Como a infecção por adware funciona no Firefox e como se livrar dela? [duplicado]

Question

Nas últimas semanas, aconteceu o seguinte, usando o Windows 8.1 e o Firefox V44. Os únicos complementos ativos são Adblock Plus, Flashblock e Norton Identity Safe:

• Primeiro, o Norton Internet Security (que me garante que tudo está verde e cheio de segurança em termos de segurança) me alerta que há uma grande quantidade de tráfego de saída detectado. Ele me pergunta se eu quero executar o Power Eraser. Eu fiz isso duas vezes. A contribuição total da Power Eraser para a proteção e a segurança é colocar a calcinha em uma reviravolta sobre a antiga ferramenta Office.exe (que sobrou do Office 2000, que eu permiti remover) e a configuração do Registro que permite que os perfis sejam carregados no Powershell . Eu não me incomodei em usá-lo novamente desde então.
• Edit: Como um irritante à parte eu tentei executar uma varredura completa com o Norton, mas se recusou a. Eu selecionei Full Scan, selecionei Go, e nada aconteceu. Nem pude mencionar suas opções. No final, executei o diagnóstico do Norton e descobri que ele recomendava a reinstalação da coisa. Ótimo, ele me mostra oceanos de verde "All OK Here", e nem sabia que não estava funcionando corretamente.
• De repente, o Firefox começará a me alertar que algum número obsceno de janelas pop-up foi bloqueado.
• Alguns ainda vão se esgueirar, normalmente me alertando (com detalhes da minha conexão de rede) que eu "tenho janelas pop-up ativadas!" e que eu deveria contatar pessoas que me "ajudarão" com isso. Outros são, supostamente, pesquisas de site do site em que estou estranhamente, todos parecem iguais, mesmo quando se relacionam com sites completamente diferentes.

Isto parece ser uma ordem de magnitude pior quando se olha para um site específico; smh.com.au.

Eu suspeito, mas não estou certo, que os pop-ups que passam por aqui tenham algo a ver com este elemento Flash apontando para //partners.cmptch dot com que se introduziu na página:

Aolongodapágina,descobriquecertaspalavrassetornaramclicáveis,sempre"acionadas pelo DNS Unlocker", assim:

Freqüentemente,onavegadorlamberáexecutandoscriptsapontandoparaaAkamai:

Oquesesegueé,emdetalhe,apartedaminhaperguntaqueédiferentede"Como posso remover spyware, malware, adware, vírus, trojans ou rootkits maliciosos do meu PC?" um.

Aqui está a parte ridícula. Alguém, em algum lugar, deve saber como esta coisa está fazendo o que faz. Mas não consigo encontrar essa informação. Toda pesquisa na web produz links sobre como "consertar" o adware. Invariavelmente, estes acabam sendo links para baixar "O Melhor Software Anti-Adware do Mundo, Nunca!" que magicamente vai consertar isso para você. Nas ocasiões em que há uma chamada correção "manual", isso envolve remover as entradas do mecanismo de pesquisa (das quais não tenho nenhuma não padronizada) ou a home page (que ainda está definida como padrão do Firefox) ou redefinir o navegador ( o que eu já fiz, definindo o Firefox de volta para seus padrões de fábrica antes de adicionar de volta os dois add-ons mencionados acima.)

Em desespero, finalmente sucumbi à utilização de uma ferramenta anti-adware, recomendada por várias revistas de informática; AdwCleaner v5.032.

Foi o que aconteceu:

***** [ Files ] *****

[-] File Deleted : C:\WINDOWS\SysWOW64\vers

...
***** [ Registry ] *****

[-] Key Deleted : HKLM\SOFTWARE\Classes\AppID\BHO.DLL
[-] Key Deleted : HKLM\SOFTWARE\Classes\.bdcm
[-] Key Deleted : HKLM\SOFTWARE\Classes\.bdcr

E o resultado disso? Absolutamente nada, assim que abri o Firefox e voltei para o site da SMH, todo o negócio começou de novo.

Então, em desespero, agora estou aqui esperando que alguém cujo conhecimento de servidores e navegadores e HTML e tal seja muito maior do que o meu possa me dar alguma ideia de como isso está acontecendo, e o que eu posso fazer para colocar uma estaca de madeira em seu coração de uma vez por todas.

Para ficar completamente claro ... Um link é inserido no texto do corpo de uma página web ... Como? Um componente Flash é inserido em tal página (assumindo que é isso que está acontecendo aqui) ... como? Um script que pode não ser parte do conteúdo real da página é executado ... como? Em resumo, qual é o mecanismo pelo qual essas infecções ocorrem? É certo que não é apenas o desperdício de protoplasmas que espalham vírus que conhecem esse tipo de coisa. As pessoas que combatem esses vírus devem ter se esforçado para entender os mecanismos e, portanto, como se defender contra eles e derrotá-los também.

    

Answer 1

Seus registros do AdwCleaner indicam que você tinha algo chamado BHO.DLL. Uma pesquisa rápida para BHO.DLL indica que BHO.DLL é um spyware .

Se o AdwCleaner não puder removê-lo, eu o trataria com a gravidade de um vírus (não um antigo adware).

Portanto, eu escolheria uma resposta de este wiki da comunidade . Embora eu odeie dizer isso, a melhor resposta provável é restaurar as janelas.