Google検索は、監視されていない場合にのみハイジャックされました。デバッガーを接続すると、通常の結果が返されます

Question

これはわかりません。最近、検索結果が少し「違う」ことに気づきました。

グーグル検索をするときにサインインしていませんが、「画像」または「ビデオ」をクリックすると、サインインしていると表示されます。
検索ページのサイドバーにウィキペディアの情報はありません。
GhosteryとuBlockを無効にすると、結果の多くは広告になります。

開発者ツールを確認することにしましたが、ページにSyntaxErrorがあることに気付きました。それをクリックすると、実際にはgoogleWebアドレスを置き換えるjavascript関数が表示されます。

この問題はChromeでのみ発生するようです。Firefoxと並べて表示します：

Fiddler Web Debuggerを接続してトラフィックをキャプチャし、リダイレクト先を確認できるようにしました。 しかし、Webデバッガーを接続するとすぐにすべて消えて、実際の検索ページが表示されます....Fiddlerの場合のページソースキャプチャは完全に異なります。

以下はそれを示すスクリーンキャプチャgifvです。それはハイジャックされたページから始まり、私はいくつかの大ざっぱな追加のjavascriptソースファイルの周りにカーソルを丸で囲みます。次に、トラフィックをキャプチャして検索結果を更新するようにFiddlerに指示します。私が提供するページは完全に異なります。最後に、トラフィックキャプチャを再度無効にし、ページを更新してハイジャックされたページを表示し、Webアドレスを置き換えることになっている構文エラーのある関数に移動します。

http://i.imgur.com/gbWkkLp.gifv

Malwarebytesを実行しましたが、結果が得られませんでした。 Spybotはいくつかのヒットを思い付きましたが、それらを削除しても問題は解決しませんでした。また、Googleが提供するツールを使用してchromeを完全にリセットしました。請求書を作成するなど、別のWebプロファイルを使用すると、検索結果が表示されません。フィドラーを有効にすると、突然結果が出ます。

Deltik · Accepted Answer

一部のマルウェアは、おそらくFiddlerの元の開発者として Fiddler になりすましていた、 Eric Lawrence は次のように指摘しています。

さまざまなマルウェアがFiddlerが使用されているかどうかをチェックし、使用されている場合は、アクションを隠そうとするために悪意のあるアクティビティの実行を停止します。

^{_{（ソース）}}

FiddlerはWebデバッグツールです。悪意のある動作は一切なく、Telerikからダウンロードしたインストーラーを使用して個人的にインストールしない限り、インストールされることはありません。ここで説明するシナリオは、自身をFiddlerのように見せることで検出を回避しようとするマルウェアです。

^{_{（ソース）}}

動作

マルウェアの最も明らかな兆候は、Google Chromeは、トラフィックをキャプチャするためにFiddlerを使用していない限り、HTTPS Webサイトを意図したとおりにロードしないことです。Fiddlerは、通常のWebブラウジングを妨害するようには設計されていません。使用中のt。

マルウェアがそれ自体を隠すためには、Fiddlerプロキシをハイジャックし、Fiddler証明書の秘密鍵を使用してHTTPSトラフィックを辞任する必要があります。プロキシ設定を変更するは簡単で、 Fiddlerインストールの秘密鍵のコピーを取得するすることは可能です。

ルート証明書

Fiddlerにコンピューターにルート証明書をインストールさせました。これにより、Fiddlerは自分自身を man-in-the-middle （MitM）として挿入し、HTTPS経由で送信されるデータコンテンツを監視できます。

対照的に、 https://www.google.com/ が通常どのように信頼されているかを次に示します。

コンピュータは、オペレーティングシステムの証明書トラストストアにインストールされているため、DO_NOT_TRUST_FiddlerRoot証明書を信頼します。

HTTPSをインターセプトするプロキシ

HTTPSはMozillaFirefoxで正しく動作することを示しました。これは、オペレーティングシステムのプロキシルールではなく、独自の独立したプロキシルールを使用するように構成できます。 Google Chromeは、他の方法を実行する簡単なオプションなしでオペレーティングシステムプロキシを使用します。

Fiddlerのオペレーティングシステムレベルのプロキシを経由することで、FiddlerはMitMになり、サイトにサービスを提供しながら、暗号化されていないHTTPSデータをキャプチャできるようになりました。 FiddlerはいくつかのWebページをフェッチし、以前に信頼された証明書DO_NOT_TRUST_FiddlerRootを使用して、「www.google.com」として署名します。

このような状況では、マルウェアがプロキシと証明書の両方を乗っ取って、間違ったサイトをフィードし、それでも。これが手の込んだフィッシング攻撃につながることがわかります。

セキュリティ上の懸念

^{_{セキュリティスタック交換に関連：ユーザーのデスクトップにSSLインターセプトプロキシを展開するソフトウェアベンダーがもたらすセキュリティリスク}}

エリックローレンスがかつて書いた、

FiddlerのHTTPSインターセプト機能は、（当然のことながら）セキュリティを重視するユーザーの間で眉をひそめます。

これが、FiddlerがHTTPSトラフィックの傍受によるセキュリティへの影響について警告する理由です。

ユーザーエラーまたはマルウェアのインストールにより、Fiddlerはさまざまな問題に関連付けられています。

Fiddler自体は有害なプログラムではありませんが、その誤用と誤解により、過去評判が悪いおよび Fiddlerになりすましたウイルスになりました。

除去

お使いのコンピューターがFiddlerハイジャッカーによって侵害されているかどうかはわかりませんが、ご指摘のとおりコンピューターをワイプして再インストールする時間がないため、次の手順でFiddlerを取り除くことができれば幸いです。適切な安全なWeb動作を復元します。（特にセキュリティを真剣に考えている場合は、後でパスワードを再インストールして変更することをお勧めします。Spybot– Search＆Destroyがマルウェアを発見したと書いています。）

はじめに：Fiddlerの構成を解除する

元のポスターが発見しましたこれらの追加の手順フィドラーの問題を解決するために：

最終的に修正されたのは、[設定]-> [詳細設定を表示]-> [ネットワーク下]-> [プロキシ設定の変更]-> [詳細設定]-> [リセット]です。

および

また、Fiddler設定で、証明書をアンインストールして再クリアする前にHTTPSトラフィックを復号化できるオプションを無効にしました。

Fiddlerのルート証明書を削除します

押す Win+r
開く：certmgr.msc
すべてのフォルダーを調べて、DO_NOT_TRUST_FiddlerRoot証明書を削除します。

Fiddlerをアンインストールする

コントロールパネル"プログラム"プログラムと機能に移動します。
Fiddlerをアンインストールします。 1つのソースは、Fiddlerが「FiddlerRoot」または「BrowserSafeguard」と呼ばれる可能性があることを示しています。

プロキシ設定をクリアする

通常は別のプロキシを使用しないと仮定すると…

コントロールパネル"インターネットオプションに移動します。
[インターネットのプロパティ]で、[接続]タブに移動します。
「ローカルエリアネットワーク（LAN）設定」の下にある「LAN設定」をクリックします。
次のようにプロキシ設定をクリアしてオフにします。

マルウェアを削除する

以前にスーパーユーザーで提案されたのように、変更されたHTTPSWebページを表示した元のマルウェアを見つけて削除するようにしてください。

詳細なアドバイス：
PCから悪意のあるスパイウェア、マルウェア、アドウェア、ウイルス、トロイの木馬、またはルートキットを削除するにはどうすればよいですか？