Как вручную удалить шпионский модуль из браузера Chrome
Шпионский модуль в Chrome может маскироваться под утилиту, переводчик или расширение для загрузки файлов. Он способен собирать сведения о посещённых сайтах и вводимых формах, подменять поиск по умолчанию, показывать навязчивые уведомления и перенаправлять на рекламные или фишинговые страницы. Опасность часто выдают незнакомые разрешения, подозрительная активность в профиле и внезапные изменения настроек браузера.
Обычная переустановка Chrome не всегда решает проблему: вредоносное расширение может восстановиться из синхронизации, управляющих политик или локальных компонентов. Если вредоносный код уже запускается в системе, очистка одного профиля также не гарантирует безопасность. Поэтому очистку Chrome выполняют вручную, последовательно проверяя расширения, настройки, файлы профиля и компьютер.
До начала работы отключите синхронизацию и не открывайте банковские кабинеты, почту и панели администраторов с заражённого устройства. Важные пароли лучше сменить с другого, заведомо чистого компьютера. Не переносите из подозрительного профиля сохранённые пароли, историю или разрешения: вредоносный код может скрываться в самом профиле или связанных с ним службах.
Самостоятельная очистка требует обычной резервной копии важных данных и времени на последовательную проверку. Все внутренние адреса Chrome открываются вручную в адресной строке; удалять файлы профиля следует только после полного закрытия браузера и проверки того, что расширение действительно вредоносное.
Определите источник подозрений
Откройте chrome://extensions и включите режим разработчика. Просмотрите не только названия расширений, но и их идентификаторы, источник установки, дату добавления и запрашиваемые доступы. Особое внимание заслуживают запросы к данным всех сайтов, загрузкам, буферу обмена, прокси и обмену сообщениями с системой. Такие права нужны некоторым полезным программам, поэтому оценивайте расширение целиком, а не по одному пункту.
Сравните список с расширениями на чистом компьютере и на телефоне. Посмотрите также chrome://policy: страница покажет правила, которые могут принудительно устанавливать расширения, менять прокси или блокировать отдельные параметры. Источник правил помогает понять, принадлежит ли настройка самому пользователю или её навязала программа, установленная в системе.
Отдельно проверьте историю загрузок и посторонние программы. Всплывающие окна, уведомления о выигрыше, смена домашней страницы, новый поисковик или запросы на включение уведомлений указывают на вмешательство. Обычная проверка антивирусом полезна, но расширение с доступом к страницам способно собирать данные при работающем браузере, поэтому безопасность оценивают по нескольким признакам сразу.
Отключите и удалите вредоносные расширения
Перед удалением откройте настройки синхронизации и временно отключите её. Если вход в учётную запись вызывает сомнения, не вводите пароль до очистки другого устройства. После этого вернитесь на chrome://extensions, найдите подозрительное расширение и нажмите «Удалить». Подтверждение обычно появляется в небольшом окне; закрытие страницы без подтверждения не удаляет программу.
Не забудьте проверить другие профили и устройства, где использовалась одна учётная запись. Расширение из магазина Chrome может вернуться при синхронизации, а установленное через политику — после перезапуска браузера. Если кнопка удаления отсутствует или появляется сообщение о запрете, сначала разберитесь с управляющей политикой и только затем удаляйте программу.
Для полной очистки закройте все окна Chrome и проверьте завершение фоновых процессов. Откройте chrome://version и найдите строку «Путь». В каталоге пользовательских данных удалите только папку с идентификатором подтверждённого вредоносного расширения из каталога Extensions. Например, на Windows путь может выглядеть как %LOCALAPPDATA%\Google\Chrome\User Data\Default\Extensions. Не удаляйте целиком папку пользовательских данных: вместе с расширением исчезнут закладки, авторизация и сохранённые настройки.
Проверьте настройки браузера
Откройте chrome://settings/search и chrome://settings/onStartup. Удалите неизвестные поисковики, проверьте домашнюю страницу и параметры запуска, затем назначьте привычные значения. Если браузер постоянно открывает рекламный сайт, не нажимайте предложенную кнопку «Исправить»: сначала удалите расширение, которое могло изменить настройки.
Проверьте разрешения на chrome://settings/content/permissions. Удалите сайты с доступом к камере, микрофону, местоположению, уведомлениям и другим устройствам, если вы их не узнаёте. Одновременно откройте настройки данных сайтов и удалите неизвестные записи. Сканирование веб-страницы на фишинг может отличаться от проверки разрешений, поэтому оба параметра нужно осмотреть самостоятельно.
После удаления расширений можно очистить кэш и cookies через chrome://settings/clearBrowserData. При подозрении на кражу данных также удалите сохранённые пароли, но не вводите их заново на заражённом компьютере. В chrome://settings/reset доступна функция восстановления стандартных настроек. Она не удаляет вредоносные расширения и не заменяет антивирусную проверку, поэтому используйте её лишь как дополнительный шаг.
Очистите профили и локальные компоненты
В chrome://version проверьте, какой профиль активен, и обратите внимание на его каталог. На macOS расширения обычно находятся в ~/Library/Application Support/Google/Chrome/Default/Extensions, на Linux — в ~/.config/google-chrome/Default/Extensions. Удаляйте остатки только после удаления расширения через интерфейс. Очистка cookies и кэша допустима, а вот полное удаление профиля затронет авторизацию, пароли и историю.
Расширение может запускать вспомогательную программу через Native Messaging. Проверьте каталоги NativeMessagingHosts внутри пользовательских данных Chrome и соответствующие записи в реестре Windows: HKCU\Software\Google\Chrome\NativeMessagingHosts и HKLM\Software\Google\Chrome\NativeMessagingHosts. На macOS и Linux также осмотрите политики управления Chrome. Удаляйте только компоненты, связанные с подтверждённым вредоносным расширением; неизвестные записи сначала покажите администратору.
При проверке загрузок не открывайте исполняемые файлы и скрипты из архивов, даже если у них знакомая иконка. Если файл оказался обычной фотографией, используйте сжатие изображений, чтобы уменьшить его размер перед просмотром. Такая обработка упрощает проверку содержимого, но не заменяет антивирусное сканирование и не делает неизвестный код безопасным.
Проверьте компьютер и синхронизацию
Обновите Windows и запустите проверку Microsoft Defender в автономном режиме, после неё выполните полное сканирование. Удалите найденные угрозы и проверьте автозагрузку. На macOS осмотрите профили конфигурации, фоновые элементы и запущенные процессы, а на Linux — элементы автозапуска и задания cron. Сопоставляйте найденное с программами, которые вы действительно устанавливали.
С чистого устройства смените пароли от почты, банковских сервисов, WordPress и других важных сайтов. Включите двухфакторную аутентификацию и завершите активные сессии. Если вредоносное расширение получило данные формы, смена пароля блокирует прежний доступ, но не отменяет восстановление учётной записи и проверку устройства.
Синхронизацию включайте только после очистки и обновления браузера. Сначала восстановите необходимые закладки, затем разрешённые расширения и историю. Не импортируйте прежний файл профиля целиком: это может вернуть лишние разрешения, настройки и следы вмешательства. После каждого восстановления проверяйте chrome://extensions и chrome://policy, чтобы вредоносный модуль не появился снова.
Закрепите результат и действуйте
Если похищенный модуль использовался для доступа к WordPress, сначала завершите активные сеансы и включите двухфакторную аутентификацию. Если пароль администратора утрачен, выполняйте восстановление пароля WordPress на чистом устройстве. Затем проверьте установленные плагины и темы, файлы пользователей, запланированные задания и журналы хостинга: смена пароля сама по себе не устраняет сохранённый на сервере код.
Убедитесь, что подозрительное расширение отсутствует на chrome://extensions, чужих политик нет на chrome://policy, а уведомления не появляются без разрешения. Обновите Chrome до актуальной версии, перезапустите компьютер и проверьте обычную работу с сайтами. Если признаки вмешательства сохраняются на чистом устройстве, значит заражение связано с операционной системой, а не только с профилем браузера.
Начните прямо сейчас с chrome://extensions: отключите синхронизацию, удалите незнакомые расширения и проверьте chrome://policy. Завершите очистку с чистого устройства, восстановите только нужные данные и не возвращайте старый профиль целиком. Если браузер снова меняет поиск, открывает рекламные страницы или запрашивает разрешения без причины, повторите проверку политик, расширений и автозагрузки.
