Деякі зловмисні програми, ймовірно, представляли себе Fiddler , як вказував оригінальний розробник Fiddler Ерік Лоуренс :
Різні фрагменти зловмисного програмного забезпечення перевіряють, чи використовується Fiddler, і якщо так, вони перестають робити свої шкідливі дії, щоб спробувати приховати свої дії.
( джерело )
Fiddler - це інструмент налагодження веб-сторінок. Він не має жодної шкідливої поведінки, і він ніколи не встановлюється, якщо ви особисто не встановите його за допомогою інсталятора, завантаженого з Telerik. Описаний тут сценарій - це зловмисне програмне забезпечення, яке намагається уникнути виявлення, роблячи себе схожим на Fiddler.
( джерело )
Поведінка
Найясніша ознака зловмисного програмного забезпечення полягає в тому, що Google Chrome не завантажує веб-сайти HTTPS за призначенням, якщо ви не використовуєте Fiddler для збору трафіку. Fiddler не розроблений для того, щоб перешкоджати нормальному перегляду веб-сторінок, коли він не використовується.
Для того, щоб зловмисне програмне забезпечення приховувало себе, йому потрібно викрасти проксі-сервер Fiddler і відмовитись від трафіку HTTPS за допомогою приватного ключа сертифіката Fiddler. Це тривіально змінити налаштування проксі - сервера , і можна отримати копію секретного ключа при інсталяції Скрипаль .
Кореневий сертифікат
Вам довелося Fiddler встановити на свій комп’ютер кореневий сертифікат, який дозволяє йому вставляти себе як людина-посередині (MitM) для контролю вмісту даних, що надсилається через HTTPS:
Навпаки, ось яким чином зазвичай довіряють https://www.google.com/ :
Ваш комп'ютер довіряє DO_NOT_TRUST_FiddlerRootсертифікату, оскільки він був встановлений у сховищі сертифікатів вашої операційної системи.
Проксі для перехоплення HTTPS
Ви вказали, що HTTPS належним чином поводиться на Mozilla Firefox, який може бути налаштований на використання власних незалежних правил проксі, а не правил проксі операційної системи. Google Chrome використовує проксі-операційну систему без легкого варіанту, якщо це зробити інакше.
Проходячи через проксі-сервер на рівні операційної системи Fiddler, Fiddler тепер може бути MitM для зйомки незашифрованих даних HTTPS, поки він обслуговує сайт. Скрипаль витягує деякі веб - сторінки, а потім підписує його як «www.google.com» з використанням сертифіката , який був довіреною раніше DO_NOT_TRUST_FiddlerRoot.
За цих обставин зловмисне програмне забезпечення може приймати як проксі, так і сертифікат, щоб подати вам неправильний сайт, поки він показує вам 
. Я бачу, що це призводить до складних фішинг-атак.
Проблеми безпеки
Пов’язано з обміном стека безпеки: Які ризики для безпеки створюють постачальники програмного забезпечення, що застосовують проксі-сервер перехоплення SSL на робочих столах користувачів
Як писав колись Ерік Лоуренс ,
Можливості перехоплення HTTPS від Fiddler (справедливо) піднімають брови серед користувачів, які усвідомлюють безпеку.
Ось чому Fiddler попереджає про наслідки для безпеки перехоплення HTTPS-трафіку:
Помилка користувача або встановлення зловмисного програмного забезпечення Fiddler були пов'язані з різними проблемами:
Хоча сам Фіддлер не є шкідливою програмою, його неправильне використання та непорозуміння призвели до поганої репутації та вірусів, що претендують на Фіддлера .
Видалення
Я не знаю, чи ваш комп’ютер зламав якийсь викрадач Fiddler, але ви вказали, що у вас немає часу, щоб стерти комп'ютер та перевстановити, тож сподіваємось, що наступними кроками можна позбутися Fiddler та відновити належну безпечну поведінку в Інтернеті. (Я все-таки рекомендую після цього перевстановити та змінити ваші паролі, особливо якщо ви серйозно ставитесь до безпеки. Ви писали, що Spybot - Search & Destroy знайшов деяку шкідливу програму.)
Передмова: Де-налаштування Fiddler
Оригінальний плакат виявив ці додаткові кроки, щоб вирішити його проблему з Fiddler:
Зрештою, що було виправлено: Налаштування -> Показати розширені налаштування -> Під мережею -> Змінити налаштування проксі -> Додатково -> Скинути
і
Також у налаштуваннях Fiddler я відключив параметри, що дозволяють йому розшифрувати трафік HTTPS перед видаленням та повторним очищенням сертифікатів.
Видалити кореневі сертифікати Fiddler
- Натисніть Win+r
- Відчинено:
certmgr.msc
- Перегляньте всі папки та вийміть
DO_NOT_TRUST_FiddlerRootсертифікат.
Видаліть Fiddler
- Перейдіть до Панелі управління »Програми» Програми та функції.
- Видаліть Fiddler. Одне джерело говорить, що Fiddler може називатися "FiddlerRoot" або "BrowserSafeguard".
Очистити налаштування проксі
Якщо припустити, що ви зазвичай не використовуєте інший проксі ...
- Перейдіть до Панелі управління »Параметри Інтернету.
- У розділі "Властивості Інтернету" перейдіть на вкладку "З'єднання".
- У розділі "Налаштування локальної мережі (LAN)" натисніть "Налаштування локальної мережі".
- Очистіть та зніміть прапорці з налаштувань проксі-сервера так:
Видаліть зловмисне програмне забезпечення
Як було запропоновано раніше на Super User , вам слід спробувати знайти та видалити оригінальну шкідливу програму, яка відображала змінені веб-сторінки HTTPS.
Детальна порада:
Як я можу видалити з мого ПК шкідливе шпигунське програмне забезпечення, зловмисне програмне забезпечення, рекламне програмне забезпечення, віруси, трояни чи руткіти?
