Поиск в Google угнали только тогда, когда не наблюдали. Присоединение отладчика возвращает нормальные результаты

Некоторые вредоносные программы, вероятно, выдавали себя за Fiddler, как указывал первоначальный разработчик Fiddler EricLaw:

Различные вредоносные программы проверяют, используется ли Fiddler, и если это так, они прекращают свою вредоносную деятельность, чтобы попытаться скрыть свои действия.

^{_{( источник)}}

Fiddler - это инструмент веб-отладки. Он не имеет вредоносного поведения и никогда не устанавливается, если вы лично не установили его с помощью установщика, загруженного из Telerik. Описанный здесь сценарий представляет собой вредоносную программу, которая пытается избежать обнаружения, делая себя похожей на Fiddler.

^{_{( источник)}}

Поведение

Явным признаком вредоносного ПО является то, что Google Chrome не загружает HTTPS-сайты, как предполагалось, если вы не используете Fiddler для захвата трафика. Fiddler не предназначен для вмешательства в ваш обычный просмотр веб-страниц, когда он не используется.

Чтобы вредоносная программа могла скрыться, ей необходимо перехватить прокси-сервер Fiddler и передать HTTPS-трафик с помощью закрытого ключа сертификата Fiddler. Изменить настройки прокси-сервера достаточно просто, и можно получить копию закрытого ключа вашей установки Fiddler.

Корневой сертификат

Fiddler установил корневой сертификат на ваш компьютер, который позволяет ему вставлять себя как посредника (MitM) для мониторинга содержимого данных, отправляемых по HTTPS:

В отличие от этого, вот как https://www.google.com/ обычно доверяют:

Ваш компьютер доверяет DO_NOT_TRUST_FiddlerRoot сертификат, потому что он был установлен в хранилище сертификатов вашей операционной системы.

Прокси для перехвата HTTPS

Вы указали, что HTTPS работает правильно в Mozilla Firefox, который можно настроить на использование собственных независимых правил прокси, а не правил прокси операционной системы. Google Chrome использует прокси операционной системы без простой опции, чтобы сделать иначе.

Проходя через прокси на уровне операционной системы Fiddler, Fiddler теперь может быть MitM для захвата незашифрованных HTTPS-данных, пока он обслуживает сайт. Fiddler получает некоторую веб-страницу, а затем подписывает ее как "www.google.com", используя сертификат, которому доверяли ранее, DO_NOT_TRUST_FiddlerRoot,

При таких обстоятельствах вредоносная программа может захватить как прокси, так и сертификат, чтобы сообщить вам неправильный сайт, но при этом показать вам , Я вижу, что это ведет к сложным фишинговым атакам.

Проблемы безопасности

^{_{Связано с обменом стеками безопасности: какие угрозы безопасности представляют поставщики программного обеспечения, развертывающие протокол SSL с перехватом прокси на рабочих столах пользователей}}

Как однажды написал Эрик Лоуренс,

Возможности перехвата HTTPS в Fiddler (справедливо) вызывают удивление у пользователей, которые заботятся о безопасности.

Вот почему Fiddler предупреждает о последствиях для безопасности перехвата HTTPS-трафика:

Из-за ошибки пользователя или установки вредоносного ПО Fiddler был связан с различными проблемами:

• Fiddler показывает туннелирование на неизвестные IP-адреса
• обнаружил кучу личных сертификатов DO_NOT_TRUST_FiddlerRoot, установленных в моей системе
• Я не знаю как, но у меня есть Fiddler на моем компьютере (я не одобрил установку)
• Оповещение о сертификате Thunderbird продолжает появляться
• Настройки прокси ПК переопределяются

Хотя сама Fiddler не является вредоносной программой, ее неправильное использование и недоразумения привели к тому, что в прошлом плохая репутация и вирусы притворялись Fiddler.

Удаление

Я не знаю, был ли ваш компьютер скомпрометирован каким-либо угонщиком Fiddler, но вы указали, что у вас нет времени, чтобы стереть компьютер и переустановить его, так что, надеюсь, следующие шаги помогут избавиться от Fiddler и восстановить правильное безопасное веб-поведение. (Я бы все же рекомендовал переустановить и сменить ваши пароли после этого, особенно если вы серьезно относитесь к безопасности. Вы писали, что Spybot - Search & Destroy обнаружил какое-то вредоносное ПО.)

Предисловие: отменить настройку Fiddler

Оригинальный постер обнаружил эти дополнительные шаги, чтобы решить его проблему с Fiddler:

В конечном итоге, что это было исправлено: Настройки -> Показать дополнительные настройки -> В сети -> Изменить настройки прокси -> Дополнительно -> Сбросить

а также

Также в настройках Fiddler я отключил опции, позволяющие расшифровывать трафик HTTPS перед удалением и повторной очисткой сертификатов.

Удалить корневой сертификат (ы) Fiddler

1. Нажмите Win + R
2. Открыто: certmgr.msc
3. Просмотрите все папки и удалите DO_NOT_TRUST_FiddlerRoot сертификат.

Удалить Fiddler

1. Перейдите в Панель управления "Программы" Программы и компоненты.
2. Удалить Fiddler. Один источник говорит, что Fiddler может называться "FiddlerRoot" или "BrowserSafeguard".

Очистить настройки прокси

Предполагая, что вы обычно не используете другой прокси…

1. Зайдите в Панель управления "Свойства обозревателя.
2. В свойствах Интернета перейдите на вкладку "Подключения".
3. В разделе "Настройки локальной сети (ЛВС)" нажмите "Настройки ЛВС".
4. Очистите и снимите флажки с настройками прокси-сервера следующим образом:

Удалить вредоносные программы

Как предлагалось ранее для Super User, вы должны попытаться найти и удалить исходное вредоносное ПО, отображающее измененные веб-страницы HTTPS.

Подробный совет:
Как удалить со своего компьютера вредоносные шпионские, вредоносные, рекламные программы, вирусы, трояны или руткиты?