Browser Suche infiltriert

[Avenger84]

Ein Kollege hat in beiden Browsern (Chrome und Edge) eine merkwürdige Suchmaschine: wenn ich im Browser was eingebe zur Suche (statt URL) kommt im Bruchteil einer Sekunde folgendes:
1. search-redirect.com/search?key=...
2. pdf2docs.com/transfer?gd=...
3. de.search.yahoo.com/yhs/search?p=suche%....

Hab ich noch nie gesehen bisher.

Es ist Google als Suchmaschine in beiden eingestellt, sowie keine Erweiterungen installiert.

Habt ihr einen heißen Tipp wie ich den Mist identifiziere und entferne?
Der Windoof Defender findet nichts.

Ich habe ein komisches Programm unter "Programme deinstallieren" gefunden, was sich natürlich nicht deinstallieren lässt.

Der Kollege sagt natürlich er habe nichts runtergeladen oder installiert 😑 🫣 ist klar.

 

[madmax2010]

Der Kollege sagt natürlich er habe nichts runtergeladen oder installiert 😑 🫣 ist klar.

reicht schon auf einen popup alles akzeptieren zu klicken.

Ich habe ein komisches Programm unter "Programme deinstallieren" gefunden, was sich natürlich nicht deinstallieren lässt.

Ist das der name des Programms?

probier mal den ADW cleaner aus
https://www.malwarebytes.com/adwcleaner

aber ey.. wenn schon solche websites so aussehen, wundert es mich nicht, dass leute auf scam und schadsoftware reinfallen. Da wird trainiert, genau die richtigen Antipattern zu akzeptieren

 

[Mr. Poe]

Mal im chrome oder ff die addons angeschaut ob da was dubioses dabei ist?

 

[purzelbär]

Scanne mit Malwarebytes Free und danach mir Adwcleaner und lass deren Funde von denen löschen. Ist der Browser danach sauber, uBlolck Origin installieren für alle deine Browser und mach eine Sicherung deines Browser Profils mit zum Beispiel Hekasoft Backup & Restore.

 

[blablub1212]

Hier gibt es für Chrome und Edge eine mögliche Lösung: https://www.reddit.com/r/techsuppor..._browser_hijacker_on_chrome_but_cant_get_rid/

 

[Avenger84]

Scanne mit Malwarebytes Free und danach mir Adwcleaner

Hab´s umgekehrt gemacht: Adwcleaner hat 1 unerwünschtes Programm gefunden, danach keine Besserung. Malwarebytes Free 149 -> danach ging die Suche wieder.

 

[PC295]

Malwarebytes Free 149 -> danach ging die Suche wieder.

Was wurde denn wo gefunden?
Das Log findest du in Malwarebytes unter Erkennungsverlauf -> Verlauf
Dort kannst du dir den Bericht über das Download-Symbol als .txt speichern und hier anfügen.

 

[Avenger84]

habs nicht hinbekommen als .txt

für den Tipp ist es leider zu spät:

1. Gehe zu chrome://settings/searchEngines
2. Scrolle nach unten zum Abschnitt "Site-Suche".
3. Für Zeilen mit einem Stift-Symbol rechts klicke auf die drei Punkte und wähle "Löschen". Auch für Dinge, die wie "Google" oder ähnliches aussehen. Wenn du wirklich sehen möchtest, was sie getan haben, klicke auf das Stift-Symbol und sieh dir die URL an, die im dritten Textfeld steht. Sie wird wahrscheinlich mit etwas wie "search-great" beginnen, wenn sie kompromittiert wurde.

 

[purzelbär]

Wenn dein Browser jetzt wieder sauber ist, hoffentlich bist du jetzt so schlau und nutzt uBlock Origin, passt besser auf mit Installern und hoffentlich machst du Backups deines Browser Profils und idealerweise auch von deinem Windows.

 

[Avenger84]

es ist nicht mein Browser gewesen, und nein der Kollege wird wahrscheinlich nicht besser aufpassen

 

[purzelbär]

Da kann man nur den Kopf schütteln und ich frage mich, warum du überhaupt für ihn hier Hilfe suchst und in solchen Fällen gehört euch auch nicht geholfen wenn man nix annimmt. Kannst ihm das gerne ausrichten.

 

[Avenger84]

ich hab pdf2docs.com im Pihole auf die rote Liste getan noch mal kann er es nicht installieren.
Sieht ja auch sehr seriös aus auf den ersten Blick.

 

[1lluminate23]

149 Funde? Und die Kiste läuft noch? Ich würde den komplett neu aufsetzen, da du dir nicht sicher sein kannst, dass noch Rückstände vorhanden sind

 

[purzelbär]

Mach dir da mal keine falschen Hoffnungen, der Kumpel des TE scheint lernressistent zu sein, solchen gehört keine Hilfe angeboten. Schau doch was der TE in Posting 10 geschrieben hat, das sagt mir schon alles.

 

[Avenger84]

Zwar anderes Thema aber was ich nicht verstehe: ich habe 1,6Mio Domains blockiert im Pihole mit den Listen:

https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts      
https://v.firebog.net/hosts/Prigent-Malware.txt      
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/Phishing-Angriffe      
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/malware      
https://small.oisd.nl/      
https://adguardteam.github.io/AdGuardSDNSFilter/Filters/filter.txt      
https://phishing.army/download/phishing_army_blocklist.txt      
https://urlhaus.abuse.ch/downloads/hostfile/

Die blockieren mir z.B. legitime Dienste wie sumup (Zahlungen) oder dynv6.net (Dyn. DNS Dienst) - aber unerwünschte (virenartige) Software wie das o.g. pdf2docs.com nicht.
Muss ich nicht verstehen.

Achja uBlock habe ich beim Kollegen auch noch installiert.

 

[Ranayna]

Schau mal ob im Browser DNS over HTTPS (DoH) aktiviert ist.
Wenn ja, kann dein PiHole nichts ausrichten.

Dann werden die im System hinterlegten DNS Server erstens ignoriert, und zweitens ist der DNS Traffic dann verschluesselt und kann nicht mehr von PiHole abgefangen werden.

 

[Avenger84]

das ist natürlich deaktiviert

 

[qiller]

 

[Avenger84]

@qiller was nutzt du für Listen oder woher kommt das?
Edit: scheint ipfire zu sein, eine eigene Firewall

 

[qiller]

scheint ipfire zu sein, eine eigene Firewall

So ist es. Die Meldung kommt vom Webproxy, wenn man gesperrte Webseiten unverschlüsselt (http) aufruft. Mit https gibts dann nur ein Timeout und einen Eintrag in den Logs der FW. Ich habs nur gepostet, weil man schön sieht, dass die IPFire Blocklisten die Domain pdf2docs.com auch als Malware einstufen.