Únos tokenu relace, malware Infostealer a zrušení globální relace¶

Zjištění, že útočník právě zveřejnil podvody s kryptoměnami z vašeho účtu YouTube, Instagram, Discord nebo X, vytvořil pravidla pro přeposílání ve vaší doručené poště Gmailu nebo Microsoft 365 nebo přistupoval k vaší podnikové cloudové konzoli aniž by kdy spustil kód 2FA na vašem telefonu nebo e-mailové upozornění „Nové přihlášení“, je nezaměnitelným podpisem **Session)**Session) Cookie-Cookie/Coken Infostealer Malware. Když se přihlásíte na web a zaškrtnete „Nechte mě přihlášeného“, server vydá zašifrovaný soubor cookie relace HTTP nebo token nosiče OAuth (např. SID / SAPISID, společnosti Microsoft ESTSAUTHPERSISTENTnebo Discord's Authorization token) uložený v místní databázi SQLite vašeho webového prohlížeče.

Rodiny malwaru komoditních infostealer, včetně Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys a Atomic macOS Stealer (AMOS), nečekejte na svém počítači jako tradiční viry. Často maskovaný jako falešný herní mod, popraskaný instalátor softwaru, falešná výzva PowerShell CAPTCHA „ClickFix“ nebo soubor PDF pro spolupráci se sponzorem se spustí za do 4 sekund a dešifruje váš Chrome, Edge, Brave nebo Firefox. Cookies a Login Data databáze v paměti, zazipuje je se soubory vaší kryptoměnové peněženky na ploše, nahraje archiv na server telegramu nebo C2 a sám se smaže. Když útočník importuje vaše ukradené soubory cookie relace do prohlížeče proti detekci (Multilogin, Dolphin{anty}nebo Gologin), webový server si myslí, že útočník je váš již ověřený počítač, čímž zcela obejde vaše heslo i vaše dvoufaktorové ověření.

Udělejte to teď¶

1. PŘESTAŇTE měnit hesla na infikovaném počítači, okamžitě odpojte PC nebo Mac od Wi-Fi a odpojte jeho ethernetový kabel. Toto je chyba č. 1, kterou oběti dělají: všimnou si, že byl unesen jejich Discord, Steam nebo Gmail, posadí se ke stejnému infikovanému stolnímu počítači a zadají do Chromu zcela nová hesla. Pokud je na tomto počítači stále aktivní zavaděč perzistence nebo naplánovaná úloha infostealer, okamžitě zachytí vaše nová hesla a čerstvé soubory cookie relace a pošle je přímo zpět útočníkovi. Provádějte 100 procent změn hesla a zrušení relací z čistého smartphonu (na mobilní data nebo čisté Wi-Fi) nebo ze samostatného, ​​nedotčeného notebooku.
2. Uvědomte si, že samotná změna hesla NEVŽDY nezruší platnost odcizených souborů cookie relace nebo obnovovacích tokenů OAuth, MUSÍTE výslovně kliknout na „Odhlásit se ze všech relací“ A zrušit aplikace OAuth třetích stran. Na několika platformách (a s nezdokumentovanými MultiLogin / issueToken Koncové body OAuth nebo tokeny relace s dlouhou životností), pouhá změna hesla nebo otočení 2FA může ponechat stávající tokeny sekundární relace nebo tokeny OAuth pro počítače v platnosti, pokud neprovedete kroky Globální relace a odvolání tokenů pro konkrétní platformu v tabulce níže.
3. Pokud máte na infikovaném počítači nainstalované softwarové rozšíření peněženky pro kryptoměny (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum), použijte nyní čistý telefon k evakuaci svých prostředků do zcela nové hardwarové peněženky. Protokoly Infostealer automaticky sklízejí zašifrované soubory trezoru (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn pro MetaMask) spolu s hesly uloženými v prohlížeči. I když se útočník ještě nedotkl vaší kryptoměny, váš soubor trezoru už sedí na darknetovém trhu a čeká na offline cracker GPU. Proveď naše Únik kryptoměnové peněženky a kompromis počáteční fráze okamžitě průvodce.
4. Zabezpečte své „účty Apex Identity“ (primární e-mail, správce hesel, účet Apple/Google a firemní jednotné přihlášení) během prvních 10 minut. Na čistém smartphonu otevřete svůj primární Google / Gmail (myaccount.google.com/device-activity) a Microsoft (mysignins.microsoft.com) nejprve účty. Odhlaste se ze všech relací na ploše, otočte hlavní heslo, zkontrolujte Nastavení > Přeposílání a POP/IMAP a Filtry/pravidla, abyste odstranili všechna skrytá pravidla pro předávání e-mailů, která útočník vytvořil, aby skryl e-maily s resetovaným heslem před jinými službami, a zkontrolujte registrované přístupové klíče a zařízení Authenticator.
5. Audit registru systému Windows Run klíče, Plánovač úloh a historii PowerShellu, pokud jste nedávno spustili falešný příkaz CAPTCHA „ClickFix“ (Win + R -> Ctrl + V). Jedním z nejrychleji rostoucích vektorů infostealerů současnosti je falešné vyskakovací okno Cloudflare nebo Google CAPTCHA na webové stránce, které vám dá pokyn "Stisknout Win + R, stiskněte Ctrl + Va stiskněte Enter pro ověření, že jste člověk" (který v tichosti provede skrytý mshta.exe nebo powershell -w hidden -enc ... příkaz zkopírován do vaší schránky).
6. Zachovejte si perspektivu a chraňte fyzickou bezpečnost, pokud se narušení týká podnikové infrastruktury nebo vydírání. Protokoly Infostealer často spouštějí automatické e-maily s výkupným nebo vydíráním s uvedením vašeho ukradeného hesla. Nikdy neplaťte vyděračům; viz naše vydírání a online vydírání průvodce, a pokud budete někdy čelit fyzické hrozbě, zavolejte na místní tísňové číslo (911 ve Spojených státech a Kanadě, 112 v celé Evropské unii, 999 ve Spojeném království nebo tísňová čísla adresář).

Infostealer & session cookie hijacking incident response tree¶

flowchart TD
    Root["Podezření na ukradení souborů cookie relace nebo infekci malwarem Infostealer"] --> IsolatePC["KROK 1: Okamžitě odpojte infikované PC/Mac od Wi-Fi a Ethernetu (NEMĚŇTE hesla na infikovaném PC)"]

    IsolatePC --> CryptoCheck{"Byla na tomto počítači nějaká rozšíření krypto peněženky (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"Ano"| EvacCrypto["Okamžitě použijte čistou telefonní/hardwarovou peněženku k odstranění všech kryptografických aktiv na zcela novou počáteční frázi"]
    CryptoCheck -->|"ne"| ApexLock["KROK 2: Na čistém smartphonu nejprve uzamkněte primární e-mail (Gmail, Outlook, Proton)."]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["KROK 3: Proveďte globální relaci + token OAuth + odvolání přístupového klíče napříč všemi kritickými účty (viz matice platformy níže)"]

    GlobalRevoke --> ExportList["KROK 4: Na infikovaném počítači offline exportujte seznam všech uložených hesel prohlížeče a souborů cookie, abyste přesně věděli, které účty byly ukradeny"]

    ExportList --> CleanOS["KROK 5: Zálohujte pouze osobní dokumenty -> Proveďte čisté vymazání/přeinstalaci OS -> Znovu zaregistrujte přístupové klíče a povolte šifrování Chrome App-Bound Encryption"]

Pochopení toho, jak Infostealers obcházejí 2FA a DPAPI / Keychain šifrování¶

Jak může 200kilobajtový program ukrást hesla a soubory cookie relací, které Google Chrome, Microsoft Edge a Brave šifrují na vašem pevném disku?

1. Windows DPAPI (CryptUnprotectData) a Chrome App-Bound Encryption (v20):
2. V systému Windows prohlížeče založené na Chromiu (Chrome, Edge, Brave, Opera, Vivaldi) ukládají vaše uložená hesla uvnitř %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data and your session cookies inside \Network\Cookies.
3. These SQLite databases are encrypted with an AES-256-GCM master key stored in %LOCALAPPDATA%\Google\Chrome\User Data\Local State, which is protected by the Windows Data Protection API (DPAPI) tied to your logged-in Windows user account.
4. Because you ran the infostealer as your own logged-in Windows user, any process running under your user account could historically call CryptUnprotectData() to ask Windows to decrypt the key. And to bypass Chrome 127+ App-Bound Encryption (v20 elevator service), modern infostealers inject directly into a headless chrome.exe debugging process (--remote-debugging-port) or use COM elevation to ask Chrome itself to dump all live decrypted cookies.
5. MacOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. Na Apple macOS se infozrádci maskovali jako .dmg stahování (často požadují „Kliknutí pravým tlačítkem -> Otevřít“ nebo přetažením ikony na Terminál, abyste obešli Apple Gatekeeper) vyskočí falešné nativní dialogové okno macOS s nápisem „Předvolby systému chtějí získat přístup k vašim důvěrným informacím: Zadejte přihlašovací heslo pro Mac“. V okamžiku, kdy do výzvy zadáte své přihlašovací heslo pro Mac, skript se odemkne -/Library/Keychains/login.keychain-db a zkopíruje soubory cookie Safari/Chrome, Apple Notes a tokeny iCloud.
7. Google MultiLogin / OAuthLogin Využití regenerace tokenů:
8. Bezpečnostní výzkumníci odhalili, že infozrádci nejen kradou standardní webové soubory cookie, ale také extrahují nezdokumentované oauth_token servisní tokeny z prohlížeče ChromeWeb Data (token_service tabulka) soubor SQLite. I poté, co oběť jednou změní své heslo Google, mohli útočníci předtím přehrát ukradené token_service OAuth token against Google's internal OAuthLogin koncový bod k vyražení zbrusu nový platný SID soubory cookie prohlížeče, pokud se uživatel výslovně neodhlásil z napadené relace zařízení Chrome A nezrušil přístup třetí strany/zařízení OAuth.

Step 1: Global Session, Cookie, OAuth, and Passkey Revocation Matrix¶

Using a clean smartphone or clean secondary computer, work down this exact table from top to bottom. Order matters: always do Step A (Sign out all active sessions/devices) and Step B (Change password) and Step C (Audit 2FA/Passkeys/OAuth/Forwarding) together, if you only change your password without terminating active sessions, the attacker's live browser tab stays logged in and can watch you or add a rogue recovery method.

Krok 2: Jak zjistit KAŽDÝ účet, který byl vystaven na vašem infikovaném počítači¶

Poté, co jste uzamkli svých 10 nejdůležitějších účtů na svém čistém telefonu, budete čelit skličující otázce: „Používal jsem ten počítač čtyři roky, jak zjistím, které z mých 250 webů měly uložená hesla nebo aktivní soubory cookie v Chromu/Edge, když byl spuštěn infostealer?“

Zatímco ponecháte infikovaný počítač 100 procent offline (Wi-Fi vypnuto, Ethernet odpojený), zapněte jej a před vymazáním počítače extrahujte přesný inventář expozice:

1. Exportujte svůj seznam hesel uložených v prohlížeči (CSV):
2. Otevřete prohlížeč offline (chrome://password-manager/settings v Chrome, edge://wallet/settings v Edge, popř about:logins ve Firefoxu) a kliknutím na Exportovat hesla uložte Chrome Passwords.csv na čistý USB flash disk.
3. Proč je tento soubor zlatý pro vaše zotavení: Infostealer ukradl přesně tuto databázi. Mít Chrome Passwords.csv před vámi vám nabídne přesný kontrolní seznam každého uživatelského jména a hesla jednotlivých webových stránek, které útočník nyní vlastní, takže vám neunikne starý daňový portál, mílový účet leteckých společností nebo nákupní stránka s uloženou kreditní kartou.
4. Zkontrolujte, které webové stránky měly aktivní soubory cookie relace (chrome://settings/content/all):
5. V Chrome nebo Edge (v režimu offline) přejděte na chrome://settings/content/all (or edge://settings/content/all) a seřadit podle Uložená data nebo Nejnavštěvovanější. Jakákoli webová stránka, na které jste zůstali přihlášeni bez zadání hesla, byla zranitelná vůči krádeži souborů cookie relace a její relace musí být ukončena.
6. Zkontrolujte, zda byl váš Standalone Password Manager (1Password, Bitwarden, KeePassXC) odemčen v okamžiku infekce:
7. Pokud byl váš trezor 1Password, Bitwarden nebo KeePassXC ZAMKNUTÝ, když se spustil infostealer: Malware mohl získat pouze šifrovanou mezipaměť místního trezoru (data.json nebo .kdbx), který je chráněn PBKDF2-SHA256 / Argon2id + vaše hlavní heslo (a 34znakový tajný klíč v 1 hesle). Pokud je vaše hlavní heslo silné, obsah vašeho trezoru zůstane v bezpečí, i když byste měli hlavní heslo preventivně střídat.
8. Pokud bylo vaše rozšíření prohlížeče pro správce hesel ODEMČENO v paměti, když se malware spustil (nebo pokud jste uložili své hlavní heslo Správce hesel do vestavěného automatického vyplňování v prohlížeči Chrome.): Předpokládejme, že infozrádce vyhodil váš trezor nebo zachytil vaše hlavní heslo a otočte všechna důležitá pověření ve vašem trezoru.

Krok 3: Lov a vymýcení perzistence Infostealer před vymazáním operačního systému¶

Před zálohováním osobních dokumentů a provedením čisté reinstalace operačního systému můžete zkontrolovat, jak se infostealer dostal do vašeho systému a zda nevypustil trvalý sekundární zavaděč (jako je například plánovaná úloha, registr Run klíč, spuštění .lnk zkratka nebo škodlivé rozšíření Chrome):

1. Spusťte tento Offline PowerShell Persistence Audit (Windows)¶

Otevřete PowerShell (Admin) na offline počítači a spusťte tyto čtyři forenzní kontroly pouze pro čtení:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Proč se po Infostealerovi doporučuje čistá přeinstalace OS (přes USB Media).¶

Při spuštění Microsoft Defender Offline Scan a Malwarebytes po vymazání výjimek Defenderu odstraní známé zavaděče persistence, informační krádeže komodit často sbalí sekundární RAT (Remote Access Trojan), SystemBC SOCKS5 nebo clipper malware (který tiše monitoruje vaši adresu bitcoinů/skříňku Windows E clipboardu. adresa hackera). - Jakmile zkopírujete své osobní dokumenty, fotografie a Chrome Passwords.csv z offline počítače proveďte čistou Přeinstalaci USB systému Windows 11 (nebo macOS Vymazat veškerý obsah a nastavení) podle našeho malware, ransomware, and spyware infection guide.

3. Auditování systémů macOS a Linux pro artefakty Infostealer (Atomic macOS Stealer / AMOS, Poseidona škodlivých rozšíření prohlížeče)¶

Pokud je vaším infikovaným počítačem Apple MacBook/iMac nebo vývojářská pracovní stanice se systémem Linux, nikoli počítač se systémem Windows, spusťte tyto offline kontroly terminálu, abyste zjistili a vymýtili perzistenci:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace a AWS IAM)¶

Pokud počítač infikovaný infostealerem patřil softwarovému inženýrovi, administrátorovi DevOps nebo firemnímu zaměstnanci, který měl aktivní relace v Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS nebo Cloudflare, je místní vyčištění zařízení jen polovinou úspěchu. Okamžitě proveďte tato odvolání cloudového adresáře:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Kliknutí na „Odhlásit se“ v jednom prohlížeči vždy neodvolá primární obnovovací tokeny (PRT) nebo Azure CLI (az login / .azure/msal_token_cache.bin) tokeny zkopírované z disku. Musí být spuštěn Administrátor Entra Revoke-MgUserSignInSession -UserId user@company.com v prostředí Microsoft Graph PowerShell k resetování uživatele signInSessionsValidFromDateTime atribut a zruší platnost všech obnovovacích tokenů ve všech koncových bodech současně.
• AWS CLI a rotace tokenu vývojáře (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Infozrádci zboží explicitně prohledávají domovský adresář každého uživatele .aws/credentials, .ssh/id_ed25519, .gitconfig, .enva konfigurační soubory Docker/Kubernetes. Okamžitě deaktivujte a otočte všechny AWS IAM přístupové klíče (AKIA...) v konzole AWS zrušte ** osobní přístupové tokeny GitHub (ghp_...)** a odstraňte odhalené veřejné klíče SSH z produkčních serverů (-/.ssh/authorized_keys).
• Zasílání zpráv na počítači a vyčištění tokenu klienta VPN (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Kromě webových prohlížečů moduly infostealer konkrétně kopírují %APPDATA%\Telegram Desktop\tdata adresář (který umožňuje útočníkovi naklonovat celý váš účet Telegram do svého počítače bez SMS kódu), %APPDATA%\Slack\storagea uloženo OpenVPN (.ovpn) / WireGuard (.conf) firemní profily VPN. Otevřete v telefonu Telegram (Nastavení > Zařízení -> Ukončit všechny ostatní relace), odhlaste se ze všech pracovních prostorů Slack (slack.com/account/settings -> Odhlaste všechny ostatní relace) a požádejte správce sítě, aby odvolal a znovu vydal váš firemní klientský certifikát VPN.

Prevence: Jak zajistit, aby váš prohlížeč a účty byly odolné vůči Infostealers¶

Jakmile bude váš systém čistý a vaše účty budou obnoveny, implementujte těchto pět obranných opatření, aby váš digitální život už nikdy nemohl ovládnout zloděj informací:

• ** NIKDY neukládejte hesla do vestavěného správce hesel vašeho webového prohlížeče (automatické vyplňování Chrome / Edge / Brave / Firefox) bez hardwarového/hlavního klíče**: Každý kradač informací o komoditách na Zemi se zaměřuje na prohlížeče Chrome Login Data Nejprve tabulka SQLite. Vypněte VYP „Nabízet uložení hesel“ chrome://password-manager/settings a ukládejte svá hesla ve vyhrazeném správci hesel s nulovými znalostmi (1Password, Bitwarden, Proton Pass nebo KeePassXC) nakonfigurovaném na Automatické uzamknutí okamžitě, když se systém uzamkne nebo po 5 minutách nečinnosti.
• Povolte „Device-Bound Session Credentials (DBSC)“ a „App-Bound Encryption“ v Chrome 127+: Ujistěte se, že je Google Chrome nebo Edge aktualizován na nejnovější verzi a nainstalován ve výchozím systémovém adresáři (C:\Program Files\Google\Chrome\Application) takže GoogleChromeElevationService může svázat šifrování souborů cookie s úrovněmi systémových oprávnění a hardwarovými klíči TPM prostřednictvím Device-Bound Session Credentials (DBSC).
• Zakažte Windows Run Box (Win + R) nebo mshta.exe k blokování falešných útoků CAPTCHA „ClickFix“: Nikdy netiskněte Win + R -> Ctrl + V -> Enter Když vás CAPTCHA webu, falešná obrazovka Cloudflare nebo vyskakovací okno „Opravit mikrofon / opravit písmo“ požádá o vložení příkazu do dialogového okna Spustit nebo terminálu, žádná legitimní webová stránka na Zemi nikdy neověří lidstvo tím, že vás požádá o vložení kódu do Win + R nebo macOS Terminal.
• Používejte hardwarové bezpečnostní klíče (YubiKey) nebo přístupové klíče + Vyžadujte opětovné ověření pro citlivé akce: Zatímco soubory cookie odcizených relací obcházejí úvodní výzvy k přihlášení, hlavní platformy (Google, GitHub, Cloudflare, AWS, Coinbase) vynucují Step-Up Authentication (Režim SudoFIDO), než kdokoli vyžaduje fyzickou kontrolu klíče a YubiK session cookie pro změnu hesla, export dat nebo přidání adresy pro výběr.
• Zkontrolujte, zda se váš e-mail nebo protokol o zloději objevil v monitorovacích databázích Darknet: Navštivte haveibeenpwned.com (která nyní indexuje miliony e-mailových adres obětí protokolů zlodějů a kompromitovaných domén) a umožňuje bezplatné oznámení o narušení temné sítě pro vaše e-mailové adresy.
• Izolujte nedůvěryhodná stahování, herní mody a skripty třetích stran uvnitř virtuálního počítače nebo Windows Sandbox: Nikdy nespouštějte neověřené .exe, .msi, .dmg, .batnebo Python pip / Uzel npm poinstalační skripty přímo v hostitelském operačním systému, který uchovává vaše ověřené relace webového prohlížeče a finanční přihlášení. Povolte Windows Sandbox (vestavěný do Windows 10/11 Pro a Enterprise prostřednictvím Zapnutí nebo vypnutí funkcí Windows > Windows Sandbox) nebo použijte izolovaný virtuální počítač s nulovými uloženými soubory cookie prohlížeče při testování nástrojů třetích stran.

Často kladené otázky¶

Související průvodci¶

• Infekce malware, ransomware a spyware
• MFA phishing a obcházení Adversary-in-the-Middle (AiTM).
• Uzamčení MFA: jak obnovit zamčené účty
• Napadení e-mailového účtu, pravidla pro přeposílání a obnovení
• Kompromis odlivu peněženky kryptoměn a počáteční fráze
• Uzamčení správce hesel a nouzové obnovení trezoru
• Adresář čísel tísňového volání

Zdroje zkontrolovány¶

• Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) a FBI (Spojené státy americké): Společná kybernetická doporučení týkající se malwaru Infostealer (LummaC2, RedLine, Rhadamanthys) a zmírnění krádeže tokenů/relací (CSAE24 / MITER ATT&CK T1539: Cookiession & Session T150 Web Session. Cookie).
• National Institute of Standards and Technology (NIST) (Spojené státy americké): NIST SP 800-63B: Pokyny pro digitální identitu: Správa relace, opětovné ověřování a vazba tokenů.
• World Wide Web Consortium (W3C) a Google Chromium Security Architecture: Specifikace Device Bound Session Credentials (DBSC) a Chrome App-Bound Encryption (v20 DPAPI Elevation) Technická dokumentace.
• Národní centrum kybernetické bezpečnosti (NCSC) (Spojené království): Zmírnění malwaru, informačních krádeží a krádeží relací v podnikových a spotřebitelských prostředích.
• Open Worldwide Application Security Project (OWASP): Session Management Cheat Sheet & OAuth 2.0 Token Revocation (RFC 7009) Standards.