Отвличане на токени за сесии, злонамерен софтуер Infostealer и глобално отнемане на сесии¶

Откриването, че нападател току-що е публикувал измами с криптовалута от вашия акаунт в YouTube, Instagram, Discord или X, е създал правила за препращане във вашата пощенска кутия в Gmail или Microsoft 365 или е осъществил достъп до вашата корпоративна облачна конзола без изобщо да задейства 2FA код на вашия телефон или имейл предупреждение за „Ново влизане“ е безпогрешният подпис на отвличане на сесийни бисквитки/токени (Pass-the-Cookie), причинено от Infostealer Malware. Когато влезете в уебсайт и поставите отметка на „Дръжте ме в профила си“, сървърът издава криптирана бисквитка за HTTP сесия или OAuth токен на носител (като например на Google SID / SAPISID, на Microsoft ESTSAUTHPERSISTENT, или на Discord Authorization токен), съхранявани в локалната база данни SQLite на вашия уеб браузър.

Фамилиите зловреден софтуер за крадец на стоки, включително Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys и Atomic macOS Stealer (AMOS), не чакат на вашия компютър като традиционните вируси. Често маскиран като фалшив мод на игра, кракнат инсталатор на софтуер, фалшива подкана за CAPTCHA на PowerShell „ClickFix“ или PDF файл за сътрудничество със спонсори, крадецът на информация се изпълнява за под 4 секунди, дешифрира вашия Chrome, Edge, Brave или Firefox Cookies и Login Data бази данни в паметта, архивира ги с файловете на вашия портфейл за криптовалута на работния плот, качва архива на сървър на Telegram или C2 и се изтрива. Когато нападателят импортира вашите откраднати сесийни бисквитки в браузър против откриване (Multilogin, Dolphin{anty}, или Gologin), уеб сървърът смята, че атакуващият е вашият вече удостоверен компютър, напълно заобикаляйки както вашата парола, така и вашето двуфакторно удостоверяване.

Направете това сега¶

1. СПРЕТЕ да променяте паролите си на заразения компютър, незабавно изключете този компютър или Mac от Wi-Fi и извадете неговия Ethernet кабел. Това е грешка №1, която правят жертвите: забелязват, че техните Discord, Steam или Gmail са били отвлечени, сядат на точно същия заразен настолен компютър и въвеждат чисто нови пароли в Chrome. Ако зареждането на постоянство или планираната задача на infostealer все още е активна на тази машина, тя незабавно ще улови новите ви пароли и новите сесийни бисквитки и ще ги изпрати обратно на нападателя. Правете 100 процента от промените на паролата си и анулирането на сесии от чист смартфон (с клетъчни данни или чист Wi-Fi) или отделен, непипан лаптоп.
2. Разберете, че промяната на парола сама по себе си НЕ винаги прави невалидни откраднати сесийни бисквитки или OAuth токени за опресняване, ТРЯБВА изрично да щракнете върху „Изход от всички сесии“ И да отмените OAuth приложения на трети страни. На няколко платформи (и с недокументираните на Google MultiLogin / issueToken OAuth крайни точки или дълготрайни сесийни токени), просто промяната на вашата парола или завъртането на 2FA може да остави съществуващите вторични сесийни токени или OAuth десктоп токени живи, освен ако не изпълните специфичните за платформата Глобална сесия и анулиране на токени стъпки в таблицата по-долу.
3. Ако имате софтуерно разширение за портфейл за криптовалута (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum), инсталирано на заразения компютър, използвайте чист телефон точно сега, за да евакуирате средствата си към чисто нова начална фраза за хардуерен портфейл. Регистрационните файлове на Infostealer автоматично събират криптираните файлове на трезора (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn за MetaMask) заедно със запазените пароли на вашия браузър. Дори ако нападателят все още не е докоснал вашата криптовалута, вашият файл в трезора вече стои на пазара на даркнет и чака офлайн GPU кракер. Изпълнете нашите източване на портфейла за криптовалута и компрометиране на началната фраза ръководство веднага.
4. Защитете своите „Акаунти за идентичност на Apex“ (Основен имейл, Мениджър на пароли, Apple/Google акаунт и Корпоративен SSO) през първите 10 минути. На чистия си смартфон отворете основния си Google / Gmail (myaccount.google.com/device-activity) и Microsoft (mysignins.microsoft.com) сметки първо. Излезте от всички сесии на работния плот, завъртете главната парола, проверете Настройки > Препращане и POP/IMAP и Филтри/Правила, за да изтриете всички скрити правила за препращане на имейли, създадени от атакуващия, за да скриете имейли за повторно задаване на парола от други услуги, и проверете регистрираните пароли и устройства за удостоверяване.
5. Проверете системния регистър на Windows Run ключове, планировчик на задачи и история на PowerShell, ако наскоро сте изпълнили фалшива CAPTCHA команда „ClickFix“ (Win + R -> Ctrl + V). Един от най-бързо развиващите се вектори за кражба на информация днес е фалшив изскачащ прозорец на Cloudflare или Google CAPTCHA на уеб страница, който ви инструктира да "Натиснете Win + R, натиснете Ctrl + Vи натиснете Enter за да потвърдите, че сте човек" (което тихо изпълнява скрит mshta.exe или powershell -w hidden -enc ... команда, копирана във вашия клипборд).
6. Поддържайте перспектива и защитавайте физическата безопасност, ако пробивът включва корпоративна инфраструктура или изнудване. Регистрационните файлове на Infostealer често задействат автоматизирани имейли за откуп или сексуално изнудване, цитиращи вашата открадната парола. Никога не плащайте на изнудвачи; вижте нашите сексуално изнудване и онлайн изнудване ръководство и ако някога се изправите пред физическа заплаха, обадете се на местния номер за спешни повиквания (911 в Съединените щати и Канада, 112 в целия Европейски съюз, 999 в Обединеното кралство или вижте нашия номера за спешни случаи указател).

Infostealer и дърво на решението за реакция при отвличане на сесийни бисквитки¶

flowchart TD
    Root["Подозрение за отвличане на сесийни бисквитки или инфекция със зловреден софтуер Infostealer"] --> IsolatePC["СТЪПКА 1: Незабавно изключете заразения PC/Mac от Wi-Fi и Ethernet (НЕ променяйте паролите на заразения компютър)"]

    IsolatePC --> CryptoCheck{"Имаше ли някакви разширения за крипто портфейл (MetaMask, Phantom, Exodus) на този компютър?"}
    CryptoCheck -->|"да"| EvacCrypto["Използвайте незабавно чист портфейл за телефон/хардуер, за да прехвърлите всички крипто активи към чисто нова начална фраза"]
    CryptoCheck -->|"не"| ApexLock["СТЪПКА 2: На чист смартфон първо заключете основния имейл (Gmail, Outlook, Proton)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["СТЪПКА 3: Изпълнете глобална сесия + OAuth Token + Отмяна на ключ за достъп във всички критични акаунти (вижте матрицата на платформата по-долу)"]

    GlobalRevoke --> ExportList["СТЪПКА 4: На офлайн заразен компютър експортирайте списък с всички запазени пароли и бисквитки на браузъра, за да знаете кои точно акаунти са били откраднати"]

    ExportList --> CleanOS["СТЪПКА 5: Архивирайте само лични документи -> Извършете чисто изтриване/преинсталиране на ОС -> Повторно регистриране на пароли и активиране на шифроване, свързано с приложение на Chrome"]

Разбиране как Infostealers заобикалят 2FA и DPAPI / Keychain криптиране¶

Как може 200-килобайтова програма да открадне пароли и сесийни бисквитки, които Google Chrome, Microsoft Edge и Brave криптират на вашия твърд диск?

1. Windows DPAPI (CryptUnprotectData) и шифроване, свързано с приложението на Chrome (v20):
2. В Windows базираните на Chromium браузъри (Chrome, Edge, Brave, Opera, Vivaldi) съхраняват вашите запазени пароли вътре %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data и сесийните ви бисквитки вътре \Network\Cookies.
3. Тези SQLite бази данни са криптирани с главен ключ AES-256-GCM, съхранен в %LOCALAPPDATA%\Google\Chrome\User Data\Local State, който е защитен от Windows Data Protection API (DPAPI), свързан с вашия влязъл в Windows потребителски акаунт.
4. Тъй като сте стартирали infostealer като ваш собствен влязъл потребител на Windows, всеки процес, работещ под вашия потребителски акаунт, може исторически да извика CryptUnprotectData() за да помолите Windows да дешифрира ключа. И за да заобиколите Chrome 127+ свързаното с приложението криптиране (v20 асансьорно обслужване), съвременните крадци на информация инжектират директно в безглав chrome.exe процес на отстраняване на грешки (--remote-debugging-port) или използвайте повишаване на COM, за да поискате от самия Chrome да изхвърли всички активни дешифрирани бисквитки.
5. macOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. В Apple macOS крадците на информация, маскирани като .dmg изтегляния (често изискващи от вас "Щракнете с десния бутон -> Отвори" или плъзнете иконата до Терминал, за да заобиколите Apple Gatekeeper) изскача фалшив естествен диалогов прозорец на macOS, който гласи "Системните предпочитания искат достъп до вашата поверителна информация: Въведете паролата за влизане в Mac". В момента, в който въведете вашата парола за влизане в Mac в тази подкана, скриптът се отключва -/Library/Keychains/login.keychain-db и копира Safari/Chrome бисквитки, Apple Notes и iCloud токени.
7. ** Google MultiLogin / OAuthLogin Експлойт за възстановяване на токени**:
8. Изследователите по сигурността разкриха, че крадците на информация не само крадат стандартни уеб бисквитки, но и извличат недокументирани oauth_token сервизни токени от Chrome Web Data (token_service таблица) SQLite файл. Дори след като жертвата промени паролата си в Google веднъж, нападателите биха могли преди това да повторят откраднатата token_service OAuth токен срещу вътрешния на Google OAuthLogin крайна точка за изсичане на чисто нови валидни SID бисквитки на браузъра, освен ако потребителят изрично не е излязъл от компрометираната сесия на устройство с Chrome И е отменил достъпа на трета страна/OAuth устройство.

Стъпка 1: Глобална матрица за сесия, бисквитка, OAuth и анулиране на ключ за достъп¶

Използвайки чист смартфон или чист вторичен компютър, обработете точно тази таблица отгоре надолу. Поръчката има значение: винаги правете Стъпка A (Изход от всички активни сесии/устройства) и Стъпка B (Промяна на парола) и Стъпка C (Одит 2FA/Пароли/OAuth/Препращане) заедно, ако само промените паролата си, без да прекъсвате активните сесии, разделът на браузъра на нападателя остава влязъл и може да ви наблюдава или да добави измамник метод за възстановяване.

Стъпка 2: Как да откриете ВСЕКИ акаунт, който е бил разкрит на вашия заразен компютър¶

След като сте заключили своите 10 най-важни критични акаунта на чистия си телефон, се сблъсквате с обезсърчителен въпрос: „Използвах този компютър в продължение на четири години, как да разбера кой от моите 250 уебсайта е запазил пароли или активни бисквитки в Chrome/Edge, когато крадецът на информация е стартиран?“

Докато държите заразения компютър 100 процента офлайн (Wi-Fi ИЗКЛЮЧЕН, Ethernet изключен), включете го и извлечете точния си списък на експозицията, преди да изтриете машината:

1. Експортирайте вашия списък със запазени пароли в браузъра (CSV):
2. Отворете браузъра си офлайн (chrome://password-manager/settings в Chrome, edge://wallet/settings в Edge, или about:logins във Firefox) и щракнете върху Експортиране на пароли, за да запазите Chrome Passwords.csv върху чисто USB флаш устройство.
3. Защо този файл е златен за вашето възстановяване: Инфокрадецът е откраднал точно тази база данни. Имайки Chrome Passwords.csv пред вас ви дава точния контролен списък на всяко потребителско име и парола за всеки уебсайт, които атакуващият сега притежава, така че да не пропуснете стар данъчен портал, сметка за мили на авиокомпания или сайт за пазаруване със запазена кредитна карта.
4. Проверете кои уебсайтове са имали активни сесийни бисквитки (chrome://settings/content/all):
5. В Chrome или Edge (докато сте офлайн), отидете на chrome://settings/content/all (или edge://settings/content/all) и сортирайте по Съхранени данни или Най-посещавани. Всеки уебсайт, в който сте останали влезли, без да въвеждате парола, е уязвим за кражба на сесийни бисквитки и сесията му трябва да бъде прекратена.
6. Проверете дали вашият самостоятелен мениджър на пароли (1Password, Bitwarden, KeePassXC) е бил отключен в момента на заразяване:
7. Ако вашият трезор 1Password, Bitwarden или KeePassXC е бил ЗАКЛЮЧЕН, когато е стартиран крадецът на информация: Злонамереният софтуер може да вземе само шифрования кеш на локалния трезор (data.json или .kdbx), който е защитен от PBKDF2-SHA256 / Argon2id + вашата главна парола (и 34-знаков таен ключ в 1Password). Ако вашата главна парола е силна, съдържанието на вашия трезор остава безопасно, въпреки че все пак трябва да завъртите главната си парола като предпазна мярка.
8. Ако вашето разширение на браузъра за мениджър на пароли е ОТКЛЮЧЕНО в паметта, когато злонамереният софтуер е стартиран (или ако сте запазили главната си парола за мениджъра на пароли във вграденото автоматично попълване на Chrome.): Да приемем, че крадецът на информация е изхвърлил вашето хранилище или е уловил вашата главна парола и завъртете всички критични идентификационни данни във вашето хранилище.

Стъпка 3: Преследване и изкореняване на постоянството на Infostealer, преди да изтриете операционната система¶

Преди да архивирате личните си документи и да извършите чиста преинсталация на ОС, можете да проверите как крадецът на информация е влязъл във вашата система и дали е изпуснал постоянен вторичен товарач (като планирана задача, регистър Run ключ, Стартиране .lnk пряк път или злонамерено разширение на Chrome):

1. Стартирайте този офлайн PowerShell Persistence Audit (Windows)¶

Отворете PowerShell (Admin) на офлайн компютъра и изпълнете тези четири криминалистични проверки само за четене:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Защо преинсталиране на чиста операционна система (чрез USB носител) се препоръчва след Infostealer¶

Докато изпълнявате Microsoft Defender Offline Scan и Malwarebytes след изчистване на изключенията на Defender премахва известни зареждащи устройства за постоянство, крадците на информация често включват вторичен RAT (троянски кон за отдалечен достъп), SystemBC SOCKS5 прокси или зловреден софтуер за подстригване (който тихо наблюдава вашия клипборд на Windows и разменя всички копирани Адрес на портфейла Bitcoin/Ethereum с адреса на хакера). - След като копирате вашите лични документи, снимки и Chrome Passwords.csv извън офлайн компютъра, извършете чисто Windows 11 USB преинсталиране (или macOS Изтриване на цялото съдържание и настройки), следвайки нашите ръководство за заразяване със злонамерен софтуер, рансъмуер и шпионски софтуер.

3. Проверка на macOS и Linux системи за артефакти на Infostealer (Atomic macOS Stealer / AMOS, Poseidonи злонамерени разширения на браузъра)¶

Ако вашата заразена машина е Apple MacBook/iMac или работна станция за разработчици на Linux, а не компютър с Windows, изпълнете тези офлайн проверки на терминала, за да откриете и премахнете устойчивостта:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Корпоративно и облачно администриране (Microsoft Entra ID, Okta, Google Workspace и AWS IAM)¶

Ако компютърът, заразен от инфокрадец, е принадлежал на софтуерен инженер, администратор на DevOps или корпоративен служител, който е имал активни сесии в Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS или Cloudflare, локалното почистване на устройството е само половината от битката. Незабавно изпълнете тези анулирания на облачна директория:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Щракването върху „Изход“ в един браузър не винаги отменя първичните токени за опресняване (PRT) или Azure CLI (az login / .azure/msal_token_cache.bin) жетони, копирани от диск. Трябва да стартира Entra Administrator Revoke-MgUserSignInSession -UserId user@company.com в Microsoft Graph PowerShell за нулиране на потребителския signInSessionsValidFromDateTime атрибут и обезсилва всички токени за опресняване във всички крайни точки едновременно.
• AWS CLI & Ротация на токени на разработчици (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Крадците на информация за стоки изрично сканират домашната директория на всеки потребител за .aws/credentials, .ssh/id_ed25519, .gitconfig, .envи конфигурационните файлове на Docker/Kubernetes. Незабавно деактивирайте и завъртете всички AWS IAM ключове за достъп (AKIA...) в AWS конзолата отменете GitHub Personal Access Tokens (ghp_...) и изтрийте откритите SSH публични ключове от производствените сървъри (-/.ssh/authorized_keys).
• Съобщения за настолен компютър и изчистване на токени за VPN клиент (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Отвъд уеб браузърите, модулите за кражба на информация конкретно копират %APPDATA%\Telegram Desktop\tdata директория (която позволява на атакуващ да клонира целия ви акаунт в Telegram на своя компютър без SMS код), %APPDATA%\Slack\storage, и запази OpenVPN (.ovpn) / WireGuard (.conf) корпоративни VPN профили. Отворете Telegram на телефона си (Настройки > Устройства -> Прекратяване на всички други сесии), излезте от всички работни пространства на Slack (slack.com/account/settings -> Излезте от всички останали сесии) и помолете вашия мрежов администратор да анулира и издаде отново вашия сертификат за корпоративен VPN клиент.

Превенция: Как да направите браузъра и акаунтите си устойчиви на Infostealers¶

След като системата ви е чиста и акаунтите ви бъдат възстановени, внедрите тези пет защити, така че крадецът на информация никога повече да не може да отвлече цифровия ви живот:

• НИКОГА не съхранявайте пароли във вградения мениджър на пароли на вашия уеб браузър (Chrome / Edge / Brave / Firefox Autofill) без хардуерен/главен ключ: Всеки крадец на информация на стоки на Земята се насочва към Chrome Login Data Първо SQLite таблица. Изключете ИЗКЛЮЧЕНО „Предложение за запазване на пароли“ в chrome://password-manager/settings и съхранявайте вашите пароли в специален мениджър на пароли с нулево знание (1Password, Bitwarden, Proton Pass или KeePassXC), конфигуриран да Автоматично заключване незабавно, когато системата се заключи или след 5 минути неактивност.
• Активирайте „Device-Bound Session Credentials (DBSC)“ и „App-Bound Encryption“ в Chrome 127+: Уверете се, че Google Chrome или Edge са актуализирани до най-новата версия и инсталирани в системната директория по подразбиране (C:\Program Files\Google\Chrome\Application) така че GoogleChromeElevationService може да обвърже криптиране на бисквитки към нива на системни привилегии и TPM хардуерни ключове чрез Device-Bound Session Credentials (DBSC).
• Деактивирайте Windows Run Box (Win + R) или mshta.exe за блокиране на "ClickFix" фалшиви CAPTCHA атаки: Никога не натискайте Win + R -> Ctrl + V -> Enter когато уебсайт CAPTCHA, фалшив екран на Cloudflare или изскачащ прозорец „Коригиране на микрофон / Коригиране на шрифт“ ви помоли да поставите команда в диалоговия прозорец за изпълнение или терминала, нито един законен уебсайт на Земята никога не проверява човечеството, като ви моли да поставите код в Win + R или macOS терминал.
• Използване на хардуерни ключове за сигурност (YubiKey) или пароли + Изискване на повторно удостоверяване за чувствителни действия: Докато откраднатите сесийни бисквитки заобикалят първоначалните подкани за влизане, основните платформи (Google, GitHub, Cloudflare, AWS, Coinbase) налагат Step-Up Authentication (Sudo Mode), изискващо физическо докосване на FIDO2 YubiKey или биометрична проверка на парола, преди да позволите на всеки със сесийна бисквитка да промени вашата парола, да експортира данни или да добави адрес за теглене.
• Проверете дали вашият имейл или регистър на крадец се е появил в базите данни за наблюдение на Darknet: Посетете haveibeenpwned.com (който сега индексира милиони имейл адреси на жертви на крадец и компрометирани домейни) и активира безплатни известия за пробив в darknet за вашите имейл адреси.
• Изолирайте ненадеждни изтегляния, модификации на игри и скриптове на трети страни във виртуална машина или Windows Sandbox: Никога не стартирайте непроверени .exe, .msi, .dmg, .bat, или Python pip / Възел npm скриптове след инсталиране директно в операционната система на хоста, която съхранява вашите удостоверени сесии на уеб браузър и финансови влизания. Активирайте Windows Sandbox (вграден в Windows 10/11 Pro и Enterprise чрез Включване или изключване на функции на Windows > Windows Sandbox) или използвайте изолирана виртуална машина с нула запазени бисквитки на браузъра, когато тествате помощни програми на трети страни.

Често задавани въпроси¶

Свързани ръководства¶

• Заразяване със злонамерен софтуер, ransomware и шпионски софтуер
• MFA фишинг и заобикаляне на Adversary-in-the-Middle (AiTM).
• Блокиране на MFA: как да възстановите заключените акаунти
• Хакнат имейл акаунт, правила за препращане и възстановяване
• Източване на портфейла на криптовалута и компрометиране на началната фраза
• Заключване на мениджъра на пароли и спешно възстановяване на трезора
• Указател с номера за спешни случаи

Проверени източници¶

• Агенция за киберсигурност и сигурност на инфраструктурата (CISA) и ФБР (САЩ): Съвместни съвети за киберсигурност относно зловреден софтуер Infostealer (LummaC2, RedLine, Rhadamanthys) и смекчаване на кражбата на токени/сесии (CSAE24 / MITRE ATT&CK T1539: кражба на бисквитка за уеб сесии & T1550.004: Уеб Сесийна бисквитка).
• Национален институт за стандарти и технологии (NIST) (САЩ): NIST SP 800-63B: Насоки за цифрова идентичност: Управление на сесии, повторно удостоверяване и свързване на токени.
• World Wide Web Consortium (W3C) & Архитектура за сигурност на Google Chromium: Спецификация за идентификационни данни за сесия, свързана с устройство (DBSC) и шифроване, свързано с приложение на Chrome (v20 DPAPI Elevation) Техническа документация.
• Национален център за киберсигурност (NCSC) (Обединено кралство): Намаляване на зловреден софтуер, крадци на информация и отвличане на сесии в корпоративни и потребителски среди.
• Отворен световен проект за сигурност на приложенията (OWASP): Шифов лист за управление на сесии и стандарти за отмяна на OAuth 2.0 Token (RFC 7009).