[問題] chrome惡意廣告分析問題
小弟是第一次到這版上發問，如有任何不妥務必告知，謝謝
昨天晚上接近凌晨的時候，我突然發現我的chrome會跳要我安裝防毒軟體的提示
我當時沒看清楚，不小心點了確定，然後......我的chrome就會跳應該是壯陽的
廣告出來了
一開始用adblock擋了幾個，但好像沒用會繼續跳QQ
不過因為對我使用電腦沒太大影響，所以我就起了好奇心想要分析看看他的script
到底是從哪裡出問題
不過小弟是web苦手(不論是開發還是CTF都是QQ)，加上周遭好像沒幾個人對這有研
究，所以不知道自己分析的對不對，我只是想找感染的源頭在哪然後把他刪掉這樣
根據上次chrome extensions (反已讀那個)的經驗，我猜這次大概也是對extension
進行感染然後跳廣告
我自己是這樣做的：
因為該廣告貌似不是每次我開網頁都會跳出，應該是有時間間隔的，所以我一直
在Chrome f12裏面刷新頁面，最後在跳出廣告的同時停下：
http://imgur.com/LgYAPXg.jpg
然後在Network下發現奇怪的網頁和js：
http://imgur.com/3FOb6Qz.jpg
如果這是binary，我大概會猜是shellcode XDD，但是js底下實在不知道這些幹嘛
用的，不過底下有wc.src = "https://loading.website/alert_ce.php"
這網頁在Network下也有：
http://imgur.com/jLCSjLK.jpg
跟當初跳出來的訊息一模一樣！
另外發現這段
http://imgur.com/GJdkP2q.jpg
因為沒學過js，我大概猜下是建立一個script，然後設定attribute為src，後面
用+連接字串，串起來剛好是https://b.partner-net.men/......，是跳轉廣告
的網址
後面好像還有設定時間(我不太確定)
其餘還有些哩哩扣扣的js、php，只是太多太雜看起來有點頭昏眼花
好的，重點是我最後找到看似是存惡意廣告js的地方：
1.http://imgur.com/2oaoaKA.jpg
在其中一個content.js下找到應該是呼叫惡意廣告的東西
2.http://imgur.com/rm9SG79.jpg
在旁邊有找到chrome extension的ID(有點小，不過應該看得到八？)，表明該
content.js存在該extension下
這個extension叫web developer，根據我察看的結果而言，只有上半部被安插
惡意腳本，下半看似正常
我的問題是我的以上作法理解哪裡有誤嗎？是否真的只要移除該extension就能
避免惡意廣告跳出？惡意腳本的注入是攻擊者刻意攻擊該extension還是只是剛
好挑中呢(因為目前google好像沒有人有類似的問題......)？
小弟第一次發問，如有需要任何情報我儘量提供，謝謝回答
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.162.6.226
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1501747529.A.0AD.html
→
08/03 16:57, , 1F
08/03 16:57, 1F
AntiVirus 近期熱門文章
PTT數位生活區 即時熱門文章
