疑似被植入挖矿程序

昨天下午开始突然变得很卡，查了以下发现浏览器一直有异常流量，流量地址指向的似乎是一个虚拟货币网站。

禁用所有扩展也一样，安全模式启动也会有这个现象，不知道有没有什么排查头绪

QR Code（生成器和读取器） - Chrome 应用商店
detail/hkojjajclkgeijhcmfjcjkddfjpaimek
另外，在排查禁用扩展的时候，有遇到一次重启浏览器之后自动弹出这个二维码扩展视频的现象，且该扩展应该是没有发生问题之前我就已经禁用掉了，但是这次禁用掉全部扩展之后它却自己启用了并且弹出了视频，但是按道理来说一个扩展应该没有这个权限才对，而且安全模式下也有异常流量问题。只要打开浏览器就有这个现象不用开任何网站，浏览器自己的任务管理器内看不到任何异常流量信息

Admin

这个似乎不是挖矿，是IObit Advanced SystemCare的服务器

Admin

游客 112.97.52.x 发表于 2024-9-14 16:51
QR Code（生成器和读取器） - Chrome 应用商店
detail/hkojjajclkgeijhcmfjcjkddfjpaimek
另外，在排查禁用 ...

你登陆账号同步了吗？可能你禁用该扩展这个操作没能同步成功，导致被远程数据给覆盖了

Admin 发表于 2024-9-15 00:52
这个似乎不是挖矿，是IObit Advanced SystemCare的服务器

那这个东西怎么会一直在用浏览器跑流量，而且浏览器里什么也没有开
我找了以下电脑里只有一个iobit unlocker，总之先卸了再说。这个东西图上跑200K是因为我限制了下载速度否则它能把我带宽跑满卡到什么都用不了

另外那个突然弹出来的扩展看表现应该确实是账号同步问题，就是不知道谷歌抽了什么风这玩意应该禁用很久了，以防万一也卸了吧反正也早不用它了

S8F8ry

游客 112.97.52.x 发表于 2024-9-15 02:10
那这个东西怎么会一直在用浏览器跑流量，而且浏览器里什么也没有开
我找了以下电脑里只有一个iobit unloc ...

🤔 既然能够看到进程 ID，那能否在浏览器的任务管理器(按 Shift+Esc 打开)中对应到具体的进程吗？

S8F8ry 发表于 2024-9-15 11:16
🤔 既然能够看到进程 ID，那能否在浏览器的任务管理器(按 Shift+Esc 打开)中对应到具体的进程吗？ ...

今天没有出现了，不知道什么情况，可能真的和iobit那个程序有关吧

狗屎，原来不是没事了，而是它白天不跑，晚上了才跑流量，这玩意显示的进程在浏览器的任务管理器里是Network service，好像网页的流量都从那里走的所以看不出是什么程序

Admin

游客 112.97.52.x 发表于 2024-9-15 14:56
狗屎，原来不是没事了，而是它白天不跑，晚上了才跑流量，这玩意显示的进程在浏览器的任务管理器里是Networ ...

现在访问的还是asc.iobit.com这个域名？可以用Process Explorer看一下浏览器主进程（命令行中没有--type=xxx的那个chrome.exe）中加载了哪些模块

还是那个域名。看了一下好像除了微软家的模块，也就一个小狼毫输入法和一个ExplorerPatcher，ExplorerPatcher是我自己装的，github上最近反馈报毒很多但是暂时没有看到有人有反馈实际异常现象的