FireFox - hoe kunnen malafide addons zich installeren?

[Bv202]

Hey,

Ik weet niet zeker waar ik deze vraag moet plaatsen, dus alvast mijn excuses mocht dit verkeerd staan

Ik heb al enkele dagen problemen met Facebook: elke actie die ik doe (pagina laden, chatbericht openen,...) blijft de browser (FF dus, nieuwste versie) een tijdje vasthangen en gaat het CPU-verbruik de hoogte in. Dit deed zich bij geen enkele website voor, behalve Facebook. Bij dit vasthangen kreeg ik ook regelmatig de melding dat een bepaald script nog uitgevoerd werd, waardoor ik vermoedde dat dit wel eens een stuk malware kon zijn.

Vandaag had ik dus wat tijd vrijgemaakt om dit te onderzoeken. Na een heleboel scans die op niets uitdraaiden (zoals Hitman Pro, MBAM, gewone virusscanner, etc.), vond ComboFix de oplossing:

code:

((((((((((((((((((((((((((((((((((   Andere Verwijderingen   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\progra~2\COMMON~1\{F0A37~1
c:\progra~2\COMMON~1\{F0A37~1\Setup.exe
c:\programdata\Roaming
c:\users\Bjorn\AppData\Local\assembly\tmp
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome.manifest
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\asyncDB.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\background.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\browserAction.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\contextMenu.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\dbManager.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\dom_bg.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\fileManager.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\firefox.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\firefoxNotifications.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\firefoxOmnibox.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\message.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\pageAction.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\request.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\tabs.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\api\webRequest.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\background.html
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\baseObject.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\browser.xul
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\console.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\consts.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\delegate.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\extensionDataStore.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\folderIOWrapper.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\httpObserver.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\IDBWrapper.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\installer.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\logFile.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\prefs.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\progressListenerObserver.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\registry.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\reloadObserver.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\reports.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\requestObject.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\searchSettings.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\uninstallObserver.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\updateManager.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\utils.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\core\xhr.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\dialog.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\main.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\options.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\options.xul
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\chrome\content\search_dialog.xul
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\defaults\preferences\prefs.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\manifest.xml
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins.json
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\1_base.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\13_CrossriderAppUtils.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\14_CrossriderUtils.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\16_FFAppAPIWrapper.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\17_jQuery.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\177_crossriderDashboard.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\182_openUrl.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\183_tabsWrapper.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\21_debug.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\22_resources.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\28_initializer.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\4_jquery_1_7_1.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\47_resources_background.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\5_notifications.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\64_appApiMessage.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\7_hooks.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\72_appApiValidation.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\78_CrossriderInfo.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\9_search_engine_hook.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\plugins\98_omniCommands.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\userCode\background.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\extensionData\userCode\extension.js
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\install.rdf
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\locale\en-US\translations.dtd
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\button1.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\button2.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\button3.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\button4.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\button5.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\crossrider_statusbar.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\icon128.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\icon16.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\icon24.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\icon48.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\panelarrow-up.png
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\popup.html
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\skin.css
c:\users\Bjorn\AppData\Roaming\Mozilla\Firefox\Profiles\rbipqdob.default\extensions\[e-mail]\skin\update.css

Eventjes herstart en alles is opgelost. Facebook werkt weer vlotjes

Nu is mijn vraag... hoe kon dit ooit op mijn computer terecht komen? Ik ben de enige gebruiker van dit toestel en ik ben 100% zeker dat ik nooit toestemming heb gegeven voor deze plugin, wat bij FireFox volgens mij een vereiste is. Ook gebruik ik alleen bekende en betrouwbare addons (zoals Adblock Plus), dus is het zeker niet "meegeleverd" met iets anders.

Iemand een idee hoe zo'n plugin/addon toch nog geïnstalleerd kan worden in FireFox zonder toestemming van de gebruiker? Graag wil ik dit in de toekomst voorkomen, want het was echt wel verschrikkelijk irritant

Alvast bedankt!

[Verwijderd]

Misschien toch een keer teveel Ok geklikt. Zie:
https://forums.malwarebytes.org/index.php?showtopic=142859

[ Voor 16% gewijzigd door Verwijderd op 04-03-2014 19:19 ]

[Bv202]

Het probleem doet zich opnieuw voor...

Ik opende een Facebook-groep en alles loopt weer vast... nog maar eens Combofix laten lopen dus...

EDIT:
Combofix vindt deze extension niet meer, dus is deze niet opnieuw geïnstalleerd. Nu werkt Facebook weer normaal (na een reboot), maar ik heb geen idee waar het nog aan kan liggen..

[ Voor 40% gewijzigd door Bv202 op 04-03-2014 19:45 ]

[Tjesus]

In Firefox kan je de optie aanzetten om een waarschuwing te geven wanneer een website een add-on wil installeren.

Deze optie kan je vinden via Options>Security (Ik heb Firefox in het Engels).

Firefox detecteert bij het opstarten ook of er nieuwe add-ons zijn geïnstalleerd door andere programma's.

Naar mijn weten kan je dan ook "geen" extra maatregelen nemen, behalve extra opletten bij het installeren van programma's. (Correct me if I'm wrong)

Verder geeft een snelle search aan dat je waarschijnlijk de Trojan AVKill op je pc hebt.

[Bv202]

Bedankt, maar op basis waarvan heb je deze informatie...? Als ik die Trojan opzoek, vind ik niets terug over Facebook dat vastloopt. Blijkbaar verspreidt het zich wel als Facebook-virus ("See who's viewed your profile"), maar zoiets klik ik nooit aan...

EDIT:
Ik heb aan een moderator gevraagd dit topic te verplaatsen naar "Beveiliging en Virussen", aangezien ik vermoed dat het nu wel daar thuis hoort.

[ Voor 23% gewijzigd door Bv202 op 04-03-2014 20:06 ]

[Verwijderd]

Probeer anders HitmanPro Kickstarter eens.

[ Voor 44% gewijzigd door Verwijderd op 04-03-2014 20:06 ]

[Tjesus]

Bv202 schreef op dinsdag 04 maart 2014 @ 20:04:
Bedankt, maar op basis waarvan heb je deze informatie...? Als ik die Trojan opzoek, vind ik niets terug over Facebook dat vastloopt. Blijkbaar verspreidt het zich wel als Facebook-virus ("See who's viewed your profile"), maar zoiets klik ik nooit aan...

Ik heb het gevonden op basis van jouw logbestand. ([e-mail]).

En verder beschuldig ik je ook niet dat je zoiets hebt aangeklikt.
De infectie van een virus/trojan kan op verschillende manieren gebeuren. (Advertenties, vrienden die ook geïnfecteerd zijn, etc)

[Bv202]

Geen probleem hoor, ik voelde me niet aangevallen ofzo

Maar bedankt, want dit is inderdaad het probleem denk ik. Eerste Google-resultaat bij dat e-mailadres:

CHAT UNDETECTED.DLL is Trojan AVKill

Die addon (Chat Undetected) heb ik dus al maanden geïnstalleerd staan. Vreemd dat ik hier nu pas problemen mee heb.

Ik zal deze meteen verwijderen en kijken of er verbetring is

EDIT:
Chat Undetected had ik dus al verwijderd omdat ik het niet meer gebruikte. Ik vermoed dat die trojan dus nog wel actief is op m'n systeem. Enig idee welke tool deze kan verwijderen?

[ Voor 21% gewijzigd door Bv202 op 04-03-2014 20:15 ]

[Tjesus]

Ik kan helaas niet vinden welke tool hiervoor geschikt. Ik vind alleen instructies hoe je het handmatig verwijderd,

Je zou dus elke instructie moeten uitproberen en daarna opnieuw scannen met ComboFix of welk anti-virus/trojan/adware/spyware programma.

https://www.google.nl/#q=remove+trojan+avkill

[ Voor 17% gewijzigd door Tjesus op 04-03-2014 20:42 ]

[Baserk]

Is het niet meer een PUP/adware dan een trojan?
Zoals al gepost, gebruik HitmanPro Kickstarter, en heb je MBAM in 'Chameleon mode' gedraaid?
Zorg dat 'PUPs' aangevinkt staan om te verwijderen, dan 'Chameleon' kiezen, een van de prog-namen selecteren (Firefox/Chrome/etc) en dan MBAM.exe, tijdelijk genaamd Firefox.exe/Chrome.exe/etc, weer z'n werk laten doen.
Je zou ook Emsisoft Emergency Kit/EEK kunnen proberen als alternatief. link

[LnC]

Download en laat je pc scannen met ADWCleaner en RogueKiller. Grote kans dat je hiermee, naast de andere aanbevolen tools, deze zooi van je pc afkrijgt.