Выкраданне токенаў сесіі, шкоднасная праграма Infostealer і глабальнае адкліканне сесіі¶

Выяўленне таго, што зламыснік толькі што апублікаваў махлярства з крыптавалютай з вашага ўліковага запісу YouTube, Instagram, Discord або X, стварыў правілы пераадрасацыі ў вашай паштовай скрыні Gmail або Microsoft 365 або атрымаў доступ да вашай карпаратыўнай воблачнай кансолі без запуску кода 2FA на вашым тэлефоне або папярэджання па электроннай пошце «Новы ўваход» з'яўляецца беспамылковым прыкметай Выкрадання файлаў cookie сеанса / токенаў (Перадайце-Cookie) выкліканы шкоднасным ПЗ Infostealer. Калі вы ўваходзіце на вэб-сайт і ставіце галачку "Захоўваць мяне ў сістэме", сервер выдае зашыфраваны файл cookie сесіі HTTP або маркер носьбіта OAuth (напрыклад, Google SID / SAPISID, Microsoft ESTSAUTHPERSISTENT, або Discord's Authorization маркер), які захоўваецца ў лакальнай базе дадзеных SQLite вашага вэб-браўзера.

Сямейства шкоднасных праграм Commodity Infostealer, уключаючы Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys і Atomic macOS Stealer (AMOS), не чакаюць на вашым кампутары, як традыцыйныя вірусы. Часта замаскіраваны пад фальшывы мод гульні, узламаны ўсталёўшчык праграмнага забеспячэння, фальшывы запыт PowerShell CAPTCHA "ClickFix" або PDF-файл сумеснай працы са спонсарамі, інфакрадзеж выконваецца за менш за 4 секунды, расшыфроўвае ваш Chrome, Edge, Brave або Firefox Cookies і Login Data баз даных у памяці, запампоўвае іх разам з файламі кашалька криптовалюты на працоўным стале, загружае архіў на сервер Telegram або C2 і выдаляе сябе. Калі зламыснік імпартуе вашы выкрадзеныя сеансавыя кукі ў браўзер антыдэтэктара (Multilogin, Dolphin{anty}, або Gologin), вэб-сервер лічыць, што зламыснік з'яўляецца вашым ужо аўтэнтыфікаваным кампутарам, цалкам абыходзячы як ваш пароль, так і вашу двухфактарную аўтэнтыфікацыю.

Зрабіце гэта зараз¶

1. СПЫНІЦЕ мяняць свае паролі на заражаным камп'ютары, неадкладна адключыце ПК або Mac ад Wi-Fi і адлучыце кабель Ethernet. Гэта памылка №1, якую робяць ахвяры: яны заўважаюць, што іх Discord, Steam або Gmail былі ўзламаныя, сядаюць за той самы заражаны ПК і ўводзяць зусім новыя паролі ў Chrome. Калі на гэтай машыне па-ранейшаму актыўны загрузнік інфармацыі або запланаванае заданне Infostealer, яно неадкладна захопіць вашы новыя паролі і свежыя сеансавыя файлы cookie і адправіць іх назад зламысніку. Рабіце 100 працэнтаў змяненняў пароляў і адклікання сеансаў з чыстага смартфона (з сотавай перадачай дадзеных або чыстым Wi-Fi) або асобнага некранутага ноўтбука.
2. Зразумейце, што адна толькі змена пароля НЕ заўсёды робіць несапраўднымі скрадзеныя сеансавыя кукі або маркеры абнаўлення OAuth, вы ПАВІННЫ яўна націснуць «Выйсці з усіх сеансаў» І адклікаць староннія прыкладанні OAuth. На некалькіх платформах (і з незадакументаванымі Google MultiLogin / issueToken Канчатковыя кропкі OAuth або доўгатэрміновыя токены сеансу), простая змена пароля або ратацыя 2FA могуць пакінуць існуючыя другасныя токены сеансу або токены OAuth для працоўнага стала, калі вы не выканаеце крокі Глабальнага сеанса і адклікання токена для канкрэтнай платформы ў табліцы ніжэй.
3. Калі ў вас на заражаным камп'ютары ўсталявана праграмнае пашырэнне криптовалютного кашалька (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum), выкарыстайце чысты тэлефон прама зараз, каб эвакуяваць свае сродкі ў зусім новы апаратны кашалёк. Журналы Infostealer аўтаматычна збіраюць зашыфраваныя файлы сховішча (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn для MetaMask) разам з паролямі, захаванымі вашым браўзерам. Нават калі зламыснік яшчэ не крануў вашу крыпту, ваш файл сховішча ўжо знаходзіцца на рынку даркнэта ў чаканні афлайн-ўзломшчыка GPU. Выканаць нашых зліў кашалька криптовалюты і кампраметацыя пачатковай фразы кіраўніцтва неадкладна.
4. Абараніце свае «ўліковыя запісы Apex Identity» (асноўны адрас электроннай пошты, менеджэр пароляў, уліковы запіс Apple/Google і карпаратыўны SSO) у першыя 10 хвілін. На чыстым смартфоне адкрыйце асноўны Google / Gmail (myaccount.google.com/device-activity) і Microsoft (mysignins.microsoft.com) рахункі спачатку. Выйдзіце з усіх сеансаў працоўнага стала, змяніце галоўны пароль, адзначце Настройкі > Перанакіраванне і POP/IMAP і Фільтры/Правілы, каб выдаліць схаваныя правілы пераадрасацыі электроннай пошты, створаныя зламыснікам, каб схаваць электронную пошту для скіду пароля ад іншых службаў, і праверце зарэгістраваныя ключы доступу і прылады аўтэнтыфікацыі.
5. Аўдыт вашага рэестра Windows Run ключы, планіроўшчык заданняў і гісторыя PowerShell, калі вы нядаўна запусцілі фальшывую каманду CAPTCHA "ClickFix" (Win + R -> Ctrl + V). Адным з самых хуткарослых вектараў інфармацыйных крадзяжоў сёння з'яўляецца падробленае ўсплывальнае акно Cloudflare або Google CAPTCHA на вэб-старонцы, якое загадвае вам "Націснуць Win + R, націсніце Ctrl + Vі націсніце Enter каб пераканацца, што вы чалавек" (які моўчкі выконвае схаваны mshta.exe або powershell -w hidden -enc ... каманда скапіравана ў буфер абмену).
6. Захоўвайце перспектыву і абараняйце фізічную бяспеку, калі парушэнне звязана з карпаратыўнай інфраструктурай або вымагальніцтвам. Журналы Infostealer часта выклікаюць аўтаматызаваныя электронныя лісты з патрабаваннем выкупу або сексуальным вымагальніцтвам, якія цытуюць ваш скрадзены пароль. Ніколі не плаціце вымагальнікам; бачыць наш сэкс-вымагальніцтва і онлайн-шантаж кіраўніцтва, і калі вы калі-небудзь сутыкнецеся з фізічнай пагрозай, патэлефануйце ў мясцовы нумар экстранай дапамогі (911 у Злучаных Штатах і Канадзе, 112 ва ўсім Еўрапейскім Саюзе, 999 у Вялікабрытаніі або звярніцеся да нашага нумары экстраных службаў каталог).

Infostealer і дрэва рашэнняў аб інцыдэнтах, звязаных з выкраданнем файлаў cookie¶

flowchart TD
    Root["Падазрэнне на захоп сеансавых файлаў cookie або заражэнне Infostealer шкоднасным ПЗ"] --> IsolatePC["КРОК 1: Неадкладна адключыце заражаны ПК/Mac ад Wi-Fi і Ethernet (НЕ змяняйце паролі на заражаным ПК)"]

    IsolatePC --> CryptoCheck{"Ці былі на гэтым ПК якія-небудзь пашырэнні Crypto Wallet (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"так"| EvacCrypto["Неадкладна выкарыстоўвайце чысты кашалёк тэлефона/апаратнага забеспячэння, каб змясціць усе крыпта-актывы ў зусім новую пачатковую фразу"]
    CryptoCheck -->|"няма"| ApexLock["КРОК 2: На чыстым смартфоне спачатку заблакіруйце асноўную электронную пошту (Gmail, Outlook, Proton)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["КРОК 3: Выкананне глабальнай сесіі + токен OAuth + адкліканне ключа доступу для ўсіх важных уліковых запісаў (гл. Матрыцу платформы ніжэй)"]

    GlobalRevoke --> ExportList["КРОК 4: Экспартуйце спіс усіх захаваных пароляў і файлаў cookie на аўтаномным заражаным ПК, каб даведацца, якія ўліковыя запісы былі скрадзеныя"]

    ExportList --> CleanOS["КРОК 5: Рэзервовае капіраванне толькі асабістых дакументаў -> Выканайце чыстую ачыстку/пераўсталёўку АС -> Паўторная рэгістрацыя ключоў доступу і ўключэнне шыфравання, прывязанага да праграмы Chrome"]

Разуменне таго, як Infostealers абыходзяць шыфраванне 2FA і DPAPI / Keychain¶

Як 200-кілабайтная праграма можа выкрасці паролі і сеансавыя файлы cookie, якія Google Chrome, Microsoft Edge і Brave шыфруюць на вашым цвёрдым дыску?

1. Windows DPAPI (CryptUnprotectData) і прывязанае да праграмы шыфраванне Chrome (v20):
2. У Windows браўзеры на аснове Chromium (Chrome, Edge, Brave, Opera, Vivaldi) захоўваюць вашы захаваныя паролі ў %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data і вашы сеансавыя файлы cookie ўнутры \Network\Cookies.
3. Гэтыя базы дадзеных SQLite зашыфраваны галоўным ключом AES-256-GCM, які захоўваецца ў %LOCALAPPDATA%\Google\Chrome\User Data\Local State, які абаронены Windows Data Protection API (DPAPI), звязаным з вашым уліковым запісам карыстальніка Windows, які ўвайшоў у сістэму.
4. Паколькі вы запусцілі Infostealer як ваш уласны карыстальнік Windows, любы працэс, запушчаны пад вашым уліковым запісам карыстальніка, мог гістарычна выклікаць CryptUnprotectData() папрасіць Windows расшыфраваць ключ. І каб абыйсці Chrome 127+ прывязанае да праграмы шыфраванне (v20 абслугоўванне ліфта) сучасныя інфастылеры ўводзяць наўпрост у безгаловага chrome.exe працэс адладкі (--remote-debugging-port) або выкарыстайце павышэнне ўзроўню COM, каб папрасіць Chrome зрабіць дамп усіх жывых расшыфраваных файлаў cookie.
5. macOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. На Apple macOS выкрадальнікі інфармацыі пад выглядам .dmg загрузкі (часта з просьбай "Пстрыкніце правай кнопкай мышы -> Адкрыць" або перацягніце значок у Тэрмінал, каб абыйсці Apple Gatekeeper) з'явіцца падробленае роднае дыялогавае акно macOS з надпісам "Сістэмныя налады хочуць атрымаць доступ да вашай канфідэнцыйнай інфармацыі: увядзіце пароль для ўваходу ў Mac". У той момант, калі вы ўводзіце свой пароль для ўваходу ў сістэму Mac, скрыпт разблакуецца -/Library/Keychains/login.keychain-db і капіюе файлы cookie Safari/Chrome, Apple Notes і токены iCloud.
7. ** Google MultiLogin / OAuthLogin Эксплойт рэгенерацыі токенаў**:
8. Даследчыкі па бяспецы выявілі, што выкрадальнікі інфармацыі не толькі крадуць стандартныя файлы cookie, яны таксама здабываюць незадакументаваныя oauth_token токены абслугоўвання ад Chrome Web Data (token_service табліца) файл SQLite. Нават пасля таго, як ахвяра адзін раз змяніла свой пароль Google, зламыснікі маглі прайграць раней скрадзены token_service Маркер OAuth супраць унутранага Google OAuthLogin канчатковая кропка чаканіць новы сапраўдны SID файлы cookie браўзера, калі толькі карыстальнік відавочна не выйдзе са скампраметаванай сесіі прылады Chrome І не адклікае доступ да старонняй прылады/прылады OAuth.

Крок 1: Глабальны сеанс, кукі, OAuth і матрыца адклікання ключа доступу¶

Выкарыстоўваючы чысты смартфон або чысты дадатковы камп'ютар, прапрацуйце гэтую табліцу зверху ўніз. Парадак мае значэнне: заўсёды выконвайце Крок A (Выйсці з усіх актыўных сеансаў/прылад) і Крок B (Змяніць пароль) і Крок C (Аўдыт 2FA/Паролі/OAuth/Перасылка) разам, калі вы толькі зменіце свой пароль, не спыняючы актыўныя сеансы, укладка браўзера зламысніка застанецца ў сістэме і можа назіраць за вамі або дадаць ашуканца метад аднаўлення.

Крок 2: Як даведацца КОЖНЫ ўліковы запіс, які быў адкрыты на вашым заражаным кампутары¶

Пасля таго, як вы заблакіравалі свае 10 найважнейшых уліковых запісаў на сваім чыстым тэлефоне, вы сутыкнуліся з палохалым пытаннем: "Я карыстаўся гэтым камп'ютарам на працягу чатырох гадоў, як я магу даведацца, на якім з маіх 250 вэб-сайтаў былі захаваны паролі або актыўныя файлы cookie ў Chrome/Edge, калі запусціўся інфакрадзеж?"

Захоўваючы заражаны камп'ютар на 100 працэнтаў у аўтаномным рэжыме (Wi-Fi ВЫКЛЮЧАН, Ethernet адключаны), уключыце яго і атрымайце дакладны інвентар заражэння, перш чым ачышчаць машыну:

1. Экспартуйце спіс захаваных у браўзеры пароляў (CSV):
2. Адкрыйце браўзер у аўтаномным рэжыме (chrome://password-manager/settings у Chrome, edge://wallet/settings у Краі, або about:logins у Firefox) і націсніце Экспартаваць паролі, каб захаваць Chrome Passwords.csv на чыстую флэшку USB.
3. Чаму гэты файл з'яўляецца золатам для вашага аднаўлення: інфакрадзеж скраў менавіта гэтую базу дадзеных. Маючы Chrome Passwords.csv перад вамі дае вам дакладны кантрольны спіс кожнага асобнага імя карыстальніка і пароля вэб-сайта, якімі зараз валодае зламыснік, так што вы не прапусціце стары падатковы партал, рахунак авіяміль або гандлёвы сайт з захаванай крэдытнай картай.
4. Праверце, на якіх вэб-сайтах былі актыўныя сеансавыя файлы cookie (chrome://settings/content/all):
5. У Chrome або Edge (у аўтаномным рэжыме) перайдзіце да chrome://settings/content/all (або edge://settings/content/all) і сартаваць па Даныя, якія захоўваюцца або Найбольш наведвальныя. Любы вэб-сайт, на якім вы заставаліся без уводу пароля, быў уразлівы да крадзяжу файлаў cookie сеанса і яго сеанс павінен быць спынены.
6. Праверце, ці быў ваш аўтаномны менеджэр пароляў (1Password, Bitwarden, KeePassXC) разблакіраваны ў момант заражэння:
7. Калі ваша сховішча 1Password, Bitwarden або KeePassXC было БЛАКІРАВАНА падчас запуску інфакрадзяжу: шкоднасная праграма магла захапіць толькі зашыфраваны лакальны кэш сховішча (data.json або .kdbx), які абаронены PBKDF2-SHA256 / Argon2id + ваш галоўны пароль (і 34-значны сакрэтны ключ у 1Password). Калі ваш галоўны пароль надзейны, змесціва вашага сховішча застаецца ў бяспецы, хоць у якасці меры засцярогі вы ўсё роўна павінны змяніць свой галоўны пароль.
8. Калі пашырэнне вашага дыспетчара пароляў у браўзеры было РАЗБЛАКІРАВАНА ў памяці падчас запуску шкоднаснага ПЗ (або калі вы захавалі галоўны пароль мэнэджара пароляў ва ўбудаванай функцыі аўтазапаўнення Chrome): выкажам здагадку, што выкрадальнік інфармацыі выкінуў ваша сховішча або захапіў ваш галоўны пароль, і павярніце ўсе важныя ўліковыя даныя ў вашым сховішчы.

Крок 3: пошук і ліквідацыя захаванасці Infostealer перад выдаленнем АС¶

Перш чым ствараць рэзервовыя копіі вашых асабістых дакументаў і выконваць чыстую пераўсталёўку АС, вы можаце праверыць, як інфакрадзеж увайшоў у вашу сістэму і ці не скінуў ён пастаянны другасны загрузнік (напрыклад, запланаванае заданне, рэестр Run ключ, аўтазагрузка .lnk ярлык або шкоднаснае пашырэнне Chrome):

1. Запусціце аўтаномны аўдыт захоўвання PowerShell (Windows)¶

Адкрыйце PowerShell (Admin) на пазасеткавым ПК і запусціце гэтыя чатыры крыміналістычныя праверкі толькі для чытання:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Чаму пасля Infostealer рэкамендуецца пераўсталяваць чыстую АС (праз USB-носьбіт).¶

Падчас запуску Microsoft Defender Offline Scan і Malwarebytes пасля ачысткі выключэнняў Defender выдаляе вядомыя загрузчыкі пастаяннай інфармацыі, выкрадальнікі таварнай інфармацыі часта звязваюць другасны RAT (траян аддаленага доступу), SystemBC SOCKS5 proxy або шкоднасную праграму для стрыжкі (якая бясшумна кантралюе ваш буфер абмену Windows і замяняе ўсе скапіраваныя файлы Адрас кашалька Bitcoin/Ethereum з адрасам хакера). - Пасля таго, як вы скапіравалі свае асабістыя дакументы, фатаграфіі і Chrome Passwords.csv ад аўтаномнага ПК выканайце чыстую Пераўсталёўку Windows 11 USB (або macOS Выдаліць усё змесціва і налады) у адпаведнасці з нашымі кіраўніцтва па заражэнні шкоднаснымі праграмамі, праграмамі-вымагальнікамі і шпіёнскімі праграмамі.

3. Аўдыт сістэм macOS і Linux на наяўнасць артэфактаў Infostealer (Atomic macOS Stealer / AMOS, Poseidonі шкоднасныя пашырэнні браўзера)¶

Калі ваша заражаная машына з'яўляецца Apple MacBook/iMac або рабочай станцыяй распрацоўшчыка Linux, а не ПК з Windows, запусціце наступныя аўтаномныя праверкі тэрмінала, каб выявіць і ліквідаваць захаванасць:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Кантэйнмент адміністравання Enterprise & Cloud (Microsoft Entra ID, Okta, Google Workspace і AWS IAM)¶

Калі кампутар, заражаны злодзеем інфармацыі, належаў інжынеру-праграмісту, адміністратару DevOps або карпаратыўнаму супрацоўніку, які меў актыўныя сеансы ў Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS або Cloudflare, лакальная ачыстка прылады - гэта толькі палова справы. Неадкладна выканайце наступныя адкліканні воблачных каталогаў:

• Microsoft Entra ID (Revoke-MgUserSignInSession): націск «Выйсці» ў адным браўзеры не заўсёды адклікае асноўныя токены абнаўлення (PRT) або Azure CLI (az login / .azure/msal_token_cache.bin) токены скапіяваны з дыска. Адміністратар Entra павінен быць запушчаны Revoke-MgUserSignInSession -UserId user@company.com у Microsoft Graph PowerShell, каб скінуць налады карыстальніка signInSessionsValidFromDateTime атрыбут і зрабіць несапраўднымі ўсе токены абнаўлення ва ўсіх канчатковых кропках адначасова.
• AWS CLI і ратацыя токенаў распрацоўшчыка (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): выкрадальнікі таварнай інфармацыі відавочна скануюць хатні каталог кожнага карыстальніка .aws/credentials, .ssh/id_ed25519, .gitconfig, .envі файлы канфігурацыі Docker/Kubernetes. Неадкладна адключыце і павярніце ўсе ключы доступу AWS IAM (AKIA...) у кансолі AWS адклікайце GitHub Personal Access Tokens (ghp_...) і выдаліць адкрытыя ключы SSH з вытворчых сервераў (-/.ssh/authorized_keys).
• Настольны абмен паведамленнямі і ачыстка токенаў кліента VPN (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Акрамя вэб-браўзераў, модулі infostealer спецыяльна капіруюць %APPDATA%\Telegram Desktop\tdata каталог (які дазваляе зламысніку кланаваць увесь ваш уліковы запіс Telegram на свой ПК без SMS-кода), %APPDATA%\Slack\storage, і захаваў OpenVPN (.ovpn) / WireGuard (.conf) карпаратыўныя профілі VPN. Адкрыйце Telegram на сваім тэлефоне (Настройкі > Прылады -> Завяршыць усе іншыя сеансы), выйдзіце з усіх працоўных прастор Slack (slack.com/account/settings -> Выйдзіце з усіх астатніх сеансаў) і папрасіце адміністратара сеткі адклікаць і паўторна выдаць сертыфікат вашага карпаратыўнага кліента VPN.

Прафілактыка: Як зрабіць ваш браўзер і ўліковыя запісы ўстойлівымі да Infostealers¶

Пасля таго, як ваша сістэма будзе ачышчана і вашы ўліковыя запісы будуць адноўлены, укараніце гэтыя пяць сродкаў абароны, каб інфармацыйныя выкрадальнікі больш ніколі не змаглі захапіць ваша лічбавае жыццё:

• НІКОЛІ не захоўвайце паролі ва ўбудаваным менеджэры пароляў вашага вэб-браўзера (Chrome / Edge / Brave / Firefox Autofill) без апаратнага/галоўнага ключа: кожны таварны інфармацыйны крадзеж на Зямлі нацэлены на Chrome Login Data Спачатку табліца SQLite. Уключыце ВЫКЛ "Прапаноўваць захоўваць паролі" chrome://password-manager/settings і захоўвайце свае паролі ў спецыяльным дыспетчары пароляў з нулявым веданнем (1Password, Bitwarden, Proton Pass або KeePassXC), наладжаным на Аўтаматычнае блакіраванне неадкладна, калі сістэма блакуецца або пасля 5 хвілін прастою.
• Уключыць «Уліковыя даныя сеанса, прывязаныя да прылады (DBSC)» і «Шыфраванне, прывязанае да праграмы» ў Chrome 127+: пераканайцеся, што Google Chrome або Edge абноўлены да апошняй версіі і ўсталяваны ў сістэмным каталогу па змаўчанні (C:\Program Files\Google\Chrome\Application) таму GoogleChromeElevationService можа прывязаць шыфраванне cookie да ўзроўняў прывілеяў сістэмы і апаратных ключоў TPM праз Уліковыя дадзеныя сеанса, прывязаныя да прылады (DBSC).
• Адключыце Windows Run Box (Win + R) або mshta.exe каб заблакаваць фальшывыя атакі CAPTCHA "ClickFix": Ніколі не націскайце Win + R -> Ctrl + V -> Enter калі вэб-сайт CAPTCHA, фальшывы экран Cloudflare або ўсплывальнае акно «Выправіць мікрафон / Выправіць шрыфт» просяць вас уставіць каманду ў дыялогавае акно «Выканаць» або тэрмінал, ні адзін законны вэб-сайт на Зямлі ніколі не спраўджвае чалавецтва, просячы вас уставіць код у Win + R або тэрмінал macOS.
• Выкарыстоўвайце апаратныя ключы бяспекі (YubiKey) або ключы доступу + патрабаванне паўторнай аўтэнтыфікацыі для канфідэнцыйных дзеянняў: у той час як выкрадзеныя сеансавыя файлы cookie абыходзяць запыты на першапачатковы ўваход, асноўныя платформы (Google, GitHub, Cloudflare, AWS, Coinbase) забяспечваюць павышаную аўтэнтыфікацыю (рэжым Sudo), якая патрабуе фізічнага націску FIDO2 YubiKey або біяметрычная праверка ключа доступу, перш чым дазволіць каму-небудзь з файламі cookie сесіі змяніць ваш пароль, экспартаваць даныя або дадаць адрас для зняцця.
• Праверце, ці з'явіўся ваш электронны ліст або журнал крадзяжоў у базах дадзеных маніторынгу Darknet: наведайце haveibeenpwned.com (які цяпер індэксуе мільёны адрасоў электроннай пошты ахвяраў журналаў крадзяжоў і ўзламаных даменаў) і ўключыць бясплатныя апавяшчэнні аб узломе Darknet для вашых адрасоў электроннай пошты.
• Ізалюйце ненадзейныя спампоўкі, мадыфікацыі гульняў і скрыпты іншых вытворцаў у віртуальнай машыне або Windows Sandbox: ніколі не запускайце неправераныя .exe, .msi, .dmg, .bat, або Python pip / Вузел npm скрыпты пасля ўстаноўкі непасрэдна ў галоўнай аперацыйнай сістэме, якая змяшчае вашы аўтэнтыфікаваныя сеансы вэб-браўзера і фінансавыя ўваходы. Уключыце Пясочніцу Windows (убудаваную ў Windows 10/11 Pro і Enterprise праз Уключэнне і выключэнне функцый Windows > Пясочніца Windows) або выкарыстоўвайце ізаляваную віртуальную машыну з нулявымі захаванымі файламі cookie ў браўзеры пры тэсціраванні ўтыліт іншых вытворцаў.

Часта задаюць пытанні¶

Звязаныя даведнікі¶

• Заражэнне шкоднаснымі праграмамі, праграмамі-вымагальнікамі і шпіёнскімі праграмамі
• Абыход фішынгу MFA і Adversary-in-the-Middle (AiTM).
• Блакаванне MFA: як аднавіць заблакаваныя акаўнты
• Уліковы запіс электроннай пошты ўзламаны, правілы перасылкі і аднаўленне
• Уцечка кашалька криптовалюты і кампраметацыя пачатковай фразы
• Блакаванне дыспетчара пароляў і экстранае аднаўленне сховішча
• Даведнік нумароў экстраных службаў

Крыніцы правераныя¶

• Агенцтва па кібербяспецы і інфраструктурнай бяспецы (CISA) і ФБР (Злучаныя Штаты): Сумесныя рэкамендацыі па кібербяспецы па шкоднасных праграмах Infostealer (LummaC2, RedLine, Rhadamanthys) і памяншэнні крадзяжу токенаў/сеансаў (CSAE24 / MITRE ATT&CK T1539: крадзеж файлаў cookie вэб-сеанса & T1550.004: Інтэрнэт Сеансавы файл cookie).
• Нацыянальны інстытут стандартаў і тэхналогій (NIST) (Злучаныя Штаты): NIST SP 800-63B: Рэкамендацыі па лічбавай ідэнтыфікацыі: кіраванне сесіямі, паўторная аўтэнтыфікацыя і прывязка маркераў.
• Кансорцыум Сусветнай павуціны (W3C) і архітэктура бяспекі Google Chromium: Спецыфікацыя ўліковых дадзеных сеанса, прывязаная да прылады (DBSC), і шыфраванне, прывязанае да праграмы Chrome (v20 DPAPI Elevation) Тэхнічная дакументацыя.
• Нацыянальны цэнтр кібербяспекі (NCSC) (Злучанае Каралеўства): Скарачэнне шкоднасных праграм, крадзяжоў інфармацыі і ўзлому сеансаў у карпаратыўных і спажывецкіх асяроддзях.
• Адкрыты сусветны праект бяспекі прыкладанняў (OWASP): Шпаргалка па кіраванні сесіямі і стандарты адклікання токенаў OAuth 2.0 (RFC 7009).