Chrome 会发送奇怪的 DNS 请求到 2345、hao123、baidu 和 sogou

[hhacker]

每过 1 分钟的样子，Chrome 就会发送一个 DNS 请求，同时请求：

1. www.baidu.com
2. www.2345.com
3. www.hao123.com
4. www.sogou.com

Chrome 版本号为 81.0.4044.92 Chrome 的这个操作是正常的吗？仔细检查了一下电脑，应该是没有中流氓软件 /病毒的。

https://i.imgur.com/PUhGY8B.png

[yulihao]

@hhacker 目测是内核劫持，可以 PCHunter 查一下

[hhacker]

@1462326016 未安装搜狗输入法
@Les1ie 火绒剑和 procmon 都分析过 dns 请求前后的日志 未见异常（如果不是隐藏得太好，那就是没有后续操作，但是单一请求个 dns 有啥用捏）
@yulihao 已经火绒剑看过了

[hhacker]

@doveyoung winsock 的确是重灾区，但是这里没有异常注入

[realpg]

装个 360 扫一遍 狗头

[Cursor1st]

试试，备份插件和书签后，清空 chrome 。甚至重装 chrome 试试？
先排除其本身的原因。

[littleylv]

好奇，等结果

[Itwillbeok]

持续关注。另，这个 chrome，是原版 chrome 么？

[redsonic]

先判断是不是 chrome 自己发出的。

新开进程观察
chrome://net-internals/#dns
chrome://net-internals/#sockets

也可以记录 log
chrome://net-export

[hhacker]

@Itwillbeok 原版 chrome v 81.0.4044.92

[hhacker]

@Cursor1st chrome 已彻底卸载并重装过

[hhacker]

@redsonic
The net-internals events viewer and related functionality has been removed.
我用 chrome://net-export 记录 log 试试

[augustheart]

1.查看计划任务
2.查看当前运行的进程（以及它们的模块），尝试关闭那些有问题的。

既然改名能解决，绝对是有东西在查找 chrome.exe 。
在内核中的可能性不高。基本上就是在 r3 层。现在的系统进内核要签名的，拿个签名做坏事划不来。
至于杀毒软件的结果不要完全相信，我亲眼见到它和我电脑里面的挖矿病毒谈笑风生。

[hhacker]

@redsonic net-export 分析过了，没有相应的访问和 DNS 请求，应该可以排除 chrome 了，我也仔细对比过 chrome 的签名和 checksum，是没有问题的

[ddup]

hosts 里面 把这些域名全部指向 0.0.0.0

[songpengf117]

判断联网状态？

[hhacker]

@augustheart
1. 计划任务排查过无异常
2. 已经关掉了所有明面上打开的 exe，最奇怪的是没有实际的网页请求，我多观察一段时间看看

[hhacker]

@songpengf117 你是指 chrome 用这些网站的 DNS 来判断联网状态？这个能否从 chrome 的源码里查到？

[littleylv]

楼主看看能不能从这个地方入手找找相似点：

[hhacker]

@littleylv chrome 的这里有百度、搜狗、360，默认是 google，这些都是安装的时候自己带的

[jerrytom0007]

最近安装了某讯手游模拟器，发现 edge 首页添加了百度，默认搜索劫持到百度，搜索框有 tn=的推广信息。手动修复后再次运行该模拟器可重现。最后卸载解决。