Parece que he sido infectado por malware. Específicamente, de vez en cuando (una vez cada pocos días generalmente) me redirigen a una página que me pide que descargue algo, generalmente una "nueva versión de Flash". Presumiblemente, no es nada por el estilo, pero en realidad es un virus o un troyano de algún tipo.
Estoy usando la google-chromeversión 30.0.1599.114 en Debian Linux y estoy bastante seguro de que esto es causado por una extensión. Sé que podría simplemente desinstalar mis extensiones o eliminar mi ~/.config/google-chromecarpeta, pero preferiría no hacerlo. Me gustaría identificar la extensión que causa esto y eliminar solo eso.
Al intentar depurar esto (gracias @Braiam), revisé el registro de eventos chrome://net-internals/#eventsy busqué una de las URL a las que me redirigen:
Los contenidos de la chrome://net-internals/#eventsson:
122667: URL_REQUEST
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.358
t=1393864121358 [st= 0] +REQUEST_ALIVE [dt=334]
t=1393864121359 [st= 1] +URL_REQUEST_START_JOB [dt=332]
--> load_flags = 134349184 (ENABLE_LOAD_TIMING | ENABLE_UPLOAD_PROGRESS | MAYBE_USER_GESTURE | VERIFY_EV_CERT)
--> method = "GET"
--> priority = 2
--> url = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121359 [st= 1] HTTP_CACHE_GET_BACKEND [dt=0]
t=1393864121359 [st= 1] HTTP_CACHE_OPEN_ENTRY [dt=0]
--> net_error = -2 (ERR_FAILED)
t=1393864121359 [st= 1] HTTP_CACHE_CREATE_ENTRY [dt=0]
t=1393864121359 [st= 1] HTTP_CACHE_ADD_TO_ENTRY [dt=0]
t=1393864121359 [st= 1] +HTTP_STREAM_REQUEST [dt=1]
t=1393864121360 [st= 2] HTTP_STREAM_REQUEST_BOUND_TO_JOB
--> source_dependency = 122670 (HTTP_STREAM_JOB)
t=1393864121360 [st= 2] -HTTP_STREAM_REQUEST
t=1393864121360 [st= 2] +HTTP_TRANSACTION_SEND_REQUEST [dt=0]
t=1393864121360 [st= 2] HTTP_TRANSACTION_SEND_REQUEST_HEADERS
--> GET /p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980 HTTP/1.1
Host: cdn.adnxs.com
Connection: keep-alive
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/30.0.1599.114 Safari/537.36
Accept: */*
DNT: 1
Referer: http://ib.adnxs.com/tt?id=2301980&cb=1393864120&referrer=http://fra1.ib.adnxs.com/if?enc=gbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.&pubclick=http://fra1.ib.adnxs.com/click?XkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA./cnd%3D!8gXSNwiT18QBEIujlwYY0cEVIAA./referrer%3Dhttp://www.imgclck.com/serve/imgclck.php/clickenc%3Dhttp://optimized-by.rubiconproject.com/t/9164/15602/101258-2.3581666.3755480?url%3D&cnd=%218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.&ccd=%21vwV6NgiCtsABEL3CkgYYt5YRIAA.&udj=uf%28%27a%27%2C+279660%2C+1393864119%29%3Buf%28%27c%27%2C+3152642%2C+1393864119%29%3Buf%28%27r%27%2C+12886333%2C+1393864119%29%3B&vpid=77&apid=189016&referrer=http%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php&media_subtypes=1&ct=0&dlo=1&pubclick=http://fra1.ib.adnxs.com/click?AAAAAAAAAAAAAAAAAAAAALTIdr6fGus_AAAAAAAAAAAAAAAAAAAAAA-Oj4oIzbJcljpJTzhxcH-4rRRTAAAAANYjIwB6AgAAEAkAAAIAAAAfKcUAD5wFAAAAAQBVU0QAVVNEANgCWgCqqwAAtdQAAQUCAQIAAIwA6xZV3wAAAAA./cnd=%21GgafOwjH0sYBEJ_SlAYYj7gWIAE./referrer=http%3A%2F%2Ffra1.ib.adnxs.com%2Fif%3Fenc%3DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%26pubclick%3Dhttp%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%2Fcnd%253D%218gXSNwiT18QBEIujlwYY0cEVIAA.%2Freferrer%253Dhttp%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php%2Fclickenc%253Dhttp%3A%2F%2Foptimized-by.rubiconproject.com%2Ft%2F9164%2F15602%2F101258-2.3581666.3755480%3Furl%253D%26cnd%3D%25218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.%26ccd%3D%2521vwV6NgiCtsABEL3CkgYYt5YRIAA.%26udj%3Duf%2528%2527a%2527%252C%2B279660%252C%2B1393864119%2529%253Buf%2528%2527c%2527%252C%2B3152642%252C%2B1393864119%2529%253Buf%2528%2527r%2527%252C%2B12886333%252C%2B1393864119%2529%253B%26vpid%3D77%26apid%3D189016%26referrer%3Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%26media_subtypes%3D1%26ct%3D0%26dlo%3D1/clickenc=
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8,fr;q=0.6
Cookie: __gads=ID=386c1f6bc0285adb:T=1390666421:S=ALNI_MZXJdGrAsWELFKRsS7QcqnPTkuaMw; uuid2=9182964126870747798; sess=1; icu=ChIIr54TEAYYASAAKAEwu8_EmAUKEgiCyRUQBhgDIAAoAzDGkb-XBQoSCKraFRAGGAEgACgBMIyKv5cFChII5I8WEAYYASAAKAEw0szplwUKEgjXlhYQBhgCIAAoAjDFvM2YBQoSCP7-CBAKGAUgBSgFMMjU0pgFChIIpogJEAoYByAHKAcwqtXSmAUKEgiDtwoQChgdIB0oHTCx29KYBQoSCNuECxAKGAUgBSgFMPbX0pgFChII0aELEAoYASABKAEwuc3SmAUKEgjLzwsQChgBIAEoATDrzNKYBQoSCK7fCxAKGAEgASgBMJfH0pgFChII0eQLEAoYASABKAEw5czSmAUKEgi78AsQChgHIAcoBzDwyNKYBQoSCL_yCxAKGAEgASgBMKzV0pgFChIIkoAMEAoYAiACKAIwrdvSmAUKEgi3hQ0QChgBIAEoATCv1dKYBQoSCMWnDhAKGAcgBygHMOzY0pgFChII_KcOEAoYBSAFKAUwisHSmAUKEgiIqA4QChgEIAQoBDCr1dKYBQoSCJ7pDhAKGAUgBSgFMMnK0pgFChII3ukOEAoYICAgKCAwuNvSmAUKEgi0hw8QChgBIAEoATC2ydKYBQoSCOeVDxAKGAUgBSgFMMnK0pgFChII_J4PEAoYASABKAEwrtvSmAUKEgi_lxAQChgDIAMoAzC8zdKYBQoSCNCkEBAKGAIgAigCML3N0pgFChII6acQEAoYBiAGKAYw5dfSmAUKEgjpsRAQChgGIAYoBjCv1dKYBQoSCMy5EBAKGAEgASgBMO3U0pgFChII1uoQEAoYASABKAEwstXSmAUKEgipghEQChgIIAgoCDCJy9KYBQoSCIaeERAKGAQgBCgEMOzY0pgFChIIh54REAoYAyADKAMw79jSmAUKEgjJpREQChgBIAEoATCbytKYBQoSCI-yERAKGAEgASgBMInL0pgFChIIqbcREAoYAiACKAIwisvSmAUKEgievhEQChgBIAEoATCtw9KYBQoSCP7GERAKGAYgBigGMNzT0pgFChIIofMREAoYAyADKAMwttHSmAUKEgjK-xEQChgCIAIoAjCx1dKYBQoSCJ6BEhAKGBsgGygbMNvX0pgFChII9ogSEAoYBiAGKAYw18rSmAUKEgjvmRIQChgDIAMoAzDP2dKYBQoSCI2qEhAKGAQgBCgEMLXJ0pgFChIInLASEAoYAiACKAIw0srSmAUKEgjXsRIQChgCIAIoAjDYytKYBQoSCKO0EhAKGAMgAygDMKjV0pgFChIIvrQSEAoYByAHKAcw19jSmAUKEgjFthIQChgCIAIoAjD0zNKYBQoSCLHAEhAKGAEgASgBMKDE0pgFChIIqswSEAoYASABKAEwzsrSmAUKEgiv0hIQChgDIAMoAzCPwdKYBQoSCOTYEhAKGAEgASgBMLTV0pgFChIIrNkSEAoYByAHKAcw7MLSmAUKEgj-2xIQChgDIAMoAzCx1dKYBQoSCInfEhAKGAIgAigCMMDN0pgFChIIxuASEAoYByAHKAcw3dnSmAUKFQj14BIQChjIASDIASjIATC429KYBQoSCPfgEhAKGAEgASgBMMDN0pgFChII9-ISEAoYBCAEKAQw5djSmAUKEgjw5BIQChgDIAMoAzD4wdKYBQoSCJXqEhAKGAMgAygDMI3F0pgFChII6uwSEAoYAiACKAIwpNLSmAUKEgjB8BIQChgGIAYoBjC_zdKYBQoSCOTyEhAKGAIgAigCMPXM0pgFChII5fISEAoYAyADKAMw-czSmAUKEgiG8xIQChgHIAcoBzDQ2dKYBQoSCIuJExAKGBMgEygTMMTW0pgFChIIoIwTEAoYBSAFKAUw7dTSmAUKEgjDohMQChgBIAEoATC21dKYBQoSCI-wExAKGAUgBSgFMLrN0pgFChIIxLATEAoYBiAGKAYwqtXSmAUKEgjIsBMQChgDIAMoAzDzzNKYBQoSCLyyExAKGAQgBCgEMOnL0pgFChIIvrITEAoYASABKAEw2cnSmAUKEgj6shMQChgBIAEoATDbx9KYBQoSCMi2ExAKGAEgASgBMNnG0pgFChII5bgTEAoYAiACKAIwhNfSmAUKEgiXuRMQChgEIAQoBDDU2NKYBQoSCIq-ExAKGAYgBigGMMfC0pgFChIInsITEAoYASABKAEw2cbSmAUKEgibxRMQChgGIAYoBjCE0dKYBQoSCP_FExAKGAIgAigCMOjM0pgFChIIkcYTEAoYBCAEKAQwz8fSmAUKEgi3xhMQChgBIAEoATCfydKYBQoSCOvGExAKGAEgASgBMLjb0pgFChIIx8gTEAoYBCAEKAQw6NTSmAUKEgiFyhMQChgBIAEoATDTzNKYBQoSCI_KExAKGAIgAigCMMbU0pgFChIIu9ETEAoYAyADKAMw2sfSmAUKEgjr2BMQChgCIAIoAjC21dKYBQoSCIbbExAKGAIgAigCMLnb0pgFChIIzuUTEAoYASABKAEw8MzSmAUKEgj76RMQChgCIAIoAjCqydKYBQoSCIHrExAKGAEgASgBMKrJ0pgFELnb0pgFGNYE; anj=dTM7k!M4.g1IKw2hK`RZ[+9f#Abz#5Z8>#V-^@!KG9XLO4442ch)Pc]jvxZ!#GhOwx*meAdp/D)elWNRR%-I!MOpSn=J+VCrW%0=hj]Bz32M!LSOQ5gll*LP_br1!?zqWv$YT0!S8!Ssqbx<[gw>6wFG2.OXE$1'cEc8BdiTCWLi:P+XwDKQDr`LmI$bR^3u%?co]YbrY[FD44<J(CU/Gn<5H=tP`n<jx[Cz6px:fcFXbqHccp2?vY*$/m>4GqE.2:v`'pIRgJ@wKuwpOTY'2wRpvC`e.1o[gHdch:d8Ly_dx!x3SeM0^!qrZIi%XQ$0pC/UUYEnNS-^j>32us+UP1VB_*ML]?KovH`x8g7%)dRu@#?pr+Lx<$9w@Af%inZIpkFAP#Y`t[+c'OBbc?!FUlhh4fF<-9S<1`W1<W3_z!``x7Jhjeh
t=1393864121360 [st= 2] -HTTP_TRANSACTION_SEND_REQUEST
t=1393864121360 [st= 2] +HTTP_TRANSACTION_READ_HEADERS [dt=330]
t=1393864121360 [st= 2] HTTP_STREAM_PARSER_READ_HEADERS [dt=330]
t=1393864121690 [st=332] HTTP_TRANSACTION_READ_RESPONSE_HEADERS
--> HTTP/1.1 200 OK
Server: Apache
ETag: "d932a372371bd0a47ba7e2a73649a8d0:1393776550"
Last-Modified: Sun, 02 Mar 2014 16:09:10 GMT
Accept-Ranges: bytes
Content-Length: 5255
Content-Type: application/x-shockwave-flash
Date: Mon, 03 Mar 2014 16:28:41 GMT
Connection: keep-alive
t=1393864121690 [st=332] -HTTP_TRANSACTION_READ_HEADERS
t=1393864121690 [st=332] HTTP_CACHE_WRITE_INFO [dt=0]
t=1393864121690 [st=332] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121690 [st=332] HTTP_CACHE_WRITE_INFO [dt=0]
t=1393864121691 [st=333] -URL_REQUEST_START_JOB
t=1393864121691 [st=333] HTTP_TRANSACTION_READ_BODY [dt=0]
t=1393864121691 [st=333] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121691 [st=333] HTTP_TRANSACTION_READ_BODY [dt=1]
t=1393864121692 [st=334] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121692 [st=334] HTTP_TRANSACTION_READ_BODY [dt=0]
t=1393864121692 [st=334] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121692 [st=334] HTTP_TRANSACTION_READ_BODY [dt=0]
t=1393864121692 [st=334] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121692 [st=334] -REQUEST_ALIVE
Y de la URL_REQUEST:
122669: DISK_CACHE_ENTRY
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.359
t=1393864121359 [st= 0] +DISK_CACHE_ENTRY_IMPL [dt=350]
--> created = true
--> key = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121690 [st=331] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 304
--> index = 0
--> offset = 0
--> truncate = true
t=1393864121690 [st=331] -ENTRY_WRITE_DATA
--> bytes_copied = 304
t=1393864121690 [st=331] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 0
--> index = 1
--> offset = 0
--> truncate = true
t=1393864121690 [st=331] -ENTRY_WRITE_DATA
--> bytes_copied = 0
t=1393864121690 [st=331] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 0
--> index = 2
--> offset = 0
--> truncate = true
t=1393864121690 [st=331] -ENTRY_WRITE_DATA
--> bytes_copied = 0
t=1393864121691 [st=332] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 2612
--> index = 1
--> offset = 0
--> truncate = true
t=1393864121691 [st=332] -ENTRY_WRITE_DATA
--> bytes_copied = 2612
t=1393864121692 [st=333] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 1448
--> index = 1
--> offset = 2612
--> truncate = true
t=1393864121692 [st=333] -ENTRY_WRITE_DATA
--> bytes_copied = 1448
t=1393864121692 [st=333] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 1195
--> index = 1
--> offset = 4060
--> truncate = true
t=1393864121692 [st=333] -ENTRY_WRITE_DATA
--> bytes_copied = 1195
t=1393864121693 [st=334] ENTRY_CLOSE
t=1393864121709 [st=350] -DISK_CACHE_ENTRY_IMPL
El escaneo DISK_CACHE_ENTRYmuestra que está limpio:
$ sudo clamscan -r .config/google-chrome/
[...]
Known viruses: 3138491
Engine version: 0.97.8
Scanned directories: 543
Scanned files: 1511
Infected files: 0
Data scanned: 70.93 MB
Data read: 135.29 MB (ratio 0.52:1)
Time: 22.528 sec (0 m 22 s)
Las páginas publicadas a menudo están (quizás siempre, no seguras) en el xxx.adnx.comdominio (la xxxparte varía). La búsqueda de esa cadena en el google-chromedirectorio devuelve:
$ grep -lR adnx .config/google-chrome/
.config/google-chrome/Default/Preferences
.config/google-chrome/Default/History Provider Cache
.config/google-chrome/Default/Cookies
.config/google-chrome/Default/Current Tabs
.config/google-chrome/Default/History
.config/google-chrome/Default/Archived History
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/#cdn.adnxs.com/settings.sol
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/settings.sol
.config/google-chrome/Default/Favicons-journal
.config/google-chrome/Default/Preferences~
.config/google-chrome/Default/Favicons
.config/google-chrome/Default/Cookies-journal
Mis complementos instalados siguen. Estos son de la tienda de complementos de Chrome:
"View Vote totals" without 1000 rep
AutoReviewComments 1.3.0
Chat Reply Helper for Stack Exchange sites 2.4.0
Close Tabs 1.1
Desktop Notifications for Stack Exchange 1.6.5.1
Docs PDF/PowerPoint Viewer (by Google) 3.10
Edit with Emacs 1.13
Hangout Chat Notifications 2.0.0
IE Tab 6.1.21.1
KBD Button for Stack Exchange sites 0.2.0
Sexy Undo Close Tab 7.4.13
Smooth Gestures 0.17.14
SmoothGestures: Plugin 0.9.1
Yet another flags 0.9.10.0
Estos son de Stack Apps :
Dude, where's my cursor 1.0
SE Comment Link Helper 1.0
Super User Automatic Corrector 1.0
threading-comments 1.0
stackexchange-tab-editing 1.0
Complementos instalados:
¿Cómo puedo usar esta (o cualquier otra) información para identificar qué complemento está causando esto?
linux
google-chrome
malware
terdon
fuente
fuente
clamscanera exactamente lo que estaba pensando. Dado que es algo intermitente, es poco probable que descubras la extensión que no sea apagarlos y agregarlos durante un período de tiempo. Esto supone que es un problema de extensión. ¿Has notado algo consistente en tu actividad cuando ocurre el problema?Respuestas:
No estoy seguro de si este es el caso en su problema particular, pero ha habido situaciones en las que se han vendido buenas extensiones conocidas a terceros que luego optan por la extensión con fines nefastos. Aquí hay una de esas historias que discute esto: Las extensiones de Google Chrome se están vendiendo a compañías de adware malicioso .
extracto
Mi consejo sería tomar esta situación muy en serio y deshabilitar las extensiones de las que no está seguro. Luego monitorearía la situación para ver si desaparece o continúa.
Si continúa, entonces profundizaría más y comenzaría a escudriñar los servidores DNS que está utilizando. Normalmente uso OpenDNS por esta razón exacta, ya que este servicio (gratuito) intenta frustrar los vectores de ataque redirigiendo las búsquedas de DNS a páginas alternativas de OpenDNS.
¿Por qué preocuparse por el DNS?
Los servidores DNS de OpenDNS aumentarán intencionalmente los resultados que devuelven cuando realiza una búsqueda si se sabe que un nombre de host está afiliado a actividades relacionadas con spam / piratería / phishing. Están en una posición única, ya que realizan las búsquedas de cada sitio que trafican sus clientes, por lo que pueden detectar anomalías, ver aquí: ABRE LA PROTECCIÓN DE PESCA , así como aquí .
¿Qué más?
También me aseguraría de que su
/etc/hostsarchivo no se haya visto comprometido y continuaré monitoreando la situación usando algo comonethog, que mostrará qué procesos están accediendo a su red.Amit Agarwal creó una extensión de Feedly para Chrome en menos de una hora y la vendió sin saberlo a un proveedor de Adware para una oferta de 4 cifras. La extensión tenía más de 30,000 usuarios en Chrome al momento de la venta. Los nuevos propietarios impulsaron una actualización de la tienda Chrome, que inyectó adware y enlaces de afiliados en la experiencia de navegación de los usuarios. Si bien esta extensión se ha eliminado debido a la publicidad que hizo la arrepentida confesión de Agarwal, este es un evento muy común en las extensiones de Chrome.
fuente
hostsarchivo está limpio y cambiaré a OpenDNS por si acaso. Gracias.Echa un vistazo a las reseñas de la extensión Smooth Gestures ( enlace directo ).
Si clasifica las revisiones por fecha (al hacer clic en Reciente ), verá que casi todas las revisiones nuevas tienen una calificación de una estrella y se quejan de anuncios poco claros:
Parece que ese es el culpable.
fuente
Además de las respuestas aquí, encontré algunos recursos más útiles.
Este artículo de howtogeek recomienda un programa llamado Fiddler que actúa como un proxy de depuración web, lo que le permite examinar las solicitudes de red (hay una versión alpha linux ). @slm me señaló esta respuesta en SO que también tiene varios programas similares.
El modo de desarrollador en la
chrome://extensionspágina de Chrome le permite verificar cada extensión para los procesos que se ejecutan en segundo plano:Al hacer clic en se
background.htmlabre la ventana de herramientas de desarrollador de Chrome que le permite ver fácilmente las fuentes de los diversos scripts que contiene la extensión. En este caso, noté una carpeta llamadasupporten el árbol de origen de Sexy Undo Close Tab que contenía un script llamadobackground.jsque parecía sospechoso (estaba generando intervalos de tiempo aleatorios que se ajustan a mis síntomas).Este otro artículo de howtogeek tiene una lista de extensiones conocidas para evitar, pero aún mejor es http://www.extensiondefender.com, que parece ser una base de datos de extensiones maliciosas generada por el usuario. Sin embargo, no especifican cómo o por qué una extensión en particular ha sido etiquetada como mal o addware, por lo que tal vez debería tomarse con un grano de sal.
Las personas detrás de extensiondefender.com (sean quienes sean) también han desarrollado una pequeña extensión muy genial llamada, (drumroll) Extension Defender . Esto le permite escanear sus extensiones existentes en busca de las "malas" conocidas y también bloquea la instalación de extensiones en la lista negra.
Entonces, de las extensiones en mi OP, tanto Smooth Gestures (gracias @Dennis) como Sexy Undo Close Tab son addware. Según el código fuente del
support/background.jsarchivo de este último, estoy bastante seguro de que uno fue el que secuestró al azar mi página actual, pero le daré unos días para estar seguro.Otra extensión útil es Extensions Update Notifier (gracias @Dennis ) que aparentemente le permite saber cada vez que se actualiza una extensión que podría ayudar a identificar al culpable en caso de que una actualización agregue este tipo de comportamiento.
fuente
Me voy a centrar en los métodos de detección.
Revisa los registros de cambios
Esto parece ser obvio. Consulte la página de extensiones de Chrome para ver los registros de cambios, compare cuándo se actualizaron las extensiones por última vez y cuándo comenzó el comportamiento. Este es un buen puntero en caso de que desee identificar con precisión la extensión que falla.
Analiza los guiones de fondo
En el archivo de extensión de Chrome manifest.json, busque el
backgroundobjeto, algo como esto:Estos scripts normalmente se ejecutan todo el tiempo mientras la extensión está activa y es el vector de ataque más común. Analizando el texto para:
y los nombres de dominio (como
adnxs) es un buen enfoque. Esto no funcionará si los archivos están de alguna manera ofuscados, lo que también indica que algo sospechoso está encubierto.Eliminación por fuerza bruta
El método más fácil, pero en su caso, largo es desactivar una por una las extensiones hasta que mediante la eliminación identifique al culpable.
Verifique los eventos del socket
Este es el más avanzado, pero no señalará una extensión, pero es una forma de recopilar información, el único inconveniente es que Chrome / ium puede eliminar eventos cuando la memoria se agota e introduce un poco de sobrecarga.
Compare sus extensiones con otras afectadas
Si dos personas tienen el mismo problema y solo hay una extensión en común, pueden presumir con seguridad que la extensión es la culpable y desactivarla. Si eso no funciona, entonces la extensión está limpia y se pueden comparar con otras.
fuente
opentabocreatees necesario. ¿Alguna sugerencia sobre lo que debería buscar? Algo así como una solicitud GET, supongo.manifest.jsonarchivos. ¿Dónde / cuáles son los guiones de contenido?Un buen lugar para comenzar es con la extensión de cromo "escudo para cromo". Ayudará a descubrir extensiones con problemas conocidos. Está disponible en Chrome Web Store, es gratis, lite y realmente fácil de usar. https://chrome.google.com/webstore/detail/shield-for-chrome/cbaffjopmgmcijlkoafmgnaiciogpdel
O "Defensor de extensión". https://chrome.google.com/webstore/detail/extension-defender/lkakdehcmmnojcdalpkfgmhphnicaonm?hl=en
fuente
Si tiene instalado Wine Windows Emulator , puede estar infectado y Chrome se está abriendo porque el malware está abriendo el navegador predeterminado.
Puede intentar mover / eliminar el
~/.winedirectorio y reiniciar la máquina. Tuve el mismo problema hace unos meses y así es como lo resolví.En retrospectiva, desearía haber guardado una copia del directorio para determinar los detalles de la infección. En ese momento no sabía que este método funcionaría, ni cuán extensa era la infección, así que opté por eliminar todo.
fuente
¿Estás seguro de que en realidad es malware? Ha habido una gran cantidad de anuncios que causan redireccionamientos, etc. y como pueden ejecutar bastante JavaScript, podrían hacerlo con retraso. El hecho de que la depuración de su solicitud muestre lo que creo que es una plataforma de publicación de anuncios sugiere que puede ser un lugar para buscar.
Probaría un bloqueador de anuncios. (Sin embargo, no estoy seguro de lo que es bueno en Chrome en estos días).
fuente
El 99% de esto parece ser solo de Windows, pero, sin embargo, intente seguir esta guía .
Por lo que ha publicado, es imposible saber qué extensión está causando esos problemas.
¡Buena suerte!
fuente