La publicité apparaît soudainement au sommet de presque toutes les pages

Depuis ce matin, une publicité étrange apparaît sur plusieurs pages que j'ouvre en navigateur Web (voir la capture d'écran à la fin). Cela se produit dans n'importe quel navigateur (testé FF, IE et Chrome), sur l'une des trois machines de notre ménage, même sur iPhone (peu importe si connecté sur Wi-Fi ou réseau cellulaire [pas vrai à la fin, voir ma réponse ]) . Même sur le système Debian exécuté dans VMWare.

Parfois, les annonces n'apparaissent pas dans Firefox, mais apparaissent dans IE. Parfois, ils n'apparaissent pas sur iPhone lorsqu'ils sont connectés sur un téléphone cellulaire, mais apparaissent lorsqu'ils sont connectés sur Wi-Fi. Mais surtout, ils apparaissent dans tous les cas. Sur certaines pages, le problème corrompt un rendu de page.

La publicité est identique dans tous les cas. Les mêmes bannières d'arborescence, à l'exception de la bannière Amazon modifiant le produit. Sur iPhone, la bannière Amazon ne se charge pas. Sur certaines pages, l'ensemble des annonces répète deux fois ou plus.

Quelques pages du problème se produit avec:

Superuser.com (tout site SE)
Instagram.com
Pinterest.com
Ask.com (les annonces apparaissent deux fois)
Bbc.com

Ne se passe pas sur:

Google.com
Linkedin.com
Youtube.com
Cnn.com
Microsoft.com

(Bien que les listes puissent être affectées par un composant aléatoire du problème).

Les annonces sont générées par code HTML injecté juste après une <body> ouverture. Le code n'est pas présent dans le HTML lui-même. Mais je peux le voir lors de l'inspection de la page dans les outils du développeur du navigateur (par exemple, l'outil Inspector dans Firefox), il est donc probablement généré par certains JavaScript. Le code est joint à la fin de cette publication. Une fois la page effectuée, le navigateur commence à se connecter au 85.25.138.211.

Je n'ai pas de plugins indésirables dans le (s) navigateur (s). Je n'ai pas non plus identifié d'adware / malware sur ma (s) machine (s). Je ne m'attendais même pas à cela, car le problème se pose aussi sur iPhone.

Il me semble que j'ai été piraté. Mais je ne peux pas imaginer comment un tel hack fonctionnerait, car cela affecte différents systèmes (Windows, iOS, Debian). J'ai pensé avoir un routeur piraté, mais il ne semble pas aussi probable que le problème persiste même lorsque je déconnecte l'iPhone de la Wi-Fi. J'ai considéré que quelqu'un a exploité un bug dans la bibliothèque JavaScript que toutes les pages affectées partagent. Mais dans ce cas, la question serait répandue, pas seulement à moi. Mais je n'ai pu trouver aucun rapport de ce problème par quelqu'un d'autre [pas vrai à la fin, voir ma réponse ].

Est-ce que quelqu'un a une idée, pourquoi cela se passe-t-il?

Entrez la description de l'image ici

 <body class="user-page new-topbar" lang=""> <div align="center"> <a title="wygladzanie zmarszczek" rel="nofollow" href="http://track.impreskin.pl/product/ImpreSkin/?uid=21002&pid=153&bid=1659"> <img alt="wygladzanie zmarszczek" src="http://track.impreskin.pl/banner/?uid=21002&pid=153&bid=1659"></img> </a> </div> <div align="center"> <iframe width="728" height="90" frameborder="0" style="border:none;" marginwidth="0" border="0" scrolling="no" src="http://rcm-na.amazon-adsystem.com/e/cm?t=hsiang-20&o=1&p=48&l=ur1&category=electronicsrot&f=ifr&linkID=BXR7UA243P4D75JE"> #document <html> <head></head> <body> <div id="wrap"> <object width="728" height="90" align="middle" codebase="https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=6,0,0,0" classid="clsid:d27cdb6e-ae6d-11cf-96b8-444553540000"> <!-- Tags used by MSIE Rendering engine --> <param value="http://ecx.images-amazon.com/images/G/01/associates/2011/ban…vacyTarget=_top&privacyURL=http://www.amazon.com/gp/dra/info" name="movie"></param> <param value="high" name="quality"></param> <param value="transparent" name="wmode"></param> <param value="#FFFFFF" name="bgcolor"></param> <param value="all" name="allowNetworking"></param> <param value="always" name="allowScriptAccess"></param> <!-- Tags used by Mozilla Rendering engine --> <embed width="728" height="90" pluginspage="https://www.macromedia.com/go/getflashplayer" type="application/x-shockwave-flash" allowscriptaccess="always" allownetworking="all" bgcolor="#FFFFFF" wmode="transparent" quality="high" src="http://ecx.images-amazon.com/images/G/01/associates/2011/ban…vacyTarget=_top&privacyURL=http://www.amazon.com/gp/dra/info"></embed> </object> </div> <script></script> </body> </html> <!-- autogen flash template V 0.1311154052 --> </iframe> </div> <div align="center"> <!-- default --> <div id="ca-block-2228" class="ca-block"></div> </div>

Après de nombreux tests, je me suis rendu compte que le problème se produit sur le réseau cellulaire uniquement en raison de la mise en cache. Après avoir effacé un cache ( Clear History and Website Data ) et rafraîchissant, le problème s'est éloigné. Et il a réapparu seulement après la connexion à la Wi-Fi.

Cela a montré que le problème est dû à un routeur compromis, Edimax AR-7265WNB. La réinitialisation du routeur dans les réglages d'usine et la reconfiguration ont corrigé le problème.

Je n'ai pas trouvé la version plus récente du firmware du routeur que celle que j'ai (FwVer: 3.10.16.0_TC3085 HwVer: T14.F7_3.0). Bien que j'ai constaté que le pare-feu sur le routeur était désactivé. En réalité, le routeur se réinitialise il y a quelques semaines. Lors de la reconfiguration, j'ai probablement oublié d'activer le pare-feu (en fait, je m'attends à ce que le pare-feu soit activé par défaut).

Le problème semble présent dans le monde entier (d'autres rapports ici et ici , d'autres ont été supprimés), contrairement à ma demande dans la question. Cela suggérerait l'exploitation à distance de la vulnérabilité d'un routeur (pris en charge par un problème de pare-feu), plutôt que le piratage local en Wi-Fi. Les autres signalent différents types de routeurs ( D-Link DSL-2600U , TP-Link), de sorte que le problème n'est pas spécifique à Edimax.

Les autres rapports mentionnent que les paramètres DNS ou proxy ont été modifiés. Je n'ai pas vérifié cela avant de réinitialiser mon routeur. Mais il est possible que mon routeur ait été modifié de cette façon, car le pare-feu était éteint. De plus, il explique l'injection de code dans n'importe quelle page sans avoir besoin d'un exploit spécifique au routeur. Ainsi, l'attaquant peut explorer Internet pour tous les routeurs non sécurisés et les configure simplement pour pointer vers le proxy de l'attaquant.

J'ai remarqué il y a environ 2 jours que j'avais les mêmes annonces sur plusieurs appareils (ordinateur portable, smartphone Android et Nexus 7). Lorsque je désactive toutes les caches du navigateur et que je me connecte à un réseau cellulaire, les publicités s'arrêtent, mais une fois que je me connecte au wi-fi, elles reviennent.

J'ai fini par changer le serveur DNS sur toutes mes connexions au google 8.8.8.8 et les annonces ont cessé de revenir sur chaque appareil.

Ainsi, le routeur ou le serveur DNS du FAI est compromis est ma meilleure estimation.

Modifier: Identique à Comment puis-je supprimer les annonces indésirables sur les sites?

Vous avez probablement des logiciels espions (très facile à télécharger accidentellement, mais généralement assez facile à enlever, si vous savez quoi faire).

Vous aurez besoin de télécharger un unistaller plus puissant, la désinstallation de Windows ne l'enlèvera pas.

Télécharger IOBitUNinstaller . Maintenant, vous devrez passer par tous les fichiers (sur iobit) et identifier quel programme vous ne reconnaissez pas ou ne semble pas «poisson», une recherche rapide de Google (si elle n'est pas sûre) révélera si son logiciel malveillant.

Vous pouvez également sélectionner la désinstallation par lots (option supérieure droite sur iobit), ce qui vous permet de sélectionner plusieurs programmes à désinstaller – et bien sûr, laissez-le faire une analyse approfondie et supprimer tout ce qu'il trouve.