সেশন টোকেন হাইজ্যাকিং, ইনফোস্টিলার ম্যালওয়্যার এবং গ্লোবাল সেশন প্রত্যাহার¶

আবিষ্কার করা যে একজন আক্রমণকারী এইমাত্র আপনার YouTube, Instagram, Discord, বা X অ্যাকাউন্ট থেকে ক্রিপ্টোকারেন্সি স্ক্যাম পোস্ট করেছে, আপনার Gmail বা Microsoft 365 ইনবক্সে ফরোয়ার্ডিং নিয়ম তৈরি করেছে, অথবা আপনার কর্পোরেট ক্লাউড কনসোল অ্যাক্সেস করেছে আপনার ফোনে 2FA কোড ট্রিগার না করে বা "নতুন লগইন" ইমেল সতর্কতা ** অস্বীকৃতির/স্বাক্ষর সহকারে ** (পাস-দ্য-কুকি) ইনফোস্টিলার ম্যালওয়্যার দ্বারা সৃষ্ট। আপনি যখন কোনো ওয়েবসাইটে লগ ইন করেন এবং "আমাকে সাইন ইন করে রাখুন" চেক করেন, সার্ভার একটি এনক্রিপ্ট করা HTTP সেশন কুকি বা OAuth বহনকারী টোকেন (যেমন Google-এর SID / SAPISID, মাইক্রোসফট এর ESTSAUTHPERSISTENT, অথবা ডিসকর্ডের Authorization টোকেন) আপনার ওয়েব ব্রাউজারের স্থানীয় SQLite ডাটাবেসের মধ্যে সংরক্ষিত।

কমোডিটি ইনফোস্টিলার ম্যালওয়্যার পরিবার, যার মধ্যে রয়েছে লুমা স্টিলার, রেডলাইন, ভিদার, র‍্যাকুন, স্টিলসি, রাইজপ্রো, র‌্যাডামন্থিস এবং অ্যাটমিক ম্যাকোস স্টিলার (AMOS), ঐতিহ্যগত ভাইরাসের মতো আপনার কম্পিউটারে অপেক্ষা করবেন না৷ প্রায়শই একটি নকল গেম মোড, ক্র্যাক করা সফ্টওয়্যার ইনস্টলার, নকল "ClickFix" পাওয়ারশেল ক্যাপচা প্রম্পট বা স্পনসর সহযোগিতা PDF হিসাবে ছদ্মবেশে, একটি ইনফোস্টেলার 4 সেকেন্ডের মধ্যে কার্যকর করে, আপনার Chrome, Edge, Brave, বা Firefox ডিক্রিপ্ট করে Cookies এবং Login Data মেমরিতে ডেটাবেস, আপনার ডেস্কটপ ক্রিপ্টোকারেন্সি ওয়ালেট ফাইলের সাথে জিপ করে, একটি টেলিগ্রাম বা C2 সার্ভারে সংরক্ষণাগার আপলোড করে এবং নিজেই মুছে দেয়। যখন আক্রমণকারী আপনার চুরি করা সেশন কুকিজ একটি অ্যান্টি-ডিটেক্ট ব্রাউজারে আমদানি করে (Multilogin, Dolphin{anty}, বা Gologin), ওয়েব সার্ভার মনে করে যে আক্রমণকারী *আপনার ইতিমধ্যেই-প্রমাণিত কম্পিউটার, আপনার পাসওয়ার্ড এবং আপনার দ্বি-ফ্যাক্টর প্রমাণীকরণ উভয়কেই সম্পূর্ণভাবে বাইপাস করে।

এখন এই কাজ¶

1. **সংক্রমিত কম্পিউটারে আপনার পাসওয়ার্ড পরিবর্তন করা বন্ধ করুন, অবিলম্বে সেই PC বা Macকে Wi-Fi থেকে সংযোগ বিচ্ছিন্ন করুন এবং এর ইথারনেট কেবলটি আনপ্লাগ করুন। ** এটি হল #1 ভুলের শিকাররা: তারা লক্ষ্য করেন যে তাদের ডিসকর্ড, স্টিম বা Gmail হাইজ্যাক করা হয়েছে, ঠিক একই সংক্রামিত ডেস্কটপ পিসিতে বসুন এবং Chrome-এ একেবারে নতুন পাসওয়ার্ড টাইপ করুন। যদি কোনও ইনফোস্টেলার পারসিসটেন্স লোডার বা নির্ধারিত টাস্ক এখনও সেই মেশিনে সক্রিয় থাকে, এটি অবিলম্বে আপনার নতুন পাসওয়ার্ড এবং তাজা সেশন কুকিগুলি ক্যাপচার করবে এবং সেগুলিকে আক্রমণকারীর কাছে ফেরত পাঠাবে৷ একটি পরিষ্কার স্মার্টফোন (সেলুলার ডেটা বা ক্লিন ওয়াই-ফাই) অথবা একটি আলাদা, স্পর্শবিহীন ল্যাপটপ থেকে আপনার পাসওয়ার্ডের 100 শতাংশ পরিবর্তন এবং সেশন প্রত্যাহার করুন।
2. বুঝুন যে একা পাসওয়ার্ড পরিবর্তন করা সবসময় চুরি হওয়া সেশন কুকিজ বা OAuth রিফ্রেশ টোকেনগুলিকে বাতিল করে না, আপনাকে অবশ্যই স্পষ্টভাবে "সকল সেশন থেকে সাইন আউট করুন" ক্লিক করতে হবে এবং তৃতীয় পক্ষের OAuth অ্যাপগুলি প্রত্যাহার করতে হবে। বেশ কয়েকটি প্ল্যাটফর্মে (এবং Google এর অনথিভুক্ত) MultiLogin / issueToken OAuth এন্ডপয়েন্ট বা দীর্ঘস্থায়ী সেশন টোকেন), কেবলমাত্র আপনার পাসওয়ার্ড পরিবর্তন করা বা 2FA ঘোরানো বিদ্যমান সেকেন্ডারি সেশন টোকেন বা OAuth ডেস্কটপ টোকেনগুলিকে জীবিত রাখতে পারে যদি না আপনি নীচের টেবিলে প্ল্যাটফর্ম-নির্দিষ্ট গ্লোবাল সেশন এবং টোকেন প্রত্যাহার পদক্ষেপগুলি কার্যকর না করেন৷
3. **যদি আপনার সংক্রামিত কম্পিউটারে একটি সফ্টওয়্যার ক্রিপ্টোকারেন্সি ওয়ালেট এক্সটেনশন (মেটামাস্ক, ফ্যান্টম, র‌্যাবি, ট্রাস্ট ওয়ালেট, কয়েনবেস ওয়ালেট, এক্সোডাস, ইলেকট্রাম) ইনস্টল করা থাকে, তাহলে এখনই একটি পরিষ্কার ফোন ব্যবহার করুন আপনার তহবিলকে একেবারে নতুন হার্ডওয়্যার ওয়ালেট বীজ বাক্যাংশে সরিয়ে নিতে।Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn মেটামাস্কের জন্য) আপনার ব্রাউজার সংরক্ষিত পাসওয়ার্ডের পাশাপাশি। এমনকি যদি আক্রমণকারী এখনও আপনার ক্রিপ্টো স্পর্শ না করে, আপনার ভল্ট ফাইল ইতিমধ্যেই একটি ডার্কনেট মার্কেটে বসে আছে একটি অফলাইন GPU ক্র্যাকারের জন্য অপেক্ষা করছে৷ আমাদের চালানো cryptocurrency ওয়ালেট ড্রেন এবং বীজ বাক্যাংশ আপস অবিলম্বে গাইড।
4. **প্রথম 10 মিনিটের মধ্যে আপনার "এপেক্স আইডেন্টিটি অ্যাকাউন্ট" (প্রাথমিক ইমেল, পাসওয়ার্ড ম্যানেজার, অ্যাপল/গুগল অ্যাকাউন্ট এবং কর্পোরেট এসএসও) সুরক্ষিত করুন। ** আপনার পরিষ্কার স্মার্টফোনে, আপনার প্রাথমিক গুগল/জিমেইল খুলুন (myaccount.google.com/device-activity) এবং Microsoft (mysignins.microsoft.com) প্রথমে অ্যাকাউন্ট। সমস্ত ডেস্কটপ সেশন থেকে সাইন আউট করুন, মাস্টার পাসওয়ার্ড ঘোরান, সেটিংস > ফরোয়ার্ডিং এবং POP/IMAP এবং ফিল্টার/নিয়ম চেক করুন যে কোনো লুকানো ইমেল ফরওয়ার্ডিং নিয়ম মুছে ফেলতে আক্রমণকারী অন্যান্য পরিষেবা থেকে পাসওয়ার্ড-রিসেট ইমেলগুলি লুকানোর জন্য তৈরি করেছে, এবং নিবন্ধিত পাসকি এবং প্রমাণীকরণকারী ডিভাইসগুলি পরীক্ষা করে দেখুন৷
5. আপনার উইন্ডোজ রেজিস্ট্রি অডিট করুন Run কী, টাস্ক শিডিউলার, এবং পাওয়ারশেল ইতিহাস যদি আপনি সম্প্রতি একটি "ক্লিকফিক্স" নকল ক্যাপচা কমান্ড চালান (Win + R -> Ctrl + V). আজকে সবচেয়ে দ্রুত বর্ধনশীল ইনফোস্টিলার ভেক্টরগুলির মধ্যে একটি হল একটি ওয়েবপেজে একটি নকল ক্লাউডফ্লেয়ার বা Google ক্যাপচা পপআপ যা আপনাকে "প্রেস করতে নির্দেশ দেয়৷ Win + R, টিপুন Ctrl + V, এবং টিপুন Enter আপনি মানুষ তা যাচাই করার জন্য" (যা নিঃশব্দে একটি লুকানো কাজ সম্পাদন করে mshta.exe বা powershell -w hidden -enc ... কমান্ড আপনার ক্লিপবোর্ডে অনুলিপি করা হয়েছে)।
6. দৃষ্টিকোণ বজায় রাখুন এবং শারীরিক নিরাপত্তা রক্ষা করুন যদি লঙ্ঘনের সাথে কর্পোরেট অবকাঠামো বা চাঁদাবাজি জড়িত থাকে। ইনফোস্টিলার লগগুলি ঘন ঘন আপনার চুরি করা পাসওয়ার্ড উদ্ধৃত করে স্বয়ংক্রিয় মুক্তিপণ বা সেক্সটর্শন ইমেলগুলিকে ট্রিগার করে। চাঁদাবাজদের কখনই টাকা দেবেন না; আমাদের দেখুন যৌন নির্যাতন এবং অনলাইন ব্ল্যাকমেইল নির্দেশিকা, এবং যদি আপনি কখনও শারীরিক হুমকির সম্মুখীন হন, তাহলে আপনার স্থানীয় জরুরি নম্বরে কল করুন (মার্কিন যুক্তরাষ্ট্র এবং কানাডায় 911, ইউরোপীয় ইউনিয়ন জুড়ে 112, যুক্তরাজ্যে 999, অথবা আমাদের জরুরী নম্বর ডিরেক্টরি)।

ইনফোস্টিলার এবং সেশন কুকি হাইজ্যাকিং ঘটনার প্রতিক্রিয়া সিদ্ধান্ত ট্রি¶

flowchart TD
    Root["সন্দেহজনক সেশন কুকি হাইজ্যাকিং বা ইনফোস্টিলার ম্যালওয়্যার সংক্রমণ"] --> IsolatePC["ধাপ 1: অবিলম্বে Wi-Fi এবং ইথারনেট থেকে সংক্রামিত PC/Mac সংযোগ বিচ্ছিন্ন করুন (সংক্রমিত পিসিতে পাসওয়ার্ড পরিবর্তন করবেন না)"]

    IsolatePC --> CryptoCheck{"সেই পিসিতে কি কোন ক্রিপ্টো ওয়ালেট এক্সটেনশন (মেটামাস্ক, ফ্যান্টম, এক্সোডাস) ছিল?"}
    CryptoCheck -->|"হ্যাঁ"| EvacCrypto["একটি সম্পূর্ণ নতুন বীজ বাক্যাংশে সমস্ত ক্রিপ্টো সম্পদকে সুইপ করার জন্য অবিলম্বে একটি পরিষ্কার ফোন/হার্ডওয়্যার ওয়ালেট ব্যবহার করুন"]
    CryptoCheck -->|"না"| ApexLock["ধাপ 2: একটি পরিষ্কার স্মার্টফোনে, প্রাথমিক ইমেল (Gmail, Outlook, Proton) প্রথমে লক ডাউন করুন"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["ধাপ 3: সমস্ত জটিল অ্যাকাউন্ট জুড়ে গ্লোবাল সেশন + OAuth টোকেন + পাসকি প্রত্যাহার চালান (নীচে প্ল্যাটফর্ম ম্যাট্রিক্স দেখুন)"]

    GlobalRevoke --> ExportList["ধাপ 4: অফলাইন সংক্রমিত পিসিতে, কোন অ্যাকাউন্টগুলি চুরি হয়েছে তা সঠিকভাবে জানতে সমস্ত সংরক্ষিত ব্রাউজার পাসওয়ার্ড এবং কুকিজের তালিকা রপ্তানি করুন"]

    ExportList --> CleanOS["ধাপ 5: শুধুমাত্র ব্যক্তিগত নথির ব্যাক আপ নিন -> ক্লিন ওএস ওয়াইপ/পুনরায় ইনস্টল করুন -> পাসকিগুলি পুনরায় নথিভুক্ত করুন এবং Chrome অ্যাপ-বাউন্ড এনক্রিপশন সক্ষম করুন"]

কিভাবে Infostealers 2FA এবং DPAPI / কীচেন এনক্রিপশন বাইপাস করে তা বোঝা¶

কিভাবে একটি 200-কিলোবাইট প্রোগ্রাম আপনার হার্ড ড্রাইভে Google Chrome, Microsoft Edge এবং Brave এনক্রিপ্ট করা পাসওয়ার্ড এবং সেশন কুকিজ চুরি করতে পারে?

1. উইন্ডোজ ডিপিএপিআই (CryptUnprotectData) এবং ক্রোম অ্যাপ-বাউন্ড এনক্রিপশন (v20):
2. Windows-এ, Chromium-ভিত্তিক ব্রাউজার (Chrome, Edge, Brave, Opera, Vivaldi) আপনার সংরক্ষিত পাসওয়ার্ড ভিতরে সংরক্ষণ করে %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data এবং ভিতরে আপনার সেশন কুকিজ \Network\Cookies.
3. এই SQLite ডেটাবেসগুলি একটি AES-256-GCM মাস্টার কী দিয়ে এনক্রিপ্ট করা হয়েছে %LOCALAPPDATA%\Google\Chrome\User Data\Local State, যা Windows Data Protection API (DPAPI) দ্বারা সুরক্ষিত আপনার লগ-ইন করা Windows ব্যবহারকারী অ্যাকাউন্টের সাথে সংযুক্ত।
4. যেহেতু আপনি ইনফোস্টেলারটি আপনার নিজের লগ-ইন উইন্ডোজ ব্যবহারকারী হিসাবে চালান, আপনার ব্যবহারকারী অ্যাকাউন্টের অধীনে চলমান যে কোনও প্রক্রিয়া ঐতিহাসিকভাবে কল করতে পারে CryptUnprotectData() উইন্ডোজকে কী ডিক্রিপ্ট করতে বলুন। এবং বাইপাস করতে Chrome 127+ অ্যাপ-বাউন্ড এনক্রিপশন (v20 এলিভেটর সার্ভিস), আধুনিক ইনফোস্টেলাররা সরাসরি হেডলেস ইনজেক্ট করে chrome.exe ডিবাগিং প্রক্রিয়া (--remote-debugging-port) অথবা সমস্ত লাইভ ডিক্রিপ্ট করা কুকি ডাম্প করতে ক্রোমকেই বলতে COM উচ্চতা ব্যবহার করুন৷
5. macOS কীচেন এবং পারমাণবিক macOS স্টিলার (AMOS / PoseStealer):
6. Apple macOS-এ, infostealers ছদ্মবেশে .dmg ডাউনলোডগুলি (প্রায়শই আপনাকে "রাইট-ক্লিক -> খুলতে" বা অ্যাপল গেটকিপারকে বাইপাস করতে আইকনটিকে টার্মিনাল-এ টেনে আনতে বলা হয়) একটি নকল নেটিভ ম্যাকওএস ডায়ালগ বক্স পপ আপ করুন **"সিস্টেম পছন্দগুলি আপনার গোপনীয় তথ্য অ্যাক্সেস করতে চায়: আপনার ম্যাক লগইন পাসওয়ার্ড লিখুন"**৷ আপনি সেই প্রম্পটে আপনার ম্যাক লগইন পাসওয়ার্ড টাইপ করার সাথে সাথেই স্ক্রিপ্টটি আনলক হয়ে যায় -/Library/Keychains/login.keychain-db এবং Safari/Chrome কুকি, Apple Notes, এবং iCloud টোকেন কপি করে।
7. গুগল MultiLogin / OAuthLogin টোকেন পুনর্জন্ম শোষণ:
8. নিরাপত্তা গবেষকরা প্রকাশ করেছেন যে ইনফোস্টেলাররা শুধুমাত্র স্ট্যান্ডার্ড ওয়েব কুকিজ চুরি করে না, তারা অনথিভুক্ত ও বের করেoauth_token ক্রোমের ** থেকে পরিষেবা টোকেনWeb Data (token_service টেবিল)** SQLite ফাইল। এমনকি একজন ভিকটিম একবার তাদের Google পাসওয়ার্ড পরিবর্তন করার পরেও, আক্রমণকারীরা আগে চুরি করা জিনিসটি পুনরায় চালাতে পারত token_service Google এর অভ্যন্তরীণ বিরুদ্ধে OAuth টোকেন OAuthLogin টাকশাল একেবারে নতুন বৈধ শেষ পয়েন্ট SID ব্রাউজার কুকিজ যদি না ব্যবহারকারী স্পষ্টভাবে আপস করা Chrome ডিভাইস সেশন থেকে সাইন আউট করেন এবং তৃতীয়-পক্ষ/OAuth ডিভাইস অ্যাক্সেস প্রত্যাহার করেন।

ধাপ 1: গ্লোবাল সেশন, কুকি, OAuth, এবং পাসকি প্রত্যাহার ম্যাট্রিক্স¶

একটি পরিষ্কার স্মার্টফোন বা পরিষ্কার সেকেন্ডারি কম্পিউটার ব্যবহার করে, এই সঠিক সারণীটি উপরে থেকে নীচের দিকে কাজ করুন। অর্ডারের বিষয়: সবসময় করুন স্টেপ A (সকল সক্রিয় সেশন/ডিভাইস সাইন আউট করুন) এবং স্টেপ B (পাসওয়ার্ড পরিবর্তন করুন) এবং স্টেপ সি (অডিট 2FA/পাসকি/OAuth/ফরওয়ার্ডিং) একসাথে, আপনি যদি সক্রিয় সেশন বন্ধ না করে শুধুমাত্র আপনার পাসওয়ার্ড পরিবর্তন করেন, তাহলে আক্রমণকারীর লাইভ সেশন বা ব্রাউজার ট্যাবে যুক্ত থাকতে পারবেন পুনরুদ্ধারের পদ্ধতি।

ধাপ 2: আপনার সংক্রামিত কম্পিউটারে প্রকাশিত প্রতিটি অ্যাকাউন্ট কীভাবে খুঁজে বের করবেন¶

আপনি আপনার ক্লিন ফোনে আপনার সেরা 10টি সমালোচনামূলক অ্যাকাউন্ট লক করার পরে, আপনি একটি ভয়ঙ্কর প্রশ্নের মুখোমুখি হয়েছেন: "আমি সেই কম্পিউটারটি চার বছর ধরে ব্যবহার করেছি, আমি কীভাবে জানব যে আমার 250টি ওয়েবসাইটের মধ্যে কোনটি Chrome/Edge-এর মধ্যে পাসওয়ার্ড বা সক্রিয় কুকি সংরক্ষণ করেছিল যখন ইনফোস্টেলার চলেছিল?"

সংক্রামিত কম্পিউটার 100 শতাংশ অফলাইন (ওয়াই-ফাই বন্ধ, ইথারনেট আনপ্লাগড) রাখার সময়, এটি চালু করুন এবং মেশিনটি মুছে ফেলার আগে আপনার সঠিক এক্সপোজার ইনভেন্টরি বের করুন:

1. আপনার ব্রাউজার সংরক্ষিত পাসওয়ার্ডের তালিকা রপ্তানি করুন (CSV):
2. আপনার ব্রাউজার অফলাইনে খুলুন (chrome://password-manager/settings ক্রোমে, edge://wallet/settings এজ, বা about:logins Firefox-এ) এবং সংরক্ষণ করতে পাসওয়ার্ড রপ্তানি করুন এ ক্লিক করুন Chrome Passwords.csv একটি পরিষ্কার USB ফ্ল্যাশ ড্রাইভে।
3. কেন এই ফাইলটি আপনার পুনরুদ্ধারের জন্য সোনার মতো: ইনফোস্টেলার এই সঠিক ডাটাবেসটি চুরি করেছে। থাকা Chrome Passwords.csv আপনার সামনে আপনাকে দেয় আক্রমণকারীর কাছে থাকা প্রতিটি ওয়েবসাইটের ব্যবহারকারীর নাম এবং পাসওয়ার্ডের সঠিক চেকলিস্ট, যাতে আপনি একটি পুরানো ট্যাক্স পোর্টাল, এয়ারলাইন মাইলস অ্যাকাউন্ট, বা একটি সংরক্ষিত ক্রেডিট কার্ড সহ শপিং সাইট মিস করবেন না।
4. কোন ওয়েবসাইটে সক্রিয় সেশন কুকি ছিল তা পরিদর্শন করুন (chrome://settings/content/all):
5. ক্রোম বা এজ-এ (অফলাইনে থাকাকালীন), ** এ যানchrome://settings/content/all** (বা edge://settings/content/all) এবং ডেটা সংরক্ষিত বা সবচেয়ে বেশি দেখা অনুসারে সাজান। যেকোন ওয়েবসাইট যেখানে আপনি পাসওয়ার্ড টাইপ না করেই লগ ইন করেছেন সেশন কুকি চুরির জন্য ঝুঁকিপূর্ণ ছিল এবং এটির সেশন বন্ধ করতে হবে।
6. আপনার স্বতন্ত্র পাসওয়ার্ড ম্যানেজার (1Password, Bitwarden, KeePassXC) সংক্রমণের মুহুর্তে আনলক করা হয়েছে কিনা তা পরীক্ষা করুন:
7. যদি আপনার 1পাসওয়ার্ড, বিটওয়ার্ডেন, বা KeePassXC ভল্টটি লক করা থাকে যখন ইনফোস্টেলার চলে যায়: ম্যালওয়্যার শুধুমাত্র এনক্রিপ্ট করা স্থানীয় ভল্ট ক্যাশে দখল করতে পারে (data.json বা .kdbx), যা PBKDF2-SHA256 / Argon2id + আপনার মাস্টার পাসওয়ার্ড (এবং 1পাসওয়ার্ডে 34-অক্ষরের গোপন কী) দ্বারা সুরক্ষিত। আপনার মাস্টার পাসওয়ার্ড শক্তিশালী হলে, আপনার ভল্টের বিষয়বস্তু সুরক্ষিত থাকে, যদিও আপনার সতর্কতা হিসেবে আপনার মাস্টার পাসওয়ার্ড ঘোরানো উচিত।
8. যদি আপনার পাসওয়ার্ড ম্যানেজার ব্রাউজার এক্সটেনশনটি মেমরিতে আনলক করা থাকে যখন ম্যালওয়্যারটি চলে যায় (অথবা আপনি যদি Chrome-এর অন্তর্নির্মিত অটোফিলের মধ্যে আপনার পাসওয়ার্ড ম্যানেজার মাস্টার পাসওয়ার্ড সংরক্ষণ করেন।): অনুমান করুন ইনফোস্টেলার আপনার ভল্টটি ফেলে দিয়েছে বা আপনার মাস্টার পাসওয়ার্ড ক্যাপচার করেছে, এবং আপনার সমস্ত গুরুত্বপূর্ণ শংসাপত্রের ভিতরে ঘোরান৷

ধাপ 3: OS মুছে ফেলার আগে ইনফোস্টিলারের অধ্যবসায় শিকার করা এবং নির্মূল করা¶

আপনার ব্যক্তিগত নথিগুলির ব্যাক আপ নেওয়া এবং একটি পরিষ্কার OS পুনরায় ইনস্টল করার আগে, আপনি কীভাবে ইনফোস্টেলার আপনার সিস্টেমে প্রবেশ করেছে এবং এটি একটি স্থায়ী সেকেন্ডারি লোডার (যেমন একটি নির্ধারিত কাজ, রেজিস্ট্রি) ফেলেছে কিনা তা পরীক্ষা করতে পারেন Run কী, স্টার্টআপ .lnk শর্টকাট, বা দূষিত Chrome এক্সটেনশন):

1. এই অফলাইন পাওয়ারশেল পারসিস্টেন্স অডিট চালান (উইন্ডোজ)¶

অফলাইন পিসিতে পাওয়ারশেল (অ্যাডমিন) খুলুন এবং এই চারটি শুধুমাত্র-পঠনযোগ্য ফরেনসিক পরীক্ষা চালান:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. কেন একটি ইনফোস্টিলারের পরে একটি ক্লিন ওএস পুনরায় ইনস্টল (USB মিডিয়ার মাধ্যমে) সুপারিশ করা হয়¶

মাইক্রোসফ্ট ডিফেন্ডার অফলাইন স্ক্যান এবং ম্যালওয়্যারবাইট চালানোর সময় ডিফেন্ডার এক্সক্লুশনগুলি ক্লিয়ার করার পরে পরিচিত পারসিসটেন্স লোডারগুলিকে সরিয়ে দেয়, কমোডিটি ইনফোস্টেলাররা ঘন ঘন একটি সেকেন্ডারি RAT (রিমোট অ্যাক্সেস ট্রোজান), সিস্টেমবিসি SOCKS5 প্রক্সি বা মনিটর**, উইন্ডোজ ক্লিপবোর্ড এবং যেকোন কপি করা বিটকয়েন/ইথেরিয়াম ওয়ালেট ঠিকানা হ্যাকারের ঠিকানার সাথে অদলবদল করে)। - একবার আপনি আপনার ব্যক্তিগত নথি, ফটো এবং অনুলিপি করেছেন Chrome Passwords.csv অফলাইন পিসি বন্ধ করে, আমাদের অনুসরণ করে একটি পরিষ্কার Windows 11 USB রিইনস্টল (বা macOS মুছে ফেলুন সমস্ত সামগ্রী এবং সেটিংস) সম্পাদন করুন ম্যালওয়্যার, র্যানসমওয়্যার এবং স্পাইওয়্যার সংক্রমণ নির্দেশিকা.

3. ইনফোস্টিলার আর্টিফ্যাক্টের জন্য ম্যাকোস এবং লিনাক্স সিস্টেমের অডিটিং (Atomic macOS Stealer / AMOS, Poseidon, এবং ক্ষতিকারক ব্রাউজার এক্সটেনশন)¶

যদি আপনার সংক্রামিত মেশিনটি একটি Apple MacBook/iMac বা Windows PC এর পরিবর্তে একটি Linux ডেভেলপার ওয়ার্কস্টেশন হয়, তাহলে এই অফলাইন টার্মিনাল চেকগুলি শনাক্ত করুন এবং অধ্যবসায় নির্মূল করুন:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. এন্টারপ্রাইজ এবং ক্লাউড অ্যাডমিন কন্টেনমেন্ট (Microsoft Entra ID, Okta, Google Workspace, এবং AWS IAM)¶

ইনফোস্টেলার দ্বারা আক্রান্ত কম্পিউটারটি যদি একজন সফ্টওয়্যার ইঞ্জিনিয়ার, DevOps অ্যাডমিনিস্ট্রেটর, বা কর্পোরেট কর্মচারীর হয় যারা Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, বা Cloudflare-এ সক্রিয় সেশন করেছিলেন, স্থানীয় ডিভাইস পরিষ্কার করা মাত্র অর্ধেক যুদ্ধ। এই ক্লাউড ডিরেক্টরি প্রত্যাহার অবিলম্বে কার্যকর করুন:

• Microsoft Entra ID (Revoke-MgUserSignInSession): একটি একক ব্রাউজারে "সাইন আউট" ক্লিক করা সর্বদা প্রাথমিক রিফ্রেশ টোকেন (PRTs) বা Azure CLI (az login / .azure/msal_token_cache.bin) টোকেন ডিস্ক থেকে কপি করা হয়েছে। একজন এন্ট্রা অ্যাডমিনিস্ট্রেটরকে চালাতে হবে Revoke-MgUserSignInSession -UserId user@company.com Microsoft Graph PowerShell-এ ব্যবহারকারীর রিসেট করতে signInSessionsValidFromDateTime একই সাথে সমস্ত শেষ পয়েন্ট জুড়ে সমস্ত রিফ্রেশ টোকেন বৈশিষ্ট্যযুক্ত এবং বাতিল করুন।
• **AWS CLI এবং ডেভেলপার টোকেন রোটেশন (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config); .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, এবং Docker/Kubernetes কনফিগার ফাইল। অবিলম্বে নিষ্ক্রিয় করুন এবং সমস্ত AWS IAM অ্যাক্সেস কীগুলি ঘোরান (AKIA...) AWS কনসোলে, প্রত্যাহার করুন GitHub ব্যক্তিগত অ্যাক্সেস টোকেন (ghp_...), এবং প্রোডাকশন সার্ভার থেকে উন্মুক্ত SSH পাবলিক কী মুছে দিন (-/.ssh/authorized_keys)
• ডেস্কটপ মেসেজিং এবং ভিপিএন ক্লায়েন্ট টোকেন পার্জ (টেলিগ্রাম ডেস্কটপ tdata, সিগন্যাল, স্ল্যাক, ওপেনভিপিএন, ওয়্যারগার্ড): ওয়েব ব্রাউজারগুলির বাইরে, ইনফোস্টিলার মডিউলগুলি বিশেষভাবে অনুলিপি করে %APPDATA%\Telegram Desktop\tdata ডিরেক্টরি (যা একজন আক্রমণকারীকে একটি এসএমএস কোড ছাড়াই তাদের পিসিতে আপনার সম্পূর্ণ টেলিগ্রাম অ্যাকাউন্ট ক্লোন করতে দেয়), %APPDATA%\Slack\storage, এবং সংরক্ষিত OpenVPN (.ovpn) / ওয়্যারগার্ড (.conf) কর্পোরেট ভিপিএন প্রোফাইল। আপনার ফোনে টেলিগ্রাম খুলুন (সেটিংস> ডিভাইস -> অন্যান্য সমস্ত সেশন বন্ধ করুন), সমস্ত স্ল্যাক ওয়ার্কস্পেস সাইন আউট করুন (slack.com/account/settings -> অন্যান্য সমস্ত সেশন থেকে সাইন আউট করুন), এবং আপনার নেটওয়ার্ক অ্যাডমিনিস্ট্রেটরকে আপনার কর্পোরেট VPN ক্লায়েন্ট শংসাপত্র প্রত্যাহার এবং পুনরায় ইস্যু করতে বলুন।

প্রতিরোধ: কীভাবে আপনার ব্রাউজার এবং অ্যাকাউন্টগুলিকে ইনফোস্টেলারের বিরুদ্ধে প্রতিরোধী করা যায়¶

একবার আপনার সিস্টেম পরিষ্কার হয়ে গেলে এবং আপনার অ্যাকাউন্টগুলি পুনরুদ্ধার করা হলে, এই পাঁচটি প্রতিরক্ষা প্রয়োগ করুন যাতে কোনও ইনফোস্টিলার আপনার ডিজিটাল জীবনকে আর কখনও হাইজ্যাক করতে না পারে:

• কোনও হার্ডওয়্যার/মাস্টার কী ছাড়া আপনার ওয়েব ব্রাউজারের অন্তর্নির্মিত পাসওয়ার্ড ম্যানেজার (Chrome/Edge/brave/Firefox Autofill) এর ভিতরে পাসওয়ার্ড সংরক্ষণ করবেন না: পৃথিবীর প্রতিটি কমোডিটি ইনফোস্টিলার ক্রোমের লক্ষ্য করে Login Data SQLite টেবিল প্রথমে. বন্ধ* "পাসওয়ার্ড সংরক্ষণ করার অফার"* ইন করুন৷ chrome://password-manager/settings এবং আপনার পাসওয়ার্ডগুলিকে একটি ডেডিকেটেড, জিরো-নলেজ পাসওয়ার্ড ম্যানেজার (1Password, Bitwarden, Proton Pass, or KeePassXC) এর মধ্যে সংরক্ষণ করুন **সিস্টেম লক হয়ে গেলে বা অলস সময় 5 মিনিটের পরে ** অটো-লক করার জন্য কনফিগার করুন৷
• **ক্রোম 127+*-এ "ডিভাইস-বাউন্ড সেশন ক্রেডেনশিয়াল (DBSC)" এবং "অ্যাপ-বাউন্ড এনক্রিপশন" সক্ষম করুন: নিশ্চিত করুন যে Google Chrome বা Edge সর্বশেষ সংস্করণে আপডেট করা হয়েছে এবং ডিফল্ট সিস্টেম ডিরেক্টরিতে ইনস্টল করা আছে (C:\Program Files\Google\Chrome\Application) তাই GoogleChromeElevationService ডিভাইস-বাউন্ড সেশন ক্রেডেনশিয়াল (DBSC) এর মাধ্যমে সিস্টেম প্রিভিলেজ লেভেল এবং TPM হার্ডওয়্যার কীগুলিতে কুকি এনক্রিপশন আবদ্ধ করতে পারে।
• ** উইন্ডোজ রান বক্স নিষ্ক্রিয় করুন (Win + R) বা mshta.exe "ক্লিকফিক্স" জাল ক্যাপচা আক্রমণগুলিকে ব্লক করতে: কখনই চাপবেন না Win + R -> Ctrl + V -> Enter যখন কোনো ওয়েবসাইট ক্যাপচা, নকল ক্লাউডফ্লেয়ার স্ক্রিন, বা "ফিক্স মাইক্রোফোন / ফিক্স ফন্ট" পপ-আপ আপনাকে আপনার রান ডায়ালগ বা টার্মিনালে একটি কমান্ড পেস্ট করতে বলে, পৃথিবীর কোনো বৈধ ওয়েবসাইট আপনাকে কোড পেস্ট করতে বলে মানবতা যাচাই করে না Win + R বা macOS টার্মিনাল।
• হার্ডওয়্যার সিকিউরিটি কী (YubiKey) বা পাসকি ব্যবহার করুন + সংবেদনশীল ক্রিয়াকলাপের জন্য পুনরায় প্রমাণীকরণ প্রয়োজন: চুরি হওয়া সেশন কুকিজ প্রাথমিক লগইন প্রম্পটগুলিকে বাইপাস করার সময়, প্রধান প্ল্যাটফর্মগুলি (Google, GitHub, Cloudflare, AWS, Coinbase) প্রয়োগ করে **Step-Up Authentication (FI2S) পুনরায় প্রমাণীকরণ সেশন কুকি সহ কাউকে আপনার পাসওয়ার্ড পরিবর্তন করতে, ডেটা রপ্তানি করতে বা প্রত্যাহারের ঠিকানা যোগ করার অনুমতি দেওয়ার আগে YubiKey আলতো চাপুন বা পাসকি বায়োমেট্রিক চেক করুন।
• আপনার ইমেল বা চুরির লগ ডার্কনেট মনিটরিং ডেটাবেসে উপস্থিত হয়েছে কিনা তা পরীক্ষা করুন: দেখুন haveibeenpwned.com (যা এখন লক্ষ লক্ষ চুরির লগের শিকারের ইমেল ঠিকানা এবং আপস করা ডোমেনগুলিকে সূচী করে) এবং আপনার ইমেল ঠিকানাগুলির জন্য বিনামূল্যে ডার্কনেট লঙ্ঘন বিজ্ঞপ্তিগুলি সক্ষম করে৷
• ভার্চুয়াল মেশিন বা উইন্ডোজ স্যান্ডবক্সের মধ্যে অবিশ্বস্ত ডাউনলোড, গেম মোড এবং তৃতীয় পক্ষের স্ক্রিপ্টগুলিকে আলাদা করুন: কখনোই যাচাই না করে চালাবেন না .exe, .msi, .dmg, .bat, বা পাইথন pip / নোড npm পোস্ট-ইনস্টল স্ক্রিপ্ট সরাসরি হোস্ট অপারেটিং সিস্টেমে যা আপনার প্রমাণীকৃত ওয়েব ব্রাউজার সেশন এবং আর্থিক লগইন ধারণ করে। Windows Sandbox সক্ষম করুন (Windows 10/11 Pro এবং Enterprise এর মাধ্যমে Windows বৈশিষ্ট্যগুলি চালু বা বন্ধ করুন > Windows Sandbox) অথবা তৃতীয় পক্ষের ইউটিলিটি পরীক্ষা করার সময় শূন্য সংরক্ষিত ব্রাউজার কুকি সহ একটি বিচ্ছিন্ন ভার্চুয়াল মেশিন ব্যবহার করুন৷

প্রায়শই জিজ্ঞাসিত প্রশ্ন¶

সম্পর্কিত গাইড¶

• ম্যালওয়্যার, র্যানসমওয়্যার এবং স্পাইওয়্যার সংক্রমণ
• MFA ফিশিং এবং অ্যাডভারসারি-ইন-দ্য-মিডল (AiTM) বাইপাস
• MFA লকআউট: কিভাবে লক করা অ্যাকাউন্ট পুনরুদ্ধার করা যায়
• ইমেল অ্যাকাউন্ট হ্যাক, ফরওয়ার্ড করার নিয়ম এবং পুনরুদ্ধার
• Cryptocurrency ওয়ালেট ড্রেন এবং বীজ বাক্যাংশ আপস
• পাসওয়ার্ড ম্যানেজার লকআউট এবং জরুরী ভল্ট পুনরুদ্ধার
• জরুরী নম্বর ডিরেক্টরি

সূত্র চেক¶

• সাইবারসিকিউরিটি অ্যান্ড ইনফ্রাস্ট্রাকচার সিকিউরিটি এজেন্সি (সিআইএসএ) এবং এফবিআই (মার্কিন যুক্তরাষ্ট্র): ইনফোস্টেলার ম্যালওয়্যার (LummaC2, রেডলাইন, Rhadamanthys) এবং মিটিগেটিং টোকেন/সেশন থেফট (CSAE24 / MITER ATT&CK T1539: 1539: 1539: 1500 মিটার ATT & CK T1539: 1539) ওয়েব সেশন কুকি)।
• ন্যাশনাল ইনস্টিটিউট অফ স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজি (এনআইএসটি) (মার্কিন যুক্তরাষ্ট্র): এনআইএসটি এসপি 800-63বি: ডিজিটাল আইডেন্টিটি নির্দেশিকা: সেশন ম্যানেজমেন্ট, পুনঃপ্রমাণকরণ, এবং টোকেন বাইন্ডিং।
• ওয়ার্ল্ড ওয়াইড ওয়েব কনসোর্টিয়াম (W3C) এবং Google Chromium সিকিউরিটি আর্কিটেকচার: ডিভাইস বাউন্ড সেশন ক্রেডেনশিয়াল (DBSC) স্পেসিফিকেশন এবং ক্রোম অ্যাপ-বাউন্ড এনক্রিপশন (v20 DPAPI উচ্চতা) প্রযুক্তিগত ডকুমেন্টেশন।
• ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (এনসিএসসি) (ইউনাইটেড কিংডম): এন্টারপ্রাইজ এবং কনজিউমার এনভায়রনমেন্টে ম্যালওয়্যার, ইনফোস্টেলার এবং সেশন হাইজ্যাকিং প্রশমিত করা।
• ওপেন ওয়ার্ল্ডওয়াইড অ্যাপ্লিকেশন সিকিউরিটি প্রজেক্ট (OWASP): সেশন ম্যানেজমেন্ট চিট শীট এবং OAuth 2.0 টোকেন প্রত্যাহার (RFC 7009) স্ট্যান্ডার্ড।