Как перехватывается HTTP трафик в рамках web-сайтов?
Например мегафон билайн и Ростелеком вставляют свой баннер. По факту этим занимается железка dpi , конечно не только этим. Физически на уровне L7 osi работает парсер который вставляет свои данные. Впрочем dpi работает и на более низких уровнях и может менять пакеты. Как сделано смотрите устройство ipchains и руководств типа transparent proxy
Как злоумышленник я могу:
1. Внедрить зловреда тебе на машину
2. Хакнуть твой роутер
3. Если ты в локальной сети, могу слушать твой трафик на пути к шлюзу
4. Если ты через Wi-Fi это сделать ещё проще
5. Прислать тебе фишинговую ссылку
6. Перехват можно осуществить на провайдере
...
ещё 100500 способов
Пакет от твоей машины до веб-сервера может проходить через десятки соединений и на каждом звене в этой цепочке можно перехватить / перенаправить / видоизменить незашифрованный трафик.

P.S. Правда, если зловред на твоей машине, то уже поздно пить боржоми.