Parece que he sido infectado por malware. Específicamente, de vez en cuando (generalmente una vez cada pocos días) me redirigen a una página que me pide que descargue algo, generalmente una "nueva versión de Flash". Presumiblemente, no es nada de eso, pero en realidad es un virus o un troyano de algún tipo.
Estoy usando google-chromela versión 30.0.1599.114 en Debian Linux y estoy bastante seguro de que esto se debe a una extensión. Sé que podría simplemente desinstalar mis extensiones o eliminar mi ~/.config/google-chromecarpeta, pero preferiría no hacerlo. Me gustaría identificar la extensión que causa esto y eliminar solo eso.
Al intentar depurar esto (gracias @Braiam), revisé el registrador de eventos chrome://net-internals/#eventsy busqué una de las URL a las que soy redirigido:
Los contenidos del chrome://net-internals/#eventsson:
122667: URL_REQUEST
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.358
t=1393864121358 [st= 0] +REQUEST_ALIVE [dt=334]
t=1393864121359 [st= 1] +URL_REQUEST_START_JOB [dt=332]
--> load_flags = 134349184 (ENABLE_LOAD_TIMING | ENABLE_UPLOAD_PROGRESS | MAYBE_USER_GESTURE | VERIFY_EV_CERT)
--> method = "GET"
--> priority = 2
--> url = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121359 [st= 1] HTTP_CACHE_GET_BACKEND [dt=0]
t=1393864121359 [st= 1] HTTP_CACHE_OPEN_ENTRY [dt=0]
--> net_error = -2 (ERR_FAILED)
t=1393864121359 [st= 1] HTTP_CACHE_CREATE_ENTRY [dt=0]
t=1393864121359 [st= 1] HTTP_CACHE_ADD_TO_ENTRY [dt=0]
t=1393864121359 [st= 1] +HTTP_STREAM_REQUEST [dt=1]
t=1393864121360 [st= 2] HTTP_STREAM_REQUEST_BOUND_TO_JOB
--> source_dependency = 122670 (HTTP_STREAM_JOB)
t=1393864121360 [st= 2] -HTTP_STREAM_REQUEST
t=1393864121360 [st= 2] +HTTP_TRANSACTION_SEND_REQUEST [dt=0]
t=1393864121360 [st= 2] HTTP_TRANSACTION_SEND_REQUEST_HEADERS
--> GET /p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980 HTTP/1.1
Host: cdn.adnxs.com
Connection: keep-alive
User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/30.0.1599.114 Safari/537.36
Accept: */*
DNT: 1
Referer: http://ib.adnxs.com/tt?id=2301980&cb=1393864120&referrer=http://fra1.ib.adnxs.com/if?enc=gbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.&pubclick=http://fra1.ib.adnxs.com/click?XkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA./cnd%3D!8gXSNwiT18QBEIujlwYY0cEVIAA./referrer%3Dhttp://www.imgclck.com/serve/imgclck.php/clickenc%3Dhttp://optimized-by.rubiconproject.com/t/9164/15602/101258-2.3581666.3755480?url%3D&cnd=%218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.&ccd=%21vwV6NgiCtsABEL3CkgYYt5YRIAA.&udj=uf%28%27a%27%2C+279660%2C+1393864119%29%3Buf%28%27c%27%2C+3152642%2C+1393864119%29%3Buf%28%27r%27%2C+12886333%2C+1393864119%29%3B&vpid=77&apid=189016&referrer=http%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php&media_subtypes=1&ct=0&dlo=1&pubclick=http://fra1.ib.adnxs.com/click?AAAAAAAAAAAAAAAAAAAAALTIdr6fGus_AAAAAAAAAAAAAAAAAAAAAA-Oj4oIzbJcljpJTzhxcH-4rRRTAAAAANYjIwB6AgAAEAkAAAIAAAAfKcUAD5wFAAAAAQBVU0QAVVNEANgCWgCqqwAAtdQAAQUCAQIAAIwA6xZV3wAAAAA./cnd=%21GgafOwjH0sYBEJ_SlAYYj7gWIAE./referrer=http%3A%2F%2Ffra1.ib.adnxs.com%2Fif%3Fenc%3DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%26pubclick%3Dhttp%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%2Fcnd%253D%218gXSNwiT18QBEIujlwYY0cEVIAA.%2Freferrer%253Dhttp%3A%2F%2Fwww.imgclck.com%2Fserve%2Fimgclck.php%2Fclickenc%253Dhttp%3A%2F%2Foptimized-by.rubiconproject.com%2Ft%2F9164%2F15602%2F101258-2.3581666.3755480%3Furl%253D%26cnd%3D%25218yV7-QiCtsABEL3CkgYYACC3lhEwADj8xRpAAEjQBlCS_YsBWABgngZoAHAMeIABgAEMiAGAAZABAZgBAaABAagBA7ABALkBGWjVpdTIaD_BARlo1aXUyGg_yQFwmqHGvyLwP9kBAAAAAAAA8D_gAQA.%26ccd%3D%2521vwV6NgiCtsABEL3CkgYYt5YRIAA.%26udj%3Duf%2528%2527a%2527%252C%2B279660%252C%2B1393864119%2529%253Buf%2528%2527c%2527%252C%2B3152642%252C%2B1393864119%2529%253Buf%2528%2527r%2527%252C%2B12886333%252C%2B1393864119%2529%253B%26vpid%3D77%26apid%3D189016%26referrer%3Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%26media_subtypes%3D1%26ct%3D0%26dlo%3D1/clickenc=
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8,fr;q=0.6
Cookie: __gads=ID=386c1f6bc0285adb:T=1390666421:S=ALNI_MZXJdGrAsWELFKRsS7QcqnPTkuaMw; uuid2=9182964126870747798; sess=1; icu=ChIIr54TEAYYASAAKAEwu8_EmAUKEgiCyRUQBhgDIAAoAzDGkb-XBQoSCKraFRAGGAEgACgBMIyKv5cFChII5I8WEAYYASAAKAEw0szplwUKEgjXlhYQBhgCIAAoAjDFvM2YBQoSCP7-CBAKGAUgBSgFMMjU0pgFChIIpogJEAoYByAHKAcwqtXSmAUKEgiDtwoQChgdIB0oHTCx29KYBQoSCNuECxAKGAUgBSgFMPbX0pgFChII0aELEAoYASABKAEwuc3SmAUKEgjLzwsQChgBIAEoATDrzNKYBQoSCK7fCxAKGAEgASgBMJfH0pgFChII0eQLEAoYASABKAEw5czSmAUKEgi78AsQChgHIAcoBzDwyNKYBQoSCL_yCxAKGAEgASgBMKzV0pgFChIIkoAMEAoYAiACKAIwrdvSmAUKEgi3hQ0QChgBIAEoATCv1dKYBQoSCMWnDhAKGAcgBygHMOzY0pgFChII_KcOEAoYBSAFKAUwisHSmAUKEgiIqA4QChgEIAQoBDCr1dKYBQoSCJ7pDhAKGAUgBSgFMMnK0pgFChII3ukOEAoYICAgKCAwuNvSmAUKEgi0hw8QChgBIAEoATC2ydKYBQoSCOeVDxAKGAUgBSgFMMnK0pgFChII_J4PEAoYASABKAEwrtvSmAUKEgi_lxAQChgDIAMoAzC8zdKYBQoSCNCkEBAKGAIgAigCML3N0pgFChII6acQEAoYBiAGKAYw5dfSmAUKEgjpsRAQChgGIAYoBjCv1dKYBQoSCMy5EBAKGAEgASgBMO3U0pgFChII1uoQEAoYASABKAEwstXSmAUKEgipghEQChgIIAgoCDCJy9KYBQoSCIaeERAKGAQgBCgEMOzY0pgFChIIh54REAoYAyADKAMw79jSmAUKEgjJpREQChgBIAEoATCbytKYBQoSCI-yERAKGAEgASgBMInL0pgFChIIqbcREAoYAiACKAIwisvSmAUKEgievhEQChgBIAEoATCtw9KYBQoSCP7GERAKGAYgBigGMNzT0pgFChIIofMREAoYAyADKAMwttHSmAUKEgjK-xEQChgCIAIoAjCx1dKYBQoSCJ6BEhAKGBsgGygbMNvX0pgFChII9ogSEAoYBiAGKAYw18rSmAUKEgjvmRIQChgDIAMoAzDP2dKYBQoSCI2qEhAKGAQgBCgEMLXJ0pgFChIInLASEAoYAiACKAIw0srSmAUKEgjXsRIQChgCIAIoAjDYytKYBQoSCKO0EhAKGAMgAygDMKjV0pgFChIIvrQSEAoYByAHKAcw19jSmAUKEgjFthIQChgCIAIoAjD0zNKYBQoSCLHAEhAKGAEgASgBMKDE0pgFChIIqswSEAoYASABKAEwzsrSmAUKEgiv0hIQChgDIAMoAzCPwdKYBQoSCOTYEhAKGAEgASgBMLTV0pgFChIIrNkSEAoYByAHKAcw7MLSmAUKEgj-2xIQChgDIAMoAzCx1dKYBQoSCInfEhAKGAIgAigCMMDN0pgFChIIxuASEAoYByAHKAcw3dnSmAUKFQj14BIQChjIASDIASjIATC429KYBQoSCPfgEhAKGAEgASgBMMDN0pgFChII9-ISEAoYBCAEKAQw5djSmAUKEgjw5BIQChgDIAMoAzD4wdKYBQoSCJXqEhAKGAMgAygDMI3F0pgFChII6uwSEAoYAiACKAIwpNLSmAUKEgjB8BIQChgGIAYoBjC_zdKYBQoSCOTyEhAKGAIgAigCMPXM0pgFChII5fISEAoYAyADKAMw-czSmAUKEgiG8xIQChgHIAcoBzDQ2dKYBQoSCIuJExAKGBMgEygTMMTW0pgFChIIoIwTEAoYBSAFKAUw7dTSmAUKEgjDohMQChgBIAEoATC21dKYBQoSCI-wExAKGAUgBSgFMLrN0pgFChIIxLATEAoYBiAGKAYwqtXSmAUKEgjIsBMQChgDIAMoAzDzzNKYBQoSCLyyExAKGAQgBCgEMOnL0pgFChIIvrITEAoYASABKAEw2cnSmAUKEgj6shMQChgBIAEoATDbx9KYBQoSCMi2ExAKGAEgASgBMNnG0pgFChII5bgTEAoYAiACKAIwhNfSmAUKEgiXuRMQChgEIAQoBDDU2NKYBQoSCIq-ExAKGAYgBigGMMfC0pgFChIInsITEAoYASABKAEw2cbSmAUKEgibxRMQChgGIAYoBjCE0dKYBQoSCP_FExAKGAIgAigCMOjM0pgFChIIkcYTEAoYBCAEKAQwz8fSmAUKEgi3xhMQChgBIAEoATCfydKYBQoSCOvGExAKGAEgASgBMLjb0pgFChIIx8gTEAoYBCAEKAQw6NTSmAUKEgiFyhMQChgBIAEoATDTzNKYBQoSCI_KExAKGAIgAigCMMbU0pgFChIIu9ETEAoYAyADKAMw2sfSmAUKEgjr2BMQChgCIAIoAjC21dKYBQoSCIbbExAKGAIgAigCMLnb0pgFChIIzuUTEAoYASABKAEw8MzSmAUKEgj76RMQChgCIAIoAjCqydKYBQoSCIHrExAKGAEgASgBMKrJ0pgFELnb0pgFGNYE; anj=dTM7k!M4.g1IKw2hK`RZ[+9f#Abz#5Z8>#V-^@!KG9XLO4442ch)Pc]jvxZ!#GhOwx*meAdp/D)elWNRR%-I!MOpSn=J+VCrW%0=hj]Bz32M!LSOQ5gll*LP_br1!?zqWv$YT0!S8!Ssqbx<[gw>6wFG2.OXE$1'cEc8BdiTCWLi:P+XwDKQDr`LmI$bR^3u%?co]YbrY[FD44<J(CU/Gn<5H=tP`n<jx[Cz6px:fcFXbqHccp2?vY*$/m>4GqE.2:v`'pIRgJ@wKuwpOTY'2wRpvC`e.1o[gHdch:d8Ly_dx!x3SeM0^!qrZIi%XQ$0pC/UUYEnNS-^j>32us+UP1VB_*ML]?KovH`x8g7%)dRu@#?pr+Lx<$9w@Af%inZIpkFAP#Y`t[+c'OBbc?!FUlhh4fF<-9S<1`W1<W3_z!``x7Jhjeh
t=1393864121360 [st= 2] -HTTP_TRANSACTION_SEND_REQUEST
t=1393864121360 [st= 2] +HTTP_TRANSACTION_READ_HEADERS [dt=330]
t=1393864121360 [st= 2] HTTP_STREAM_PARSER_READ_HEADERS [dt=330]
t=1393864121690 [st=332] HTTP_TRANSACTION_READ_RESPONSE_HEADERS
--> HTTP/1.1 200 OK
Server: Apache
ETag: "d932a372371bd0a47ba7e2a73649a8d0:1393776550"
Last-Modified: Sun, 02 Mar 2014 16:09:10 GMT
Accept-Ranges: bytes
Content-Length: 5255
Content-Type: application/x-shockwave-flash
Date: Mon, 03 Mar 2014 16:28:41 GMT
Connection: keep-alive
t=1393864121690 [st=332] -HTTP_TRANSACTION_READ_HEADERS
t=1393864121690 [st=332] HTTP_CACHE_WRITE_INFO [dt=0]
t=1393864121690 [st=332] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121690 [st=332] HTTP_CACHE_WRITE_INFO [dt=0]
t=1393864121691 [st=333] -URL_REQUEST_START_JOB
t=1393864121691 [st=333] HTTP_TRANSACTION_READ_BODY [dt=0]
t=1393864121691 [st=333] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121691 [st=333] HTTP_TRANSACTION_READ_BODY [dt=1]
t=1393864121692 [st=334] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121692 [st=334] HTTP_TRANSACTION_READ_BODY [dt=0]
t=1393864121692 [st=334] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121692 [st=334] HTTP_TRANSACTION_READ_BODY [dt=0]
t=1393864121692 [st=334] HTTP_CACHE_WRITE_DATA [dt=0]
t=1393864121692 [st=334] -REQUEST_ALIVE
Y de URL_REQUEST:
122669: DISK_CACHE_ENTRY
http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980
Start Time: 2014-03-03 17:28:41.359
t=1393864121359 [st= 0] +DISK_CACHE_ENTRY_IMPL [dt=350]
--> created = true
--> key = "http://cdn.adnxs.com/p/d9/32/a3/72/d932a372371bd0a47ba7e2a73649a8d0.swf?clickTag=http%3A%2F%2Ffra1.ib.adnxs.com%2Fclick%3FSRPvAE9aoD_c-TxO6i6ZP-kmMQisHO4_3Pk8TuoumT9JE-8AT1qgP3vmRkLiiPF6ljpJTzhxcH-5rRRTAAAAABwgIwByBwAAPwEAAAIAAADRAMMAVqgFAAAAAQBVU0QAVVNEANgCWgDHsgAAFIsAAQUCAQIAAIwAeiTtsAAAAAA.%2Fcnd%3D%2521NgbzOgjzkMEBENGBjAYY1tAWIAA.%2Freferrer%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fif%253Fenc%253DgbdAguLHaD8eqb7zixJkP_LSTWIQWOk_Hqm-84sSZD-At0CC4sdoP2mCZbZYUNUFljpJTzhxcH-3rRRTAAAAAJL-IgB2AgAAUAMAAAIAAAA9ocQAN0sEAAAAAQBVU0QAVVNEANgCWgD8ogAA58sAAgUCAQIAAIwA9idtvAAAAAA.%2Fclickenc%3Dhttp%253A%252F%252Ffra1.ib.adnxs.com%252Fclick%253FXkiHhzB-Wj-D_TJz3IRWP3E9CtejcNU_g_0yc9yEVj9eSIeHMH5aP_ygL0YyHDQoljpJTzhxcH-2rRRTAAAAAEJLIQBJAQAAVwMAAAIAAACL0cUA0WAFAAAAAQBVU0QAVVNEANgCWgDQMgAAUdQDAQUCAQIAAIwA3yN4YgAAAAA.%252Fcnd%253D%25218gXSNwiT18QBEIujlwYY0cEVIAA.%252Freferrer%253Dhttp%253A%252F%252Fwww.imgclck.com%252Fserve%252Fimgclck.php%252Fclickenc%253Dhttp%253A%252F%252Foptimized-by.rubiconproject.com%252Ft%252F9164%252F15602%252F101258-2.3581666.3755480%253Furl%253Dhttp%25253A%25252F%25252Fwww.downloadchop.com%25252Fgo%25252Flightspark%25253Fsource%25253Dybrant_lightspark-fr%252526adprovider%25253Dybrant%252526ce_cid%25253Dfra1CJb1pPqEp5y4fxACGPvMm5KknOL4eiINODIuMjI5LjIyLjE2NigBMLnb0pgF%252526subid%25253D2301980"
t=1393864121690 [st=331] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 304
--> index = 0
--> offset = 0
--> truncate = true
t=1393864121690 [st=331] -ENTRY_WRITE_DATA
--> bytes_copied = 304
t=1393864121690 [st=331] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 0
--> index = 1
--> offset = 0
--> truncate = true
t=1393864121690 [st=331] -ENTRY_WRITE_DATA
--> bytes_copied = 0
t=1393864121690 [st=331] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 0
--> index = 2
--> offset = 0
--> truncate = true
t=1393864121690 [st=331] -ENTRY_WRITE_DATA
--> bytes_copied = 0
t=1393864121691 [st=332] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 2612
--> index = 1
--> offset = 0
--> truncate = true
t=1393864121691 [st=332] -ENTRY_WRITE_DATA
--> bytes_copied = 2612
t=1393864121692 [st=333] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 1448
--> index = 1
--> offset = 2612
--> truncate = true
t=1393864121692 [st=333] -ENTRY_WRITE_DATA
--> bytes_copied = 1448
t=1393864121692 [st=333] +ENTRY_WRITE_DATA [dt=0]
--> buf_len = 1195
--> index = 1
--> offset = 4060
--> truncate = true
t=1393864121692 [st=333] -ENTRY_WRITE_DATA
--> bytes_copied = 1195
t=1393864121693 [st=334] ENTRY_CLOSE
t=1393864121709 [st=350] -DISK_CACHE_ENTRY_IMPL
Al escanear el archivo DISK_CACHE_ENTRYse muestra que está limpio:
$ sudo clamscan -r .config/google-chrome/
[...]
Known viruses: 3138491
Engine version: 0.97.8
Scanned directories: 543
Scanned files: 1511
Infected files: 0
Data scanned: 70.93 MB
Data read: 135.29 MB (ratio 0.52:1)
Time: 22.528 sec (0 m 22 s)
Las páginas servidas suelen estar (quizás siempre, no estoy seguro) en el xxx.adnx.comdominio (la xxxparte varía). La búsqueda de esa cadena en el google-chromedirectorio devuelve:
$ grep -lR adnx .config/google-chrome/
.config/google-chrome/Default/Preferences
.config/google-chrome/Default/History Provider Cache
.config/google-chrome/Default/Cookies
.config/google-chrome/Default/Current Tabs
.config/google-chrome/Default/History
.config/google-chrome/Default/Archived History
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/#cdn.adnxs.com/settings.sol
.config/google-chrome/Default/Pepper Data/Shockwave Flash/WritableRoot/#SharedObjects/Y255TG9H/macromedia.com/support/flashplayer/sys/settings.sol
.config/google-chrome/Default/Favicons-journal
.config/google-chrome/Default/Preferences~
.config/google-chrome/Default/Favicons
.config/google-chrome/Default/Cookies-journal
Mis complementos instalados siguen. Estos son de la tienda de complementos de Chrome:
"View Vote totals" without 1000 rep
AutoReviewComments 1.3.0
Chat Reply Helper for Stack Exchange sites 2.4.0
Close Tabs 1.1
Desktop Notifications for Stack Exchange 1.6.5.1
Docs PDF/PowerPoint Viewer (by Google) 3.10
Edit with Emacs 1.13
Hangout Chat Notifications 2.0.0
IE Tab 6.1.21.1
KBD Button for Stack Exchange sites 0.2.0
Sexy Undo Close Tab 7.4.13
Smooth Gestures 0.17.14
SmoothGestures: Plugin 0.9.1
Yet another flags 0.9.10.0
Estos son deApilar aplicaciones:
Dude, where's my cursor 1.0
SE Comment Link Helper 1.0
Super User Automatic Corrector 1.0
threading-comments 1.0
stackexchange-tab-editing 1.0
Complementos instalados:
¿Cómo puedo usar esta (o cualquier otra) información para identificar qué complemento está causando esto?
Respuesta1
No estoy seguro de si este es el caso en su problema particular, pero ha habido situaciones en las que se vendieron extensiones buenas conocidas a terceros que luego cooptan la extensión para fines nefastos. Aquí hay una de esas historias que analiza esto:Las extensiones de Google Chrome se venden a empresas de publicidad maliciosa.
extracto
Ron Amadeo de Ars Technica escribió recientementeun artículosobre proveedores de adware que compran extensiones de Chrome para colocar actualizaciones maliciosas con publicidad.
Google Chrome tiene actualizaciones automáticas para garantizar que los usuarios siempre utilicen las últimas actualizaciones. Evidentemente, Google Chrome lo actualiza directamente Google. Sin embargo, este proceso de actualización incluye en consecuencia las extensiones de Chrome. Los propietarios de las extensiones actualizan las extensiones de Chrome y corresponde al usuario determinar si el propietario de la extensión es confiable o no.
Cuando los usuarios descargan una extensión, le dan permiso al propietario de la extensión para enviar código nuevo a su navegador en cualquier momento.
Lo que inevitablemente ha sucedido es que los proveedores de adware están comprando las extensiones y, por lo tanto, los usuarios, a los autores de las extensiones. Estos proveedores están enviando software publicitario a todos los usuarios de la extensión, lo que puede generar una experiencia de navegación peligrosa.
Un autor de una extensión de Google diosu cuenta personalde esto en la publicación de su blog titulada "Vendí una extensión de Chrome pero fue una mala decisión".
Mi consejo sería tomarse esta situación muy en serio y desactivar las extensiones de las que no esté seguro. Luego monitorearía la situación para ver si disminuye o continúa.
Si continúa, profundizaría más y comenzaría a examinar los servidores DNS que está utilizando. normalmente usoOpenDNSPrecisamente por esta razón, ya que este servicio (gratuito) intenta frustrar los vectores de ataque redirigiendo las búsquedas de DNS a páginas OpenDNS alternativas.
¿Por qué preocuparse por el DNS?
Los servidores DNS OpenDNS aumentarán intencionalmente los resultados que devuelven cuando realiza una búsqueda si se sabe que un nombre de host está afiliado a actividades relacionadas con spam, piratería informática o phishing. Se encuentran en una posición única ya que realizan búsquedas en cada sitio al que visitan sus clientes, por lo que pueden detectar anomalías, como se muestra aquí:ABRE PROTECCIÓN CONTRA PHISHING, así comoaquí.
¿Qué otra cosa?
También me aseguraría de que su /etc/hostsarchivo no se haya visto comprometido y continuaría monitoreando la situación usando algo como nethog, que mostrará qué procesos están accediendo a su red.
Amit Agarwal creó una extensión Feedly para Chrome en menos de una hora y, sin saberlo, la vendió a un proveedor de Adware por una oferta de 4 cifras. La extensión tenía más de 30.000 usuarios en Chrome en el momento de la venta. Los nuevos propietarios impulsaron una actualización de la tienda Chrome, que inyectó adware y enlaces de afiliados en la experiencia de navegación de los usuarios. Si bien esta extensión se eliminó debido a la publicidad que generó la arrepentida confesión de Agarwal, este es un evento muy común en las extensiones de Chrome.
Respuesta2
Echa un vistazo a las reseñas de la extensión.Gestos suaves(enlace directo).
Si ordenas las reseñas por fecha (haciendo clic enReciente), verá que casi todas las reseñas nuevas tienen una calificación de una estrella y se quejan de anuncios engañosos:
Kevin LeeHace 1 día
Vendido a una empresa externa que agrega anuncios y una función de pago para eliminar anuncios.
Suresh NageswaranHace 3 días
Odio los anuncios. Funcionó bien hasta que empezó a inyectar anuncios en mi experiencia de navegación. Habría pagado por seguir usándolo, pero me sentía muy convencido de su astucia. Límites del software espía.
John SmithHace 6 días
No uses esto. Está inyectando JS para hacer clic en cosas y causa problemas de seguridad XSS con https.
Tomas Hlavacek23 de febrero de 2014
Absoluta mierda... ¿Recuerdas el incidente con la URL no autorizada furtivamente? Luego comenzaron a obligar a los usuarios a "donar" o a mostrar anuncios. Incluso empezó a retrasarse en ciertas páginas (lo que no era el caso antes de todas esas "mejoras"). Así que me cambié a CrxMouse y estoy bien.
kyle barr19 de febrero de 2014
Es una extensión sólida de gestos del mouse, pero los nuevos anuncios son una adición horrible. Primero, porque la extensión se actualiza y agrega anuncios silenciosamente, por lo que no sabes de dónde vienen. Aquí estoy escaneando mi computadora con múltiples escáneres de malware porque recibo anuncios aleatorios, hasta que me doy cuenta de que son Smooth Gestures los que los insertan.
Ya no hay una buena razón para usar esta extensión y, personalmente, me gustaría saber quién desarrolla esta extensión para asegurarme de no instalar nada de ellos en el futuro.
Parece que ese es el culpable.
Respuesta3
Además de las respuestas aquí, encontré algunos recursos más útiles.
este howtogeekartículorecomienda un programa llamadoViolinistaque actúa como un proxy de depuración web, lo que le permite examinar las solicitudes de red (hay un alfaversión de Linux). @slm me señalóesta respuestaen SO que también tiene varios programas similares.
El modo de desarrollador en
chrome://extensionsla página de Chrome le permite verificar cada extensión en busca de procesos que se ejecutan en segundo plano:
Al hacer clic en
background.htmlse abre la ventana de herramientas de desarrollador de Chrome, que le permite consultar fácilmente las fuentes de los diversos scripts que contiene la extensión. En este caso, noté una carpeta llamadasupporten el árbol de fuentes de Sexy Undo Close Tab que contenía un script llamadobackground.jsque parecía sospechoso (estaba generando intervalos de tiempo aleatorios que se ajustan a mis síntomas).Este otro howtogeekartículotiene una lista de extensiones conocidas que se deben evitar, pero aún mejor eshttp://www.extensiondefender.comque parece ser una base de datos de extensiones maliciosas generada por el usuario. Sin embargo, no especifican cómo o por qué una extensión en particular ha sido etiquetada como software malicioso o addware, por lo que quizás deba tomarse con cautela.
Las personas detrás de extensiondefender.com (quienquiera que sean) también han desarrollado una pequeña extensión muy interesante llamada (redoble de tambores).Defensor de extensión. Esto le permite escanear sus extensiones existentes en busca de extensiones conocidas como "malas" y también bloquea la instalación de extensiones incluidas en la lista negra.
Entonces, de las extensiones en mi OP, ambasGestos suaves(gracias @Dennis) ySexy Deshacer Cerrar Pestañason complementos. Según el código fuente del support/background.jsarchivo de este último, estoy bastante seguro de que fue uno el que secuestró aleatoriamente mi página actual, pero le daré unos días para estar seguro.
Otra extensión útil esNotificador de actualización de extensiones(gracias@Dennis) que aparentemente le permite saber cada vez que se ha actualizado una extensión, lo que podría ayudar a identificar al culpable en caso de que una actualización agregue este tipo de comportamiento.
Respuesta4
Un buen lugar para comenzar es con la extensión de Chrome "shield for chrome". Ayudará a descubrir extensiones con problemas CONOCIDOS. Está disponible en Chrome Web Store, es gratuito, ligero y realmente fácil de usar. https://chrome.google.com/webstore/detail/shield-for-chrome/cbaffjopmgmcijlkoafmgnaiciogpdel
O "Defensor de la extensión". https://chrome.google.com/webstore/detail/extension-defender/lkakdehcmmnojcdalpkfgmhphnicaonm?hl=en