Hallo. Hab das Problem, dass wieder random, beim Klick auf ein google Suchergebnis, einer dieser o.g. Spamlinks aufgepopt ist. Diesmal war es aber reproduzierbar.
Kann man davon ausgehen, dass das am Webserver der Seite lag, und eine Infiltration des eigenen, vorsichtig behandelten PCs ausschließen kann? Wenn ja, wie? Virustotal den Link geben? Kaspersky wurde deinstalled, lief besser danach, FF neu aufgesetzt. Profil neu in FF geladen hab ich und benutze eig nur uBlock und java.
Windows läuft seit je her im Benutzer, nicht als Admin...

Klicken auf

hxxp://www.lautsprecher.org/sony-x33/

ergab:

hxxp://best6196.bumblbee78.agency/1676428758/?t=main9_89c40a3c21991b6e2a3b&u=d29pte4&o=vxzkpbg&f=1

(in google)

Zitat von hurius

Hallo. Hab das Problem, dass wieder random, beim Klick auf ein google Suchergebnis, einer dieser o.g. Spamlinks aufgepopt ist. Diesmal war es aber reproduzierbar.

Beim ersten Versuch erschien bei mir auch der o.g. Spamlink. Bei folgenden gleichen Versuchen nicht.
bumblbee78.agency ist eine anonym registrierte Domain. Die IP kommt von der Ukraine

Was hast du als Suchbegriff eingegeben?

hey Danke, für den Hinweis.

Ich kann es momentan nicht mehr so gut rekonstruieren, da firefox-chronik die ergebnisse nach dem erneuten aufruf wieder oben positioniert. Aber ich glaube ich hab

sony srs x3

oder

sony x33

gesucht. Jedenfalls so, dass der erstgenannte Link von Lautpsrecher org erschien,

und dann raufgeklickt... kam wieder die Spamseite.

Vorher (vor 2-3 Wochen) genannt: habe ich nach

knorkator mohr

gegooglet und dann auf der knorkatorseite slash mohralbum ~~(ungefähr)
kam auch die spamseite.

heute nicht mehr übrigens.

Und wenn ich jetzt nochmal probiere, auf die lautsprecher url zu klicken..... testweise......
(

hxxp://www.lautsprecher.org/sony-x33/

)
was ich soeben getan hatte, da erscheint es ebenfalls nicht mehr.

Muss dazu sagen, ich hab das vorhin noch als betrügerische Website gemeldet.

Wie kann es sein, dass ein random klick in google auf normale URLs diese Spamseiten aufruft?

Kann es mit einem versteckten/oder ungefährlich erscheinenden Plugin zusammen hängen bzw addon? Da habe ich eigentlich nur ein paar skins, den µ-blocker und

OpenH264-Videocodec zur Verfügung gestellt von Cisco Systems, Inc.

und

Widevine Content Decryption Module zur Verfügung gestellt von Google Inc.

.
nicht lokal gesehen würde es bedeuten, dass die Server der HP alle verseucht wären, oder google-server an sich vllt. weiter komme ich geistig da nicht hinter her.

ps:
malwarebytes findet nix lokal


edit:

grade googled ich "knorkator mohr"
auf der knorkator seite / we want mohr album

hxxts://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=12&cad=rja&uact=8&ved=2ahUKEwi50PDQxOPhAhVSzaQKHYYoDpEQFjALegQIBBAB&url=http%3A%2F%2Fwww.knorkator.de%2Fwe-want-mohr-album%2F&usg=AOvVaw3YBQdWX2u3-UBzBf9P3-FX

<-- Link direkt in google markiert und kopiert. Zeigt aber knorkator.de slash we want mohr album an


kam plötzlich auch wieder der spamlink

hxxtp://prize1816.bestlifehere25.life/8871275885/?t=main9_fe6bb70cfe6b272a6e6a&u=d29pte4&o=vxzkpbg&f=1

also jetzt ist es wieder auf der alten seite, bei der es zuerst erschienen ist.

google server verseucht??? XD

nochmal EDITH:
Hab java script über den µblock mal deaktiviert gerade und schwupps.
kann ich auf google suchergebnisse klicken - wie das oben genannte, und es erscheint der angegebene link, also das album

Hört sich so an, als ob sich da etwas in den Firefox einklinkt. Bist du mal deine installierten Programme durchgegangen? Kann gut sein, dass du etwas installiert hast (irgendeine Freeware), die den Browser manipuliert. Dann nutzt eine Neuinstallation des Browsers auch nicht. Du mußt das Programm finden und deinstallieren.
Evtl. meldest du das Problem doch besser im "Plagegeister"-Thread.

Besonders verdächtig finde ich diese Einträge aus dem FRST-Protokoll:

"FF ExtraCheck: C:\Program Files\mozilla firefox\defaults\pref\kl_prefs_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.js [2018-12-01] <==== ACHTUNG (Zeigt auf eine *.cfg Datei)
FF ExtraCheck: C:\Program Files\mozilla firefox\kl_config_62fbb8f7_c917_4cf7_957a_aad2b8fa768c.cfg [2018-12-01] <==== ACHTUNG"

"S3 HWiNFO; C:\Users\Administrator\AppData\Local\Temp\HWiNFO64A.SYS [65320 2019-02-16] (Martin Malik - REALiX -> REALiX(tm)) <==== ACHTUNG"