የክፍለ ጊዜ ማስመሰያ ጠለፋ፣ Infostealer ማልዌር እና የአለምአቀፍ ክፍለ ጊዜ መሻር¶

አንድ አጥቂ አሁን ከዩቲዩብ፣ ኢንስታግራም፣ ዲኮርድ ወይም ኤክስ መለያ የለጠፈውን የማስተላለፊያ ህግጋትን በጂሜል ወይም ማይክሮሶፍት 365 የገቢ መልእክት ሳጥን ውስጥ እንደለጠፈ ወይም የኮርፖሬት ደመና ኮንሶልዎን እንደደረሰ ማወቁ በስልክዎ ላይ 2FA ኮድ ወይም የ"አዲስ መግቢያ" ኢሜል ማንቂያ ሳያስነሳ የ*ሴሴሲዮ ኩኪው ኩኪ (ፓኬንሲንግ ኩኪ) ** መረጃ ሰጪ ማልዌር ***። ወደ አንድ ድር ጣቢያ ገብተህ "በመግባት አቆይኝ" ላይ ስታረጋግጥ፣ አገልጋዩ ኢንክሪፕትድ የተደረገ የኤችቲቲፒ ክፍለ ጊዜ ኩኪ ወይም OAuth ተሸካሚ ቶከን (እንደ Google's) ይሰጣል። SID / SAPISID፣ ማይክሮሶፍት ESTSAUTHPERSISTENT፣ ወይም Discord's Authorization token) በድር አሳሽዎ አካባቢያዊ SQLite የውሂብ ጎታ ውስጥ ተከማችቷል።

**Lumma Stealer፣ RedLine፣ Vidar፣ Raccoon፣ StealC፣ RisePro፣ Rhadamanthys እና Atomic MacOS Stealer (AMOS)**ን ጨምሮ የሸቀጥ መረጃ ሰጪ ማልዌር ቤተሰቦች ልክ እንደ ተለምዷዊ ቫይረሶች በኮምፒውተርዎ ላይ አይጠብቁ። ብዙ ጊዜ እንደ የውሸት ጨዋታ ሞድ፣ የተሰነጠቀ ሶፍትዌር ጫኚ፣ የውሸት "ClickFix" PowerShell CAPTCHA መጠየቂያ፣ ወይም የትብብር ፒዲኤፍን ስፖንሰር የሚያደርግ መረጃ ሰጪ በ ከ4 ሰከንድ በታች ውስጥ ይፈጽማል፣ የእርስዎን Chrome፣ Edge፣ Brave ወይም Firefox መፍታት Cookies እና Login Data የመረጃ ቋቶች በማህደረ ትውስታ፣ በዴስክቶፕዎ የምስጢር ኪሪፕቶፕ የኪስ ቦርሳ ፋይሎችን ዚፕ ያደርጋቸዋል፣ ማህደሩን ወደ ቴሌግራም ወይም C2 አገልጋይ ይስቀሉ እና ** እራሱን ይሰርዛል ***። አጥቂው የተሰረቁትን የክፍለ ጊዜ ኩኪዎችዎን ወደ ፀረ-አግኚ አሳሽ ሲያስመጣ (Multilogin, Dolphin{anty}, ወይም Gologin), የድር አገልጋዩ አጥቂው * ቀድሞ የተረጋገጠ ኮምፒውተርህ ነው ብሎ ያስባል፣ ሁለቱንም የይለፍ ቃልህን እና ባለሁለት ደረጃ ማረጋገጫህን ሙሉ በሙሉ በማለፍ።

ይህንን አሁን ያድርጉ¶

1. ** በተበከለው ኮምፒዩተር ላይ የይለፍ ቃሎችህን መቀየር አቁም፣ ወዲያውኑ ፒሲ ወይም ማክን ከዋይ ፋይ ይንቀሉ እና የኢተርኔት ገመዱን ይንቀሉ። የመረጃ ሰጭ ጽናት ጫኚ ወይም መርሐግብር የተያዘለት ተግባር አሁንም በዚያ ማሽን ላይ ንቁ ከሆነ፣ ወዲያውኑ አዲሶቹን የይለፍ ቃሎችዎን እና አዲስ የክፍለ ጊዜ ኩኪዎችን ይይዛል እና ወዲያውኑ ወደ አጥቂው ይልካቸዋል። ከ ** ንጹህ ስማርትፎን (በተንቀሳቃሽ ስልክ ዳታ ወይም ንጹህ ዋይ ፋይ) ወይም የተለየ ያልተነካ ላፕቶፕ** ላይ 100 በመቶ የይለፍ ቃል ለውጦች እና የክፍለ ጊዜ ስረዛዎችን ያድርጉ።
2. የይለፍ ቃል መቀየር ብቻውን ሁልጊዜ የተሰረቁ የክፍለ-ጊዜ ኩኪዎችን ወይም የOAuth ማደስ ማስመሰያዎችን እንደማይሰርዝ ተረድተህ "ከሁሉም ክፍለ ጊዜ ውጣ" የሚለውን ተጫን እና የሶስተኛ ወገን OAuth መተግበሪያዎችን መሻር አለብህ። በተለያዩ መድረኮች (እና በGoogle ሰነድ አልባ MultiLogin / issueToken የOAuth የመጨረሻ ነጥቦች ወይም የረጅም ጊዜ ክፍለ ጊዜ ቶከኖች)፣ በቀላሉ የይለፍ ቃልዎን መቀየር ወይም 2FA ማሽከርከር ከዚህ በታች ባለው ሠንጠረዥ ውስጥ ያሉትን በመድረክ ላይ የተወሰነውን አለምአቀፍ ክፍለ ጊዜ እና ማስመሰያ መሻር እርምጃዎችን እስካልፈጸሙ ድረስ ያሉትን የሁለተኛ ክፍለ ጊዜ ቶከኖች ወይም OAuth ዴስክቶፕ ቶከኖች በሕይወት ሊተዉ ይችላሉ።
3. **የሶፍትዌር ክሪፕቶፕ የኪስ ቦርሳ ኤክስቴንሽን (ሜታማስክ፣ ፋንተም፣ ራቢ፣ ትረስት ዋሌት፣ Coinbase Wallet፣ Exodus, Electrum) በተበከለው ኮምፒውተር ላይ የተጫነ ከሆነ ገንዘቦቻችሁን ወደ አዲስ የሃርድዌር የኪስ ቦርሳ ዘር ሀረግ ለማውጣት አሁኑኑ ንጹህ ስልክ ይጠቀሙ።Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn ለ MetaMask) ከአሳሽዎ የተቀመጡ የይለፍ ቃሎች ጋር። አጥቂው የእርስዎን crypto እስካሁን ባይነካም የቮልት ፋይልዎ በጨለማኔት ገበያ ላይ ተቀምጦ ከመስመር ውጭ የሆነ የጂፒዩ ብስኩት እየጠበቀ ነው። የኛን አስፈጽም። ክሪፕቶፕ የኪስ ቦርሳ ፍሳሽ እና የዘር ሀረግ ስምምነት ወዲያውኑ መመሪያ.
4. ** በመጀመሪያዎቹ 10 ደቂቃዎች ውስጥ የእርስዎን "Apex Identity Accounts" (ዋና ኢሜል፣ የይለፍ ቃል አስተዳዳሪ፣ አፕል/ጉግል መለያ እና የድርጅት ኤስኤስኦ) ደህንነት ይጠብቁ።** በንጹህ ስማርትፎንዎ ላይ ዋና ዋና ** ጎግል / ጂሜይልን ይክፈቱ።myaccount.google.com/device-activity*** እና ** ማይክሮሶፍት (mysignins.microsoft.com*** መጀመሪያ መለያዎች። ሁሉንም የዴስክቶፕ ክፍለ ጊዜዎች ዘግተህ ውጣ፣ ዋናውን የይለፍ ቃል አሽከርክር፣ ** መቼቶች > ማስተላለፍ እና POP/IMAP** እና ማጣሪያዎች/ህጎች በማንኛቸውም የተደበቀ የኢሜል ማስተላለፊያ ህግ አጥቂው ከሌሎች አገልግሎቶች የይለፍ ቃል ዳግም ለማስጀመር ኢሜይሎችን ለመደበቅ የፈጠረውን ለመሰረዝ እና የተመዘገቡ የይለፍ ቃሎችን እና አረጋጋጭ መሳሪያዎችን ተመልከት።
5. ** የዊንዶውስ መዝገብዎን ኦዲት ያድርጉ Run በቅርብ ጊዜ የ"ClickFix" የውሸት CAPTCHA ትእዛዝ ከሮጡ የቁልፍ፣ የተግባር መርሐግብር እና የPowerShell ታሪክ (Win + R -> Ctrl + V)** ዛሬ በጣም በፍጥነት በማደግ ላይ ካሉ የኢንፎስተለር ቬክተሮች አንዱ "ተጫኑ" የሚል ድረ-ገጽ ላይ ያለ የውሸት Cloudflare ወይም Google CAPTCHA ብቅ ባይ ነው። Win + R, ይጫኑ Ctrl + V, እና ይጫኑ Enter ሰው መሆንህን ለማረጋገጥ"(ድብቅን በጸጥታ ያስፈጽማል mshta.exe ወይም powershell -w hidden -enc ... ትዕዛዝ ወደ ቅንጥብ ሰሌዳዎ ተቀድቷል)።
6. ** ጥሰቱ የድርጅት መሠረተ ልማትን ወይም ምዝበራን የሚያካትት ከሆነ አመለካከትን ይከታተሉ እና አካላዊ ደህንነትን ይጠብቁ። ዘራፊዎችን ፈጽሞ አትክፈሉ; የእኛን ይመልከቱ ሴክስቶርሽን እና የመስመር ላይ ጥቁር መልእክት መመሪያ፣ እና አካላዊ ስጋት ካጋጠመዎት፣ ወደ አካባቢዎ የድንገተኛ አደጋ ቁጥር (911 በዩናይትድ ስቴትስ እና ካናዳ፣ 112 በመላው አውሮፓ ህብረት፣ 999 በዩናይትድ ኪንግደም፣ ወይም የእኛን ይመልከቱ) የአደጋ ጊዜ ቁጥሮች ማውጫ)።

መረጃ ሰጪ እና የክፍለ ጊዜ ኩኪ ጠለፋ ክስተት ምላሽ ውሳኔ ዛፍ¶

flowchart TD
    Root["የተጠረጠረ የክፍለ ጊዜ ኩኪ ጠለፋ ወይም መረጃ ሰጪ የማልዌር ኢንፌክሽን"] --> IsolatePC["ደረጃ 1 የተበከለውን ፒሲ/ማክን ከWi-Fi እና ኢተርኔት ያላቅቁ (በተጎዳው ፒሲ ላይ የይለፍ ቃሎችን አይቀይሩ)"]

    IsolatePC --> CryptoCheck{"በዚያ ፒሲ ላይ የCrypto Wallet ቅጥያዎች (MetaMask፣ Phantom፣ Extensions) ነበሩ?"}
    CryptoCheck -->|"አዎ"| EvacCrypto["ሁሉንም የክሪፕቶ ንብረቶችን ወደ አዲስ-ብራንድ-የዘር ሀረግ ለመጥረግ ንፁህ ስልክ/ሃርድዌር ቦርሳን ወዲያውኑ ይጠቀሙ"]
    CryptoCheck -->|"አይ"| ApexLock["ደረጃ 2፡ በንፁህ ስማርትፎን ላይ፣ መጀመሪያ ዋናውን ኢሜል (ጂሜይል፣ አውትሉክን፣ ፕሮቶን) ቆልፍ"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["ደረጃ 3፡ አለምአቀፍ ክፍለ ጊዜን + OAuth ማስመሰያ + የይለፍ ቃል መሻርን በሁሉም ወሳኝ መለያዎች አስፈጽም (ከዚህ በታች የፕላትፎርም ማትሪክስ ይመልከቱ)"]

    GlobalRevoke --> ExportList["ደረጃ 4፡ ከመስመር ውጭ በተበከለ ፒሲ ላይ፣ የተቀመጡ መለያዎች በትክክል እንደተዘረፉ ለማወቅ ሁሉንም የተቀመጡ የአሳሽ የይለፍ ቃሎች እና ኩኪዎችን ወደ ውጭ ይላኩ"]

    ExportList --> CleanOS["ደረጃ 5፡ የግል ሰነዶችን ብቻ ምትኬ ያስቀምጡ -> ንፁህ ስርዓተ ክወና አጽዳ/ዳግም ጫን -> የይለፍ ቃሎችን እንደገና መመዝገብ እና የChrome መተግበሪያ-ታሰረ ምስጠራን አንቃ"]

Infostealers 2FA እና DPAPI/Keychain ምስጠራን እንዴት እንደሚያልፉ መረዳት¶

እንዴት ባለ 200 ኪሎባይት ፕሮግራም ጎግል ክሮም፣ ማይክሮሶፍት ኤጅ እና ጎበዝ በሃርድ ድራይቭ ላይ የሚያመሰጥሩትን የይለፍ ቃሎችን እና የክፍለ ጊዜ ኩኪዎችን ሊሰርቅ ይችላል?

1. ** ዊንዶውስ ዲፒፒአይ (CryptUnprotectData) እና Chrome App-Bound ምስጠራ (v20***:
2. በዊንዶውስ ላይ በChromium ላይ የተመሰረቱ አሳሾች (Chrome፣ Edge፣ Brave፣ Opera፣ Vivaldi) የተቀመጡ የይለፍ ቃሎችዎን በውስጥ ያከማቻሉ። %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data እና የክፍለ-ጊዜዎ ኩኪዎች ውስጥ \Network\Cookies.
3. እነዚህ የSQLite የውሂብ ጎታዎች የተመሰጠሩት በኤኢኤስ-256-ጂሲኤም ማስተር ቁልፍ ከተከማቸ ነው። %LOCALAPPDATA%\Google\Chrome\User Data\Local Stateበ Windows Data Protection API (DPAPI) የተጠበቀው ከገባበት የዊንዶውስ ተጠቃሚ መለያ ጋር የተሳሰረ ነው።
4. መረጃ ሰጪውን እንደራስህ የገባ የዊንዶውስ ተጠቃሚ ስለነበርክ በተጠቃሚ መለያህ ስር የሚሰራ ማንኛውም ሂደት በታሪክ ሊጠራ ይችላል። CryptUnprotectData() ዊንዶውስ ቁልፉን እንዲፈታ ለመጠየቅ. እና Chrome 127+ App-Bound ምስጠራን ለማለፍ (v20 ሊፍት ሰርቪስ)፣ ዘመናዊ ኢንፎስቲለተሮች ጭንቅላት የሌለውን በቀጥታ ወደ ውስጥ ያስገባሉ። chrome.exe የማረም ሂደት (--remote-debugging-port) ወይም ሁሉንም የቀጥታ ዲክሪፕት የተደረጉ ኩኪዎችን ለመጣል እራሱን Chrome ለመጠየቅ COM ከፍታን ይጠቀሙ።
5. *የማክኦኤስ ቁልፍ ሰንሰለት እና አቶሚክ ማክኦኤስ ስርቆት (AMOS / PoseStealer)
6. በ Apple macOS ላይ፣ መረጃ ሰጪዎች ተመስለው .dmg ማውረዶች (ብዙውን ጊዜ "ቀኝ-ጠቅ ያድርጉ -> ክፈት" እንዲያደርጉ ይጠይቅዎታል ወይም አዶውን ወደ ** ተርሚናል ** ይጎትቱት አፕል በር ጠባቂን ለማለፍ) የውሸት ቤተኛ macOS የንግግር ሳጥን በማንበብ "የስርዓት ምርጫዎች ሚስጥራዊ መረጃዎን ማግኘት ይፈልጋል፡ የማክ መግቢያ ይለፍ ቃል ያስገቡ"። ወዲያውኑ የማክ መግቢያ ይለፍ ቃልዎን ወደዚያ ጥያቄ ሲተይቡ ስክሪፕቱ ይከፈታል። -/Library/Keychains/login.keychain-db እና የSafari/Chrome ኩኪዎችን፣ አፕል ማስታወሻዎችን እና የiCloud ቶከኖችን ይገለብጣሉ።
7. ** ጎግል MultiLogin / OAuthLogin ማስመሰያ እንደገና ማመንጨት ብዝበዛ ***
8. የደህንነት ተመራማሪዎች መረጃ ሰጪዎች ደረጃቸውን የጠበቁ የድር ኩኪዎችን ብቻ የሚሰርቁ ሳይሆን ሰነድ የሌላቸውንም ያወጡታል oauth_token የአገልግሎት ምልክቶች ከChrome **Web Data (token_service ሰንጠረዥ) *** SQLite ፋይል. ተጎጂው የጎግል የይለፍ ቃሉን አንዴ ከለወጠ በኋላም አጥቂዎች ከዚህ ቀደም የተሰረቀውን ሊጫወቱ ይችላሉ። token_service የOAuth ማስመሰያ ከGoogle ውስጣዊ ጋር ነው። OAuthLogin ከአዝሙድና መጨረሻ ነጥብ - አዲስ ትክክለኛ SID የአሳሽ ኩኪዎች ተጠቃሚው በግልፅ የተበላሸውን የChrome መሣሪያ ክፍለ ጊዜ ዘግቶ ካላስወጣ እና የሶስተኛ ወገን/OAuth መሣሪያ መዳረሻን እስካልሰረዘ ድረስ።

ደረጃ 1፡ ዓለም አቀፍ ክፍለ ጊዜ፣ ኩኪ፣ OAuth እና የይለፍ ቁልፍ መሻሪያ ማትሪክስ¶

** ንጹህ ስማርትፎን ወይም ንጹህ ሁለተኛ ደረጃ ኮምፒተርን በመጠቀም ይህንን ትክክለኛ ሰንጠረዥ ከላይ ወደ ታች ይስሩ። ትዕዛዝ ጉዳዮች፡ ሁል ጊዜ ** ደረጃ ሀ (ሁሉንም ንቁ ክፍለ-ጊዜዎች/መሳሪያዎች ዘግተህ ውጣ)** እና ደረጃ B (የይለፍ ቃል ቀይር) እና **ደረጃ ሐ (2FA/Passkeys/OAuth/ማስተላለፌን) አብራችሁ፣ የይለፍ ቃልህን ብቻ ከቀየርክ ወይም ንቁ ክፍለ-ጊዜዎችን ሳታቋርጥ የይለፍ ቃልህን ብቻ የምትቀይር ከሆነ አጥቂው ገብተህ ገብተህ ማገገሚያ እንድታደርግ ትችላለህ። ዘዴ.

ደረጃ 2፡ በኮምፒውተርዎ ላይ የተጋለጠውን እያንዳንዱን መለያ እንዴት ማግኘት እንደሚቻል¶

በንፁህ ስልክህ ላይ ያሉትን 10 ዋና ወሳኝ አካውንቶችህን ከቆለፍክ በኋላ አንድ ከባድ ጥያቄ ይገጥመሃል፡ "ያንን ኮምፒውተር ለአራት አመታት ተጠቀምኩበት፣ የመረጃ ፈላጊው ሲሮጥ ከ250 ድህረ ገጾቼ ውስጥ የትኛው የይለፍ ቃል ወይም ንቁ ኩኪ እንዳስቀመጠ እንዴት አውቃለሁ?"

የተበከለውን ኮምፒውተር 100 ፐርሰንት ከመስመር ውጭ (Wi-Fi OFF፣ Ethernet unpluged)፣ ማሽኑን ከማጽዳትዎ በፊት ያብሩት እና ትክክለኛውን የተጋላጭነት ክምችት ያውጡ፡-

1. ** አሳሽ የተቀመጡ የይለፍ ቃላት ዝርዝርዎን ወደ ውጭ ይላኩ (CSV***:
2. አሳሽዎን ከመስመር ውጭ ይክፈቱ (chrome://password-manager/settings በ Chrome ውስጥ ፣ edge://wallet/settings በ Edge, ወይም about:logins በፋየርፎክስ ውስጥ) እና ለማስቀመጥ ** የይለፍ ቃሎችን ወደ ውጭ ላክ ** ን ጠቅ ያድርጉ Chrome Passwords.csv በንጹህ የዩኤስቢ ፍላሽ አንፃፊ ላይ።
3. **ለምንድን ነው ይህ ፋይል ለማገገምዎ ወርቅ የሆነው ***፡ መረጃ ሰጪው ይህንን ትክክለኛ የውሂብ ጎታ ሰረቀ። መኖር Chrome Passwords.csv ከፊት ለፊትህ ያለው የእያንዳንዱ ድህረ ገጽ የተጠቃሚ ስም እና የይለፍ ቃል አጥቂው አሁን የያዘውን ትክክለኛ ዝርዝር ይሰጥሃል ስለዚህ የድሮ የታክስ ፖርታል፣የአየር መንገድ ማይል አካውንት ወይም የተቀመጠ ክሬዲት ካርድ ያለው የገበያ ቦታ እንዳያመልጥህ።
4. ** የትኛዎቹ ድረ-ገጾች ንቁ የክፍለ ጊዜ ኩኪዎች እንደነበሩ ይመርምሩ (chrome://settings/content/all***:
5. በ Chrome ወይም Edge (ከመስመር ውጭ ሲሆኑ) ወደ ** ይሂዱchrome://settings/content/all** (ወይም edge://settings/content/all) እና በየተከማቸ መረጃ ወይም በጣም የተጎበኘ በማድረግ ደርድር። የይለፍ ቃል ሳይተይቡ የቆዩበት ማንኛውም ድር ጣቢያ ለክፍለ-ጊዜ ኩኪ ስርቆት የተጋለጠ እና ክፍለ ጊዜው እንዲቋረጥ ይፈልጋል።
6. **የእርስዎ ራሱን የቻለ የይለፍ ቃል አስተዳዳሪ (1Password፣ Bitwarden፣ KeePassXC) በኢንፌክሽን ጊዜ መከፈቱን ያረጋግጡ።
7. የእርስዎ 1Password፣ Bitwarden ወይም KeePassXC ቮልት ከተቆለፈ መረጃ ሰጪው ሲሮጥ፡ ማልዌር መያዝ የሚችለው ኢንክሪፕት የተደረገውን የአካባቢ ቮልት መሸጎጫ ብቻ ነው።data.json ወይም .kdbxበPBKDF2-SHA256/Argon2id + የእርስዎ ዋና የይለፍ ቃል (እና ባለ 34-ቁምፊ ሚስጥራዊ ቁልፍ በ1ፓስወርድ) የተጠበቀ ነው። ዋና የይለፍ ቃልዎ ጠንካራ ከሆነ፣ የማከማቻዎ ይዘቶች ደህና እንደሆኑ ይቆያሉ፣ ምንም እንኳን አሁንም ዋና የይለፍ ቃሉን ለጥንቃቄ ማሽከርከር አለብዎት።
8. የይለፍ ቃል አቀናባሪ አሳሽ ቅጥያህ በማህደረ ትውስታ ውስጥ ከተከፈተ ማልዌር ሲሰራ (ወይም የይለፍ ቃል አስተዳዳሪ የይለፍ ቃልህን በChrome አብሮ በተሰራው ራስ ሙላ ውስጥ ካስቀመጥክ)፡ የመረጃ ፈላጊው ቮልትህን እንደጣለ ወይም ዋና የይለፍ ቃልህን እንደያዘ አስብ እና ሁሉንም ወሳኝ ምስክርነቶች በቮልትህ ውስጥ አሽከርክር።

ደረጃ 3፡ ስርዓተ ክወናውን ከማጽዳትዎ በፊት የ Infostealer ጽናት ማደን እና ማጥፋት¶

የግል ሰነዶችዎን ምትኬ ከማስቀመጥዎ እና ንጹህ የስርዓተ ክወና ዳግም መጫንን ከማድረግዎ በፊት የመረጃ ሰጪው እንዴት ወደ ስርዓትዎ እንደገባ እና ቀጣይነት ያለው ሁለተኛ ደረጃ ጫኚ እንደጣለ (እንደ የታቀደ ተግባር፣ መዝገብ ቤት) መመርመር ይችላሉ። Run ቁልፍ ፣ ጅምር .lnk አቋራጭ ወይም ተንኮል አዘል Chrome ቅጥያ)

1. ይህን ከመስመር ውጭ የPowerShell Persistence Audit (ዊንዶውስ) ያሂዱ¶

PowerShell (አስተዳዳሪ) ከመስመር ውጭ በሆነው ፒሲ ላይ ይክፈቱ እና እነዚህን አራት ተነባቢ-ብቻ የፎረንሲክ ፍተሻዎችን ያሂዱ፡-

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. ለምን ንጹህ የስርዓተ ክወና ዳግም መጫን (በዩኤስቢ ሚዲያ) ከ Infostealer በኋላ ይመከራል¶

የማይክሮሶፍት ተከላካይ ከመስመር ውጭ ቅኝት እና ማልዌርባይትስ ተከላካይን ካጸዱ በኋላ የታወቁ ጽናት ጫኚዎችን ያስወግዳል፣ የሸቀጦች መረጃ ሰጪዎች ሁለተኛ ደረጃ RAT (የርቀት መዳረሻ ትሮጃን)፣ SystemBC SOCKS5 ፕሮክሲ ወይም **ክሊፐር ማልዌርን የሚከታተል እና ማንኛውንም Bitcoin በፀጥታ የሚቆጣጠር የኪስ ቦርሳ አድራሻ ከጠላፊው አድራሻ ጋር)። - አንዴ የግል ሰነዶችህን፣ ፎቶዎችህን እና ከገለብክ በኋላ Chrome Passwords.csv ከመስመር ውጭ ፒሲው ላይ ንጹህ ** ዊንዶውስ 11 ዩኤስቢ ዳግም ጫን ** (ወይም ** ሁሉንም ይዘቶች እና ቅንብሮችን ያጥፉ **) የእኛን ይከተሉ። ማልዌር፣ ራንሰምዌር እና ስፓይዌር ኢንፌክሽን መመሪያ.

3. የማክሮ ኦዲት እና ሊኑክስ ሲስተም ለኢንፎስተለለር ቅርሶች (ኦዲቲንግ)Atomic macOS Stealer / AMOS, Poseidon, እና ተንኮል አዘል አሳሽ ቅጥያዎች)¶

የተበከለው ማሽንዎ ከዊንዶውስ ፒሲ ይልቅ አፕል ማክቡክ/አይማክ ወይም ሊኑክስ ገንቢ የስራ ቦታ ከሆነ ጽናት ለማወቅ እና ለማጥፋት እነዚህን የመስመር ውጪ ተርሚናል ፍተሻዎች ያሂዱ።

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. የድርጅት እና የክላውድ አስተዳዳሪ መያዣ (ማይክሮሶፍት ኢንትራ መታወቂያ፣ ኦክታ፣ ጎግል ወርክስፔስ እና AWS IAM)¶

በ infostealer የተበከለው ኮምፒዩተር የሶፍትዌር መሐንዲስ፣ የዴቭኦፕስ አስተዳዳሪ ወይም የኮርፖሬት ሰራተኛ በ Microsoft Entra ID (Azure AD)፣ Okta፣ Google Workspace፣ AWS ወይም Cloudflare ውስጥ ንቁ ክፍለ ጊዜዎችን ያደረጉ ከሆነ፣ የሀገር ውስጥ መሳሪያ ማጽዳት ውጊያው ግማሽ ብቻ ነው። እነዚህን የክላውድ ማውጫ ስረዛዎች ወዲያውኑ ያስፈጽሙ፦

• ** የማይክሮሶፍት ኢንትራ መታወቂያRevoke-MgUserSignInSession**: በአንድ አሳሽ ውስጥ "ዘግተህ ውጣ" የሚለውን ጠቅ ማድረግ ሁልጊዜ የመጀመሪያ ደረጃ ማደስ ቶከኖችን (PRTs) ወይም Azure CLIን አይሽረውም።az login / .azure/msal_token_cache.bin) ቶከኖች ከዲስክ የተገለበጡ ናቸው። Entra አስተዳዳሪ መሮጥ አለበት። Revoke-MgUserSignInSession -UserId user@company.com የተጠቃሚውን ዳግም ለማስጀመር በማይክሮሶፍት ግራፍ ፓወር ሼል ውስጥ signInSessionsValidFromDateTime ሁሉንም የማደስ ማስመሰያዎች በአንድ ጊዜ በሁሉም የመጨረሻ ነጥቦች ላይ ለይተው ይሰርዙ።
• ** AWS CLI እና የገንቢ ማስመሰያ ማሽከርከር (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config***: የሸቀጦች መረጃ ሰጪዎች የእያንዳንዱን ተጠቃሚ የቤት ማውጫ በግልፅ ይቃኛሉ። .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, እና Docker/Kubernetes ውቅር ፋይሎች. ወዲያውኑ አቦዝን እና ሁሉንም አሽከርክር AWS IAM መዳረሻ ቁልፎች (AKIA...) በAWS ኮንሶል ውስጥ የGitHub የግል መዳረሻ ቶከኖችን ይሽሩ (ghp_...፣ እና የተጋለጠ የኤስኤስኤች የህዝብ ቁልፎችን ከምርት አገልጋዮች ሰርዝ-/.ssh/authorized_keys).
• ** የዴስክቶፕ መልእክት እና የቪፒኤን ደንበኛ ማስመሰያ ማጽጃ (ቴሌግራም ዴስክቶፕ tdata, ሲግናል፣ ስላክ፣ ክፈት ቪፒኤን፣ ዋየርጋርድ)፡ ከድር አሳሾች ባሻገር የመረጃ መስጫ ሞጁሎች በተለይ ይገለበጣሉ %APPDATA%\Telegram Desktop\tdata ማውጫ (አንድ አጥቂ የኤስኤምኤስ ኮድ ሳይኖር ሙሉውን የቴሌግራም መለያዎን ወደ ፒሲያቸው እንዲዘጋ ያስችለዋል) %APPDATA%\Slack\storage, እና ተቀምጧል ** OpenVPN (.ovpn/ WireGuard (.conf* የድርጅት VPN መገለጫዎች። ቴሌግራም በስልክዎ ላይ ክፈት (**ቅንብሮች > መሳሪያዎች -> ሁሉንም ሌሎች ክፍለ ጊዜዎችን አቋርጥ **)፣ ሁሉንም Slack የስራ ቦታዎችን ውጣ (slack.com/account/settings -> * ሁሉንም ሌሎች ክፍለ-ጊዜዎች ዘግተህ ውጣ)፣ እና የአውታረ መረብ አስተዳዳሪህን የድርጅትህን የቪፒኤን ደንበኛ ሰርተፍኬት እንዲሰርዝ እና እንደገና እንዲሰጥህ ጠይቅ።

መከላከያ፡ አሳሽህን እና አካውንቶችህን ከ Infostealers እንዴት እንደሚቋቋም¶

አንዴ ስርዓትዎ ንጹህ ከሆነ እና መለያዎችዎ ከተመለሱ በኋላ መረጃ ሰጪው የዲጂታል ህይወትዎን እንደገና ሊጠልፍ እንዳይችል እነዚህን አምስት መከላከያዎች ይተግብሩ።

• ** የይለፍ ቃሎችን በድር አሳሽዎ አብሮ በተሰራው የይለፍ ቃል አቀናባሪ (Chrome/ Edge/ Brave/Firefox Autofill) ያለ ሃርድዌር/ማስተር ቁልፍ በጭራሽ አታከማቹ። Login Data የ SQLite ሰንጠረዥ መጀመሪያ። አጥፋ* "የይለፍ ቃል ለማስቀመጥ አቅርብ" ውስጥ chrome://password-manager/settings እና የይለፍ ቃሎቻችሁን በተሰጠ፣ ዜሮ እውቀት ያለው የይለፍ ቃል አስተዳዳሪ (1Password፣ Bitwarden፣ Proton Pass፣ ወይም KeePassXC) ወደ ** ራስ-መቆለፊያ በተቀናበረው ውስጥ ያከማቹ ወይም ስርዓቱ ሲቆለፍ ወይም ከ5 ደቂቃ የስራ ፈት ጊዜ በኋላ**።
• **በChrome 127+ ውስጥ "የመሣሪያ-ታሰረ ክፍለ ጊዜ ምስክርነቶችን (DBSC)" እና "መተግበሪያ-ታሰረ ምስጠራን" ያንቁ፡ Google Chrome ወይም Edge ወደ የቅርብ ጊዜው ስሪት መዘመኑን እና በነባሪ የስርዓት ማውጫ ውስጥ መጫኑን ያረጋግጡ።C:\Program Files\Google\Chrome\Application) ስለዚህ GoogleChromeElevationService የኩኪ ምስጠራን ከስርዓት ልዩ መብት ደረጃዎች እና ከቲፒኤም ሃርድዌር ቁልፎች ጋር በ Device-Bound Session Credentials (DBSC) በኩል ማሰር ይችላል።
• ** የዊንዶውስ ሩጫ ሳጥንን ያሰናክሉWin + R) ወይም mshta.exe የ"ClickFix" የውሸት የ CAPTCHA ጥቃቶችን ለማገድ**: በጭራሽ አትጫኑ Win + R -> Ctrl + V -> Enter አንድ ድህረ ገጽ CAPTCHA፣ የውሸት ክላውድፍላር ስክሪን ወይም "Fix Microphone/Fix Font" ብቅ ባይ በ Run dialog ወይም Terminal ላይ ትዕዛዙን እንዲለጥፉ ሲጠይቅ ምንም አይነት ህጋዊ ድህረ ገጽ በምድራችን ላይ ኮድ እንዲለጥፉ በመጠየቅ የሰውን ልጅ አያረጋግጥም። Win + R ወይም macOS ተርሚናል.
• ** የሃርድዌር ሴኩሪቲ ቁልፎችን (YubiKey) ወይም የይለፍ ቁልፎችን ተጠቀም + ለስሜታዊ እርምጃዎች ዳግም ማረጋገጥን ጠይቅ**፡ የተሰረቁ የክፍለ ጊዜ ኩኪዎች የመጀመሪያ መግቢያ ጥያቄዎችን ሲያልፉ፣ ዋና መድረኮች (Google፣ GitHub፣ Cloudflare፣ AWS፣ Coinbase) ** ደረጃ ወደላይ ማረጋገጫ (ሱዶ ዩዲኦኬይ ማለፊያ ወይም ፊዚካል ፊዚካል)) የክፍለ ጊዜ ኩኪ ያለው ማንኛውም ሰው የይለፍ ቃልዎን እንዲቀይር፣ ውሂብ ወደ ውጭ እንዲልክ ወይም የማስወጫ አድራሻ እንዲያክል ከመፍቀድዎ በፊት ያረጋግጡ።
• የእርስዎ ኢሜይል ወይም የስርቆት መዝገብ በ Darknet Monitoring Databases ላይ መታየቱን ያረጋግጡ፡ ይጎብኙ haveibeenpwned.com (አሁን በሚሊዮኖች የሚቆጠሩ የስርቆት መዝገብ የተጎጂ ኢሜይል አድራሻዎችን እና የተበላሹ ጎራዎችን የሚያመላክት) እና ለኢሜል አድራሻዎችዎ የነጻ የጨለማ መረብ ጥሰት ማሳወቂያዎችን ያነቃል።
• የማይታመኑ ውርዶችን፣ የጨዋታ ሞዶችን እና የሶስተኛ ወገን ስክሪፕቶችን በቨርቹዋል ማሽን ወይም ዊንዶውስ ማጠሪያ ውስጥ ለይ፡ ያልተረጋገጡ በጭራሽ አታሂዱ። .exe, .msi, .dmg, .bat, ወይም Python pip / መስቀለኛ መንገድ npm የድህረ-ጭነት ስክሪፕቶችን በቀጥታ በአስተናጋጅ ኦፕሬቲንግ ሲስተም ላይ የተረጋገጠ የድር አሳሽ ክፍለ ጊዜዎችን እና የፋይናንስ መግቢያዎችን ይይዛል። Windows Sandbox አንቃ (በዊንዶውስ 10/11 ፕሮ እና ኢንተርፕራይዝ በ የዊንዶውስ ባህሪያትን አብራ ወይም አጥፋ > ዊንዶውስ ማጠሪያ) ወይም የሶስተኛ ወገን መገልገያዎችን በሚሞክርበት ጊዜ ዜሮ የተቀመጡ የአሳሽ ኩኪዎች ያለው ገለልተኛ ቨርቹዋል ማሽን ይጠቀሙ።

በተደጋጋሚ የሚጠየቁ ጥያቄዎች¶

ተዛማጅ መመሪያዎች¶

• ማልዌር፣ ራንሰምዌር እና ስፓይዌር ኢንፌክሽን
• MFA ማስገር እና ጠላት-በመካከለኛው (AiTM) ማለፊያ
• MFA መቆለፊያ፡ የተቆለፉትን መለያዎች እንዴት መልሰው ማግኘት እንደሚችሉ
• የኢሜይል መለያ ተጠልፏል፣ የማስተላለፍ ህጎች እና መልሶ ማግኛ
• ክሪፕቶ ምንዛሬ የኪስ ቦርሳ ፍሳሽ እና የዘር ሀረግ ስምምነት
• የይለፍ ቃል አቀናባሪ መቆለፊያ እና የድንገተኛ አደጋ ማከማቻ መልሶ ማግኛ
• የአደጋ ጊዜ ቁጥሮች ማውጫ

ምንጮች ተረጋግጠዋል¶

• የሳይበር ደህንነት እና መሠረተ ልማት ደህንነት ኤጀንሲ (ሲአይኤስኤ) እና ኤፍቢአይ (ዩናይትድ ስቴትስ)፡ *በInfostealer ማልዌር ላይ የጋራ የሳይበር ደህንነት ምክሮች (LummaC2፣ RedLine፣ Rhadamanthys) እና ማስታገሻ/የክፍለ ጊዜ ስርቆት (CSAE24/MITER ATT&CK T1539)፡ የድር ክፍለ ጊዜ ኩኪ እና ቲ104 ኩኪ መስረቅ።
• ብሔራዊ ደረጃዎች እና ቴክኖሎጂ ኢንስቲትዩት (NIST) (ዩናይትድ ስቴትስ): NIST SP 800-63B: ዲጂታል የማንነት መመሪያዎች: የክፍለ ጊዜ አስተዳደር, እንደገና ማረጋገጥ እና ማስመሰያ ማሰሪያ.
• የአለም አቀፍ ድር ጥምረት (W3C) እና Google Chromium ደህንነት አርክቴክቸር፡ *የመሣሪያ የታሰሩ ክፍለ ጊዜ ምስክርነቶች (DBSC) መግለጫ እና የChrome መተግበሪያ-ታሰረ ምስጠራ (v20 DPAPI ከፍታ) ቴክኒካዊ ሰነዶች *.
• ብሔራዊ የሳይበር ደህንነት ማዕከል (ኤንሲሲሲ) (ዩናይትድ ኪንግደም)፡- በኢንተርፕራይዝ እና የሸማቾች አካባቢ ውስጥ ማልዌርን፣ መረጃ ሰጪዎችን እና የክፍለ ጊዜ ጠለፋን መከላከል።
• አለምአቀፍ የመተግበሪያ ደህንነት ፕሮጀክት (OWASP) ክፈት፡ የክፍለ ጊዜ አስተዳደር ማጭበርበር ሉህ እና OAuth 2.0 ማስመሰያ መሻር (RFC 7009) ደረጃዎች።