeM0^!qrZIi%XQ$0pC/UUYEnNS-^j>32us+UP1VB_*ML]?KovH`x8g7%)dRu@#?pr+Lx<$9w@Af%inZIpkFAP#Y`t[+c'OBbc?!FUlhh4fF<-9S<1`W1<W3_z!``x7Jhjeh
t=1393864121360 [st=  2]     -HTTP_TRANSACTION_SEND_REQUEST
t=1393864121360 [st=  2]     +HTTP_TRANSACTION_READ_HEADERS  [dt=330]
t=1393864121360 [st=  2]        HTTP_STREAM_PARSER_READ_HEADERS  [dt=330]
t=1393864121690 [st=332]        HTTP_TRANSACTION_READ_RESPONSE_HEADERS
                                --> HTTP/1.1 200 OK
                                    Server: Apache
                                    ETag: "d932a372371bd0a47ba7e2a73649a8d0:1393776550"
                                    Last-Modified: Sun, 02 Mar 2014 16:09:10 GMT
                                    Accept-Ranges: bytes
                                    Content-Length: 5255
                                    Content-Type: application/x-shockwave-flash
                                    Date: Mon, 03 Mar 2014 16:28:41 GMT
                                    Connection: keep-alive
t=1393864121690 [st=332]     -HTTP_TRANSACTION_READ_HEADERS
t=1393864121690 [st=332]      HTTP_CACHE_WRITE_INFO  [dt=0]
t=1393864121690 [st=332]      HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121690 [st=332]      HTTP_CACHE_WRITE_INFO  [dt=0]
t=1393864121691 [st=333]   -URL_REQUEST_START_JOB
t=1393864121691 [st=333]    HTTP_TRANSACTION_READ_BODY  [dt=0]
t=1393864121691 [st=333]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121691 [st=333]    HTTP_TRANSACTION_READ_BODY  [dt=1]
t=1393864121692 [st=334]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121692 [st=334]    HTTP_TRANSACTION_READ_BODY  [dt=0]
t=1393864121692 [st=334]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121692 [st=334]    HTTP_TRANSACTION_READ_BODY  [dt=0]
t=1393864121692 [st=334]    HTTP_CACHE_WRITE_DATA  [dt=0]
t=1393864121692 [st=334] -REQUEST_ALIVE

और URL_REQUEST:

122669: DISK_CACHE_ENTRY
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.359

t=1393864121359 [st=  0] +DISK_CACHE_ENTRY_IMPL  [dt=350]
                          --> created = true
                          --> key = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121690 [st=331]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 304
                            --> index = 0
                            --> offset = 0
                            --> truncate = true
t=1393864121690 [st=331]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 304
t=1393864121690 [st=331]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 0
                            --> index = 1
                            --> offset = 0
                            --> truncate = true
t=1393864121690 [st=331]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 0
t=1393864121690 [st=331]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 0
                            --> index = 2
                            --> offset = 0
                            --> truncate = true
t=1393864121690 [st=331]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 0
t=1393864121691 [st=332]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 2612
                            --> index = 1
                            --> offset = 0
                            --> truncate = true
t=1393864121691 [st=332]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 2612
t=1393864121692 [st=333]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 1448
                            --> index = 1
                            --> offset = 2612
                            --> truncate = true
t=1393864121692 [st=333]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 1448
t=1393864121692 [st=333]   +ENTRY_WRITE_DATA  [dt=0]
                            --> buf_len = 1195
                            --> index = 1
                            --> offset = 4060
                            --> truncate = true
t=1393864121692 [st=333]   -ENTRY_WRITE_DATA
                            --> bytes_copied = 1195
t=1393864121693 [st=334]    ENTRY_CLOSE
t=1393864121709 [st=350] -DISK_CACHE_ENTRY_IMPL

स्कैन से DISK_CACHE_ENTRYपता चलता है कि यह साफ है:

$ sudo clamscan -r .config/google-chrome/
[...]
Known viruses: 3138491
Engine version: 0.97.8
Scanned directories: 543
Scanned files: 1511
Infected files: 0
Data scanned: 70.93 MB
Data read: 135.29 MB (ratio 0.52:1)
Time: 22.528 sec (0 m 22 s)

xxx.adnx.comडोमेन पर दिए गए पृष्ठ अक्सर (शायद हमेशा, निश्चित नहीं) होते हैं ( xxxभाग भिन्न होता है)। google-chromeनिर्देशिका रिटर्न में उस स्ट्रिंग की खोज :

$ grep -lR adnx .config/google-chrome/
.config/google-chrome/Default/Preferences
.config/google-chrome/Default/History Provider Cache
.config/google-chrome/Default/Cookies
.config/google-chrome/Default/Current Tabs
.config/google-chrome/Default/History
.config/google-chrome/Default/Archived History
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/#cdn.adnxs.com/settings.sol
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/settings.sol
.config/google-chrome/Default/Favicons-journal
.config/google-chrome/Default/Preferences~
.config/google-chrome/Default/Favicons
.config/google-chrome/Default/Cookies-journal

मेरे स्थापित ऐड-ऑन का पालन करें। ये Chrome के ऐड-ऑन स्टोर से हैं:

"View Vote totals" without 1000 rep
AutoReviewComments 1.3.0
Chat Reply Helper for Stack Exchange sites 2.4.0
Close Tabs 1.1
Desktop Notifications for Stack Exchange 1.6.5.1
Docs PDF/PowerPoint Viewer (by Google) 3.10
Edit with Emacs 1.13
Hangout Chat Notifications 2.0.0
IE Tab 6.1.21.1
KBD Button for Stack Exchange sites 0.2.0
Sexy Undo Close Tab 7.4.13
Smooth Gestures 0.17.14
SmoothGestures: Plugin 0.9.1
Yet another flags 0.9.10.0

ये स्टैक ऐप्स से हैं :

Dude, where's my cursor 1.0
SE Comment Link Helper 1.0
Super User Automatic Corrector 1.0
threading-comments 1.0
stackexchange-tab-editing 1.0

स्थापित प्लगइन्स:

स्क्रीनशॉट स्थापित प्लगइन्स दिखा रहा है

मैं यह (या कोई अन्य) जानकारी का उपयोग कैसे कर सकता हूं ताकि यह पता चल सके कि यह किस कारण से है?

linux  google-chrome  malware 
— terdon
स्रोत
1
एकमात्र तरीका मुझे पता है कि एक परीक्षण और त्रुटि दृष्टिकोण है।
— रामहाउंड
@ रामदूत हां। समस्या यह है कि चूंकि यह केवल शायद ही कभी होता है, हर कुछ दिनों में एक बार परीक्षण और त्रुटि दृष्टिकोण में महीनों लग सकते हैं यही कारण है कि मैंने अभी तक इसकी कोशिश नहीं की है।
— टेराडॉन
@terdon | clamscanवास्तव में मैं क्या सोच रहा था। चूँकि यह कुछ हद तक रुक-रुक कर होता है, इसलिए आपको उन्हें बंद करने और उन्हें समय-समय पर जोड़ने के विस्तार की कमी का पता लगाने की संभावना नहीं है। यह मानता है कि यह एक विस्तार मुद्दा है। क्या आपने समस्या होने पर अपनी गतिविधि में लगातार कुछ देखा है?
— मैथ्यू विलियम्स
@MatthewWilliams कुछ भी नहीं। यह पूरी तरह से यादृच्छिक लगता है, मुझे पता है कि यह केवल क्रोम में होता है। मैं उदाहरण के लिए यहां एक पोस्ट पढ़ रहा हूं और बिना किसी क्लिक के, मैं अचानक एक ऐड / डाउनलोड पेज पर रीडायरेक्ट हो जाता हूं।
— टेराडॉन
1
बस एक नोट, आपको एक बार में अपने एक्सटेंशन को अक्षम करने की आवश्यकता नहीं है । कुछ दिनों के लिए उनमें से आधे को अक्षम करें, और जल्द ही आप फ़ील्ड को आधे से संकुचित कर देंगे (जब तक कि आपके पास एक से अधिक संक्रमित एक्सटेंशन न हो)।
— एलेक्सिस

जवाबों:

10

मुझे यकीन नहीं है कि अगर यह आपके विशेष मुद्दे में मामला है, लेकिन ऐसी परिस्थितियां हैं जहां ज्ञात अच्छे एक्सटेंशन 3 पार्टियों को बेचे गए हैं जो तब नापाक उद्देश्यों के लिए एक्सटेंशन का सह-चयन करते हैं। यहां एक ऐसी कहानी है जो इस बारे में चर्चा करती है: Google Chrome एक्सटेंशन्स बीइंग सोल्ड टू मैलीवेयर एडवेयर कंपनियां हैं ।

अंश

अर्स टेक्निका के रॉन अमादेओ ने हाल ही में दुर्भावनापूर्ण, विज्ञापन-इन-अपडेट को रखने के लिए Chrome एक्सटेंशन खरीदने वाले adware विक्रेताओं के बारे में एक लेख लिखा था ।

Google Chrome में स्वचालित अपडेट हैं ताकि यह सुनिश्चित किया जा सके कि उपयोगकर्ता हमेशा नवीनतम अपडेट पर चल रहे हों। जाहिर है, Google Chrome Google द्वारा सीधे अपडेट किया जाता है। हालाँकि, इस अद्यतन प्रक्रिया में क्रोम के एक्सटेंशन शामिल हैं। Chrome एक्सटेंशन एक्सटेंशन स्वामियों द्वारा अपडेट किए जाते हैं, और यह निर्धारित करना उपयोगकर्ता के लिए है कि एक्सटेंशन स्वामी विश्वसनीय है या नहीं।

जब उपयोगकर्ता कोई एक्सटेंशन डाउनलोड करते हैं, तो वे किसी भी समय अपने ब्राउज़र से नए कोड को बाहर करने के लिए एक्सटेंशन स्वामी को अनुमति दे रहे हैं।

अनिवार्य रूप से क्या हुआ है कि एडवेयर विक्रेता एक्सटेंशन खरीद रहे हैं, और इसलिए उपयोगकर्ता, एक्सटेंशन लेखकों से। ये विक्रेता विस्तार के हर उपयोगकर्ता के लिए एडवेयर को आगे बढ़ा रहे हैं, जो एक खतरनाक ब्राउज़िंग अनुभव के लिए बना सकते हैं।

एक Google एक्सटेंशन लेखक ने अपने ब्लॉग पोस्ट में इसका व्यक्तिगत खाता दिया , जिसका शीर्षक था, "मैंने एक क्रोम एक्सटेंशन को बेचा लेकिन यह एक बुरा निर्णय था।"

मेरी सलाह होगी कि इस स्थिति को बहुत गंभीरता से लें और उन एक्सटेंशनों को अक्षम करें जिनके बारे में आप निश्चित नहीं हैं। फिर मैं यह देखने के लिए स्थिति की निगरानी करूंगा कि क्या यह कम हो गया है या जारी है।

यदि यह जारी रहता है तो मैं गहराई से खुदाई करूँगा और आपके द्वारा उपयोग किए जा रहे DNS सर्वरों की छानबीन करना शुरू कर दूंगा। मैं आमतौर पर इस सटीक कारण के लिए OpenDNS का उपयोग करता हूं , क्योंकि यह सेवा (नि: शुल्क) डीएनएस लुकअप को बदले में वैकल्पिक OpenDNS पृष्ठों पर रीडायरेक्ट करके वैक्टर पर हमला करने का प्रयास करता है।

DNS की परवाह क्यों?

OpenDNS DNS सर्वर जानबूझकर उन परिणामों में वृद्धि करेंगे जब आप एक लुकअप करते हैं यदि होस्टनाम स्पैम / हैकिंग / फ़िशिंग से संबंधित गतिविधियों से जुड़ा हुआ है। वे एक अनोखी स्थिति में हैं क्योंकि वे हर साइट को अपने ग्राहकों के ट्रैफ़िक के लिए लुकअप करते हैं, इसलिए वे यहां देख सकने वाली विसंगतियों का पता लगा सकते हैं: OPENDNS PHISHING PROTECTION , साथ ही यहाँ ।

और क्या?

मैं यह भी सुनिश्चित करूँगा कि आपकी /etc/hostsफ़ाइल से छेड़छाड़ नहीं की गई है, और कुछ का उपयोग करके स्थिति की निगरानी करना जारी रखें nethog, जो यह दिखाएगा कि कौन सी प्रक्रियाएं आपके नेटवर्क तक पहुंच रही हैं।

अमित अग्रवाल ने क्रोम के लिए एक घंटे से भी कम समय में फीडली एक्सटेंशन बनाया और अनजाने में एडवेयर विक्रेता को 4-फिगर ऑफर के लिए बेच दिया। बिक्री के समय एक्सटेंशन में Chrome पर 30,000+ उपयोगकर्ता थे। नए मालिकों ने Chrome स्टोर पर एक अपडेट दिया, जिसने उपयोगकर्ताओं के ब्राउज़िंग अनुभव में ऐडवेयर और संबद्ध लिंक को इंजेक्ट किया। हालांकि इस विस्तार को अग्रवाल के पछतावे की वजह से हटाए गए प्रचार के कारण हटा दिया गया है, यह क्रोम एक्सटेंशन में एक बहुत ही सामान्य घटना है।

— SLM
स्रोत
हाँ, मैं ऐसा कुछ कर रहा हूँ जो चल रहा है। मैं पुष्टि कर सकता हूं कि मेरी hostsफ़ाइल साफ है और केवल मामले में OpenDNS पर जाएगी। धन्यवाद।
— टेराडॉन
OpenDNS को कोई फर्क नहीं पड़ा। मुझे लगता है कि यह इन मान्य अनुरोधों पर विचार करता है।
— टेराडॉन
@terdon - उन्होंने अभी तक इस समस्या का पता नहीं लगाया है।
— SLM
5

विस्तार चिकना चिकना ( प्रत्यक्ष लिंक ) की समीक्षाओं पर एक नज़र डालें ।

यदि आप तारीखों ( हाल ही में क्लिक करके ) की समीक्षा करते हैं, तो आप देखेंगे कि लगभग सभी नई समीक्षाओं में एक-स्टार रेटिंग है और अंडरहैंड विज्ञापनों की शिकायत करते हैं:

केविन ली 1 दिन पहले

विज्ञापनों को जोड़ने वाली एक तृतीय-पक्ष कंपनी और भुगतान-से-हटाने-विज्ञापन सुविधा के लिए बेची गई।

3 दिन पहले सुरेश नागेश्वरन

विज्ञापनों से नफरत है। तब तक अच्छा काम किया जब तक कि उसने मेरे ब्राउज़िंग अनुभव में विज्ञापनों को इंजेक्ट करना शुरू नहीं कर दिया। मैंने इसका उपयोग जारी रखने के लिए भुगतान किया होगा, लेकिन मुझे चुपके से दृढ़ता से महसूस हुआ। स्पायवेयर पर सीमा।

जॉन स्मिथ 6 दिन पहले

इसका उपयोग न करें। यह चीजों को क्लिक करने के लिए JS को इंजेक्ट कर रहा है और https के साथ XSS सुरक्षा समस्याओं का कारण बनता है।

टॉमस हेल्वेसेक 23 फरवरी 2014

पूर्ण बकवास ... अनधिकृत URL चुपके से घटना याद रखें? फिर उन्होंने उपयोगकर्ताओं को "दान" करने या विज्ञापनों को पीड़ित करने के लिए मजबूर करना शुरू कर दिया। यहां तक ​​कि यह कुछ विशेष पृष्ठों (जो उन सभी "सुधारों" से पहले मामला नहीं था) पर पिछड़ना शुरू कर दिया। इसलिए मैंने CrxMouse में स्विच किया और मैं ठीक हूं।

काइल बर्र फरवरी 19, 2014

यह एक ठोस माउस इशारों का विस्तार है, लेकिन नए विज्ञापन एक भयानक जोड़ हैं। पहले क्योंकि एक्सटेंशन अपडेट और चुपचाप विज्ञापन जोड़ता है, इसलिए आप नहीं जानते कि वे कहां से आ रहे हैं। यहां मैं अपने कंप्यूटर को कई मैलवेयर स्कैनर के साथ स्कैन कर रहा हूं क्योंकि मुझे यादृच्छिक विज्ञापन मिल रहे हैं, जब तक मुझे एहसास नहीं होता कि यह चिकना इशारे उन्हें डाल रहा है।

इस एक्सटेंशन का अब और उपयोग करने का कोई अच्छा कारण नहीं है, और व्यक्तिगत रूप से मैं जानना चाहूंगा कि यह एक्सटेंशन कौन विकसित करता है ताकि मैं यह सुनिश्चित कर सकूं कि भविष्य में उनसे कुछ भी स्थापित न हो।

लगता है कि एक अपराधी है।

— डेनिस
स्रोत
आह, अब यह वास्तव में आशाजनक दिखता है। धन्यवाद, मैं पहले से हटाए गए लोगों को पुनः स्थापित करूंगा और बस इसे हटा दूंगा। मैं अभी तक स्वीकार नहीं करूंगा क्योंकि यह सुनिश्चित होने में कुछ दिन लगेंगे, लेकिन मैं वापस आऊंगा और आपको बता दूंगा।
— टेराडॉन
ख़ुशी की बात है कि आपने अपराधी को ढूंढ लिया। एक समान एक्सटेंशन है जिसे SmoothScroll कहा जाता है जिसमें समान समस्या होती है। chrome.google.com/webstore/search/smooth%20scroll । अधिक समीक्षाओं के साथ, यदि आप रेटिंग में देखते हैं, तो यह एक ही है!
— SLM
@terdon: मुझे लगता है कि मुझे एक उपयोगी विस्तार मिला। एक्सटेंशन अपडेट नोटिफ़ायर किसी एक्सटेंशन के अपडेट होने पर हर बार एक डेस्कटॉप सूचना दिखाता है।
— डेनिस
5

यहाँ उत्तर के अलावा, मुझे कुछ और उपयोगी संसाधन मिले।

  1. यह howtogeek लेख एक प्रोग्राम की सिफारिश करता है जिसे फ़िडलर कहा जाता है जो वेब डिबगिंग प्रॉक्सी के रूप में कार्य करता है, जिससे आप नेटवर्क अनुरोधों की जांच कर सकते हैं (एक अल्फा लिनक्स संस्करण है )। @ एसएलएम ने मुझे एसओ पर इस जवाब की ओर इशारा किया जिसमें विभिन्न समान कार्यक्रम भी हैं।

  2. क्रोम के chrome://extensionsपृष्ठ में डेवलपर मोड आपको पृष्ठभूमि में चलने वाली प्रक्रियाओं के लिए प्रत्येक एक्सटेंशन की जांच करने की अनुमति देता है:

    यहां छवि विवरण दर्ज करें

    background.htmlखुलने पर क्रोम के डेवलपर टूल विंडो पर क्लिक करने से आप आसानी से एक्सटेंशन वाली विभिन्न लिपियों के स्रोतों को देख सकते हैं। इस मामले में, मैंने supportसेक्सी अन्डो क्लोज टैब के स्रोत ट्री में एक फ़ोल्डर देखा, जिसमें एक स्क्रिप्ट थी जिसे background.jsसंदिग्ध कहा गया था (यह यादृच्छिक समय अंतराल उत्पन्न कर रहा था जो मेरे लक्षणों को फिट करता है)।

  3. इस अन्य हाउटोगेक लेख में बचने के लिए ज्ञात एक्सटेंशन की एक सूची है, लेकिन इससे भी बेहतर http://www.extensiondefender.com है जो दुर्भावनापूर्ण एक्सटेंशन के उपयोगकर्ता द्वारा उत्पन्न डेटाबेस लगता है। हालाँकि, वे यह नहीं बताते कि कैसे या क्यों एक विशेष विस्तार को mal- या ऐडवेयर के रूप में टैग किया गया है, इसलिए शायद इसे नमक के दाने के साथ लिया जाना चाहिए।

  4. Extensiondefender.com (जो भी वे हैं) के पीछे के लोगों ने एक बहुत ही शांत थोड़ा विस्तार भी विकसित किया है, जिसे (ड्रमोल) एक्सटेंशन डिफेंडर कहा जाता है । यह दोनों आपको ज्ञात "खराब" लोगों के लिए आपके मौजूदा एक्सटेंशन को स्कैन करने देता है और इंस्टॉल किए जाने से ब्लैकलिस्ट किए गए एक्सटेंशन को भी ब्लॉक करता है।

इसलिए मेरे ओपी में एक्सटेंशन, स्मूथ जेस्चर (धन्यवाद @ डेनिस) और सेक्सी अन्डो क्लोज़ टैब दोनों ऐडवेयर हैं। support/background.jsउत्तरार्द्ध की फ़ाइल के स्रोत कोड के आधार पर , मुझे पूरा यकीन है कि एक मेरे वर्तमान पृष्ठ को बेतरतीब ढंग से अपहरण कर रहा था, लेकिन मुझे यह सुनिश्चित करने के लिए कुछ दिन चाहिए।

एक अन्य उपयोगी विस्तार एक्सटेंशन्स अपडेट नोटिफ़ायर (धन्यवाद @ डेनिस ) है जो स्पष्ट रूप से आपको यह बताता है कि जब भी कोई एक्सटेंशन हाक अपडेट किया गया है जो इस प्रकार के व्यवहार को जोड़ने के मामले में अपराधी की पहचान करने में मदद कर सकता है।

— terdon
स्रोत
ठीक है, मैं पूछना चाहता हूँ, सेक्सी पूर्ववत क्लोज़ टैब क्या है?
— slm
@ एसएलएम हेह, इसीलिए मैंने यह सुनिश्चित किया [संपादित करें: सोचा कि मैंने सुनिश्चित कर लिया है, लिंक अब जोड़ा गया] नाम एक लिंक था, इसलिए कोई भी इसके उद्देश्य को गलत नहीं समझता है :)। यह सिर्फ एक "फिर से बंद टैब" विस्तार है और देवों ने उस हास्यास्पद नाम पर फैसला किया है।
— टेराडन
fiddler विंडोज़ केवल BTW है। आप लिनक्स पर मिटम्पॉक्सी का उपयोग कर सकते हैं। stackoverflow.com/questions/2040642/…
— slm
@ एसएलएम नहीं यह नहीं है, उनके पास मोनो पर आधारित एक अल्फा संस्करण है जो दावा करता है कि उन्हें लिनक्स और ओएसएक्स पर काम करना चाहिए। डाउनलोड पृष्ठ पर इसके लिए एक लिंक है ।
— टेराडॉन
डेविड कौन है? : पी
— डेनिस
4

मैं पता लगाने के तरीकों में ध्यान केंद्रित करने जा रहा हूं।

चैंज चेक करें

यह स्पष्ट प्रतीत हो रहा है। चैंज के लिए क्रोम एक्सटेंशन पेज की जाँच करें, व्यवहार शुरू होने पर एक्सटेंशन के साथ अंतिम अपडेट होने पर तुलना करें। यह एक अच्छा सूचक है यदि आप गलती पर विस्तार की सही पहचान करना चाहते हैं।

बैकग्राउंड स्क्रिप्ट्स को पार्स करें

क्रोम एक्सटेंशन मेनिफेस्ट.जोन फ़ाइल में, backgroundऑब्जेक्ट को कुछ इस तरह देखें:

  "background" : {
    "persistent" : true,
    "scripts" : [
        "js/jquery.js",
        "js/jQuery.loadScript.js",
        "js/i18n.js",
        "js/MangaElt.js",
        "js/mgEntry.js",
        "js/BSync.js",
        "js/analytics.js",
        "js/personalstat.js",
        "js/wssql.js",
        "js/amrcsql.js",
        "js/background.js"
    ]
  },

ये स्क्रिप्ट आम तौर पर हर समय चलाई जाती हैं, जबकि विस्तार सक्रिय है और सबसे आम अटैक वेक्टर है। इसके लिए पाठ पार्स करना:

chrome.extension.sendRequest({action: "opentab"
chrome.tabs.create({
chrome.windows.create({

और डोमेन नाम (जैसे adnxs) एक अच्छा तरीका है। यह काम नहीं करेगा अगर फाइलें किसी तरह से बाधित हैं जो कि एक संकेतक भी है कि कुछ गड़बड़ है।

जानवर द्वारा उन्मूलन

आसान, लेकिन आपके मामले में, लंबा तरीका एक-एक करके एक एक्सटेंशन को निष्क्रिय कर रहा है जब तक कि उन्मूलन आप अपराधी की पहचान नहीं करते।

सॉकेट घटनाओं की जाँच करें

यह सबसे उन्नत है, लेकिन यह एक विस्तार को इंगित नहीं करेगा, लेकिन जानकारी इकट्ठा करने का एक तरीका है, एकमात्र दोष यह है कि क्रोम / आयम घटनाओं को हटा सकता है जब मेमोरी समाप्त हो जाती है और यह ओवरहेड का थोड़ा परिचय देता है।

अन्य प्रभावितों के साथ अपने एक्सटेंशन की तुलना करें

यदि दो लोगों को एक ही समस्या है और आम में केवल एक ही एक्सटेंशन है, तो वे सुरक्षित रूप से मान सकते हैं कि एक्सटेंशन अपराधी है और इसे अक्षम करें। यदि वह काम नहीं करता है, तो विस्तार साफ है और वे दूसरों के साथ तुलना कर सकते हैं।

— Braiam
स्रोत
हम्म, पृष्ठभूमि सामान पार्स करने पर अच्छा टिप, अब ऐसा करेंगे। दुर्भाग्य से, बात तो कोई किसी मौजूदा टैब का अपहरण करने की आदत है opentabया createआवश्यक। किसी भी संकेत पर मुझे क्या खोजना चाहिए? एक GET अनुरोध जैसा कुछ मुझे लगता है।
— टेराडॉन
@terdon वर्तमान विंडो को हाईकॉक करने के मामले में, मैं इसके बजाय सामग्री के लिए जाँच करूँगा। प्रतीक्षा, मैं कुछ screenies मिल जाएगा
— Braiam
हाँ, manifest.jsonफाइलों में कुछ भी स्पष्ट नहीं है । कहाँ / क्या सामग्री हैं?
— टेराडन
1

शुरू करने के लिए एक अच्छी जगह क्रोम एक्सटेंशन के साथ है "क्रोम के लिए ढाल।" यह KNOWN मुद्दों के साथ एक्सटेंशन को उजागर करने में मदद करेगा। यह Chrome वेब स्टोर पर उपलब्ध है, मुफ़्त है, लाइट है और वास्तव में उपयोग करने में आसान है। https://chrome.google.com/webstore/detail/shield-for-chrome/cbaffjopmgmcijlkoafmgnaiciogpdel

या "एक्सटेंशन डिफेंडर।" https://chrome.google.com/webstore/detail/extension-defender/lkakdehcmmnojcdalpkfgmhphnicaonm?hl=en

— RLC
स्रोत
1

यदि आपके पास वाइन विंडोज एमुलेटर स्थापित है, तो यह संक्रमित हो सकता है, और क्रोम खुल रहा है क्योंकि मैलवेयर डिफ़ॉल्ट ब्राउज़र को खोल रहा है।

आप ~/.wineनिर्देशिका को हटाने / हटाने और मशीन को पुनः आरंभ करने का प्रयास कर सकते हैं । मुझे कुछ महीने पहले भी यही समस्या थी और मैंने इसे हल किया।

दृष्टिहीनता में, मैं चाहता हूं कि मैं संक्रमण की बारीकियों को निर्धारित करने के लिए निर्देशिका की एक प्रति रखूं। उस समय मुझे नहीं पता था कि यह विधि काम करेगी, न ही संक्रमण कितना व्यापक था, इसलिए मैंने पूरी चीज़ को हटाने का विकल्प चुना।

— जॉन रतन
स्रोत
0

क्या आपको यकीन है कि यह वास्तव में मैलवेयर है? विज्ञापनों के बारे में खुद को रीडायरेक्ट किया गया है, आदि, और चूंकि वे जावास्क्रिप्ट का एक बहुत चलाने में सक्षम हैं, इसलिए वे इसे देरी से कर सकते हैं। यह तथ्य कि आपका अनुरोध डिबगिंग दिखाता है कि मेरा मानना ​​है कि एक विज्ञापन वितरण प्लेटफ़ॉर्म है, जो कहीं न कहीं देखने के लिए हो सकता है।

मैं एक विज्ञापन अवरोधक की कोशिश करूँगा। (हालांकि इन दिनों क्रोम पर क्या अच्छा है, यह निश्चित नहीं है।)

— Zigg
स्रोत
बहुत यकीन है, मुझे यह व्यवहार साइटों पर मिलता है मुझे यकीन है कि मैलवेयर से मुक्त हैं, उदाहरण के लिए यह एक है। चूंकि मेरे पास पर्याप्त प्रतिनिधि हैं, इसलिए एसई साइटों पर कोई जोड़ नहीं है जो मैं अक्सर करता हूं और मुझे अभी भी ये कष्टप्रद पुनर्निर्देशन मिलते हैं।
— टेराडॉन
यह उन साइटों को नहीं है जो मैलवेयर से ग्रस्त हैं; यह विज्ञापन नेटवर्क है जिसका वे उपयोग करते हैं। विज्ञापन खरीदार विज्ञापन खरीद रहे हैं और अपने स्वयं के कोड को
— छीन
ठीक है, लेकिन जब से मुझे वे विज्ञापन दिखाई नहीं दे रहे हैं जो मुझे लगता है कि वे मेरे ब्राउज़र में नहीं हैं। केवल नए उपयोगकर्ता ही विज्ञापन देखते हैं।
— तेरह
0

इसमें से 99% केवल विंडोज के लिए लगता है - लेकिन फिर भी इस गाइड का पालन ​​करने की कोशिश करें ।

आपने जो पोस्ट किया है, यह बताना असंभव है कि कौन सा एक्सटेंशन उन मुद्दों का कारण बन रहा है।

सौभाग्य!

— क्रिस
स्रोत
धन्यवाद, लेकिन जैसा कि आपने कहा, यह सब विंडोज के लिए है। केवल ओएस-एग्नोस्टिक सुझाव मेरे द्वारा स्थापित सभी ऐड-ऑन को हटाने के लिए है (उनमें से सभी थे)।
— टेराडॉन
@terdon - इस समस्या के शुरू होने के बाद से एक्सटेंशन अपडेट के साथ शुरू करें।
— रामहाउंड
@terdon बहुत सारा सामान ब्राउज़र से संबंधित है! सभी एक्सटेंशन को अक्षम करने का प्रयास करें और उन लोगों के साथ रहें, जिनकी आपको वास्तव में आवश्यकता है। फ़ायरफ़ॉक्स की कोशिश करें और देखें कि क्या समान एक्सटेंशन हैं। सभी एक्सटेंशन की जाँच करें - Google पर एक-एक करके। शायद किसी ने इसी तरह की समस्या की सूचना दी है? आपके द्वारा इंस्टॉल किए गए सभी एक्सटेंशन की सूची पोस्ट करें।
— क्रिस
@ रामधुन धन्यवाद लेकिन उनमें से ज्यादातर एक ही दिन स्थापित किए गए थे।
— टेराडॉन
@ मुझे पता है कि यह क्रोम विशिष्ट है, और यही वह है जो मैं बचना चाहता हूं। चूंकि यह केवल हर कुछ दिनों में होता है, इसलिए एक-एक करके डिबगिंग में महीनों लग सकते हैं। मैंने अपनी एक्सटेंशन की सूची को ओपी में जोड़ा।
— टेराडॉन
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.