Herwgipio Tocynnau Sesiwn, Infostealer Malware, a Diddymu Sesiwn Fyd-eang¶

Darganfod bod ymosodwr newydd bostio sgamiau arian cyfred digidol o'ch cyfrif YouTube, Instagram, Discord, neu X, wedi creu rheolau anfon ymlaen yn eich mewnflwch Gmail neu Microsoft 365, neu wedi cyrchu'ch consol cwmwl corfforaethol ** heb erioed sbarduno cod 2FA ar eich ffôn na rhybudd e-bost "Mewngofnodi Newydd"** yw llofnod digamsyniol ** Sesiwn Cookie / Token a achoswyd gan **Malwares. Pan fyddwch yn mewngofnodi i wefan a gwirio "Cadwch fi wedi'ch mewngofnodi", mae'r gweinydd yn cyhoeddi cwci sesiwn HTTP wedi'i amgryptio neu docyn cludwr OAuth (fel Google's SID / SAPISID, Microsoft's ESTSAUTHPERSISTENT, neu Discord's Authorization tocyn) wedi'i storio y tu mewn i gronfa ddata SQLite leol eich porwr gwe.

Nid yw teuluoedd malware infostealer nwyddau, gan gynnwys ** Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Radamanthys, ac Atomic macOS Stealer (AMOS), yn aros o gwmpas ar eich cyfrifiadur fel firysau traddodiadol. Yn aml yn cael ei guddio fel mod gêm ffug, gosodwr meddalwedd wedi cracio, anogwr PowerShell CAPTCHA ffug "ClickFix", neu noddi cydweithrediad PDF, mae infostealer yn gweithredu mewn ** llai na 4 eiliad, yn dadgryptio eich Chrome, Edge, Brave, neu Firefox Cookies a Login Data cronfeydd data er cof, yn eu sipio â'ch ffeiliau waled arian cyfred digidol bwrdd gwaith, yn uwchlwytho'r archif i weinydd Telegram neu C2, ac yn yn dileu ei hun. Pan fydd yr ymosodwr yn mewnforio'ch cwcis sesiwn sydd wedi'u dwyn i borwr gwrth-ganfod (Multilogin, Dolphin{anty}, neu Gologin), mae'r gweinydd gwe yn meddwl mai'r ymosodwr * yw* eich cyfrifiadur sydd eisoes wedi'i ddilysu, gan osgoi'ch cyfrinair a'ch dilysiad dau ffactor yn llwyr.

Gwnewch hyn nawr¶

1. PEIDIWCH â newid eich cyfrineiriau ar y cyfrifiadur heintiedig, datgysylltwch y PC neu Mac hwnnw o Wi-Fi ar unwaith a thynnwch y plwg ei gebl Ethernet. Dyma'r camgymeriad #1 y mae dioddefwyr yn ei wneud: maen nhw'n sylwi bod eu Discord, Steam, neu Gmail wedi'i herwgipio, eistedd i lawr wrth yr un cyfrifiadur bwrdd gwaith heintiedig yn union, a theipio cyfrineiriau newydd sbon i Chrome. Os yw llwythwr dyfalbarhad infostealer neu dasg a drefnwyd yn dal i fod yn weithredol ar y peiriant hwnnw, bydd yn dal eich cyfrineiriau newydd a chwcis sesiwn ffres ar unwaith ac yn eu hanfon yn ôl at yr ymosodwr yn syth. Gwnewch 100 y cant o'ch newidiadau cyfrinair a diddymiadau sesiwn o ffôn clyfar glân (ar ddata cellog neu Wi-Fi glân) neu liniadur ar wahân heb ei gyffwrdd.
2. Deall NAD yw newid cyfrinair ar ei ben ei hun bob amser yn annilysu cwcis sesiwn sydd wedi'u dwyn neu docynnau adnewyddu OAuth, RHAID i chi glicio'n benodol "Sign Out of All Sessions" A dirymu apiau OAuth trydydd parti. Ar sawl platfform (a chyda Google heb eu dogfennu MultiLogin / issueToken pwyntiau terfyn OAuth neu docynnau sesiwn hirhoedlog), gall newid eich cyfrinair neu gylchdroi 2FA adael y tocynnau sesiwn eilaidd presennol neu docynnau bwrdd gwaith OAuth yn fyw oni bai eich bod yn gweithredu'r camau ** Sesiwn Fyd-eang a Diddymu Tocyn** sy'n benodol i blatfform yn y tabl isod.
3. Os oes gennych estyniad waled arian cyfred digidol meddalwedd (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) wedi'i osod ar y cyfrifiadur heintiedig, defnyddiwch ffôn glân ar hyn o bryd i wacáu'ch arian i ymadrodd hadau waled caledwedd newydd sbon. Mae Infostealer yn cynaeafu'r ffeiliau claddgell wedi'u hamgryptio yn awtomatig (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn ar gyfer MetaMask) ochr yn ochr â chyfrineiriau arbed eich porwr. Hyd yn oed os nad yw'r ymosodwr wedi cyffwrdd â'ch crypto eto, mae eich ffeil vault eisoes yn eistedd ar farchnad darknet yn aros am graciwr GPU all-lein. Gweithredu ein draen waled cryptocurrency a hadau cyfaddawd ymadrodd arwain ar unwaith.
4. Diogelwch eich "Cyfrifon Hunaniaeth Apex" (E-bost Sylfaenol, Rheolwr Cyfrinair, Cyfrif Apple/Google, a SSO Corfforaethol) yn y 10 munud cyntaf. Ar eich ffôn clyfar glân, agorwch eich prif Google / Gmail (myaccount.google.com/device-activity) a Microsoft (mysignins.microsoft.com) cyfrifon yn gyntaf. Allgofnodwch bob sesiwn bwrdd gwaith, trowch y prif gyfrinair, gwiriwch Gosodiadau> Anfon Ymlaen a POP/IMAP a Hidlau/Rheolau i ddileu unrhyw reolau anfon e-byst cudd a grëwyd gan yr ymosodwr i guddio negeseuon e-bost ailosod cyfrinair gan wasanaethau eraill, a gwirio dyfeisiau Passkeys a Authenticator cofrestredig.
5. Archwiliwch eich Cofrestrfa Windows Run allweddi, Task Scheduler, a hanes PowerShell os gwnaethoch redeg gorchymyn CAPTCHA ffug "ClickFix" yn ddiweddar (Win + R -> Ctrl + V). Un o'r fectorau infostealer sy'n tyfu gyflymaf heddiw yw ffenestr naid ffug Cloudflare neu Google CAPTCHA ar dudalen we sy'n eich cyfarwyddo i "Pwyso Win + R, gwasg Ctrl + V, a gwasg Enter i wirio eich bod yn ddynol" (yr hwn yn ddistaw sy'n gweithredu cudd mshta.exe neu powershell -w hidden -enc ... gorchymyn wedi'i gopïo i'ch clipfwrdd).
6. Cynnal persbectif a diogelu diogelwch corfforol os yw'r toriad yn ymwneud â seilwaith corfforaethol neu gribddeiliaeth. Mae logiau Infostealer yn aml yn sbarduno e-byst pridwerth neu sextortion awtomataidd yn dyfynnu'ch cyfrinair sydd wedi'i ddwyn. Peidiwch byth â thalu cribddeilwyr; gweld ein sextortion a blacmel ar-lein canllaw, ac os byddwch byth yn wynebu bygythiad corfforol, ffoniwch eich rhif argyfwng lleol (911 yn yr Unol Daleithiau a Chanada, 112 ar draws yr Undeb Ewropeaidd, 999 yn y Deyrnas Unedig, neu gweler ein rhifau brys cyfeiriadur).

Coeden penderfyniad ymateb i ddigwyddiad herwgipio gwybodaeth a chwci sesiwn¶

flowchart TD
    Root["Amheuir Herwgipio Cwci yn y Sesiwn neu Haint Malware Infostealer"] --> IsolatePC["CAM 1: Datgysylltwch PC/Mac Heintiedig ar unwaith o Wi-Fi ac Ethernet (PEIDIWCH â Newid Cyfrineiriau ar PC Heintiedig)"]

    IsolatePC --> CryptoCheck{"A oedd unrhyw Estyniadau Waled Crypto (MetaMask, Phantom, Exodus) ar Y PC hwnnw?"}
    CryptoCheck -->|"Oes"| EvacCrypto["Defnyddiwch Ffôn Lân/Waled Caledwedd Ar unwaith i Ysgubo'r Holl Asedau Crypto i Ymadrodd Hadau Newydd Sbon"]
    CryptoCheck -->|"Nac ydw"| ApexLock["CAM 2: Ar Ffôn Clyfar Glân, Clowch E-bost Cynradd (Gmail, Outlook, Proton) yn Gyntaf"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["CAM 3: Cynnal Sesiwn Fyd-eang + OAuth Token + Diddymu Pasbys Ar draws yr Holl Gyfrifon Hanfodol (Gweler Matrics Llwyfan Isod)"]

    GlobalRevoke --> ExportList["CAM 4: Ar PC All-lein Heintiedig, Allforio Rhestr o'r Holl Gyfrineiriau Porwr a Gadwyd a Chwcis i Wybod Yn Union Pa Gyfrifon A Ddwynwyd"]

    ExportList --> CleanOS["CAM 5: Gwneud Copi Wrth Gefn o Ddogfennau Personol yn Unig -> Perfformio Sychwch/Ailosod OS Glân -> Ail-gofrestru Cyfrineiriau a Galluogi Amgryptio wedi'i Rhwymo gan Ap Chrome"]

Deall sut mae Infostealers yn osgoi amgryptio 2FA a DPAPI / Keychain¶

Sut gall rhaglen 200-kilobyte ddwyn cyfrineiriau a chwcis sesiwn y mae Google Chrome, Microsoft Edge, a Brave yn eu hamgryptio ar eich gyriant caled?

1. ** Windows DPAPI (CryptUnprotectData) ac Amgryptio Chrome-Bound (v20)**:
2. Ar Windows, mae porwyr sy'n seiliedig ar Gromiwm (Chrome, Edge, Brave, Opera, Vivaldi) yn storio'ch cyfrineiriau sydd wedi'u cadw y tu mewn %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data a'ch cwcis sesiwn y tu mewn \Network\Cookies.
3. Mae'r cronfeydd data SQLite hyn wedi'u hamgryptio gyda phrif allwedd AES-256-GCM wedi'i storio ynddo %LOCALAPPDATA%\Google\Chrome\User Data\Local State, sy'n cael ei ddiogelu gan ** API Diogelu Data Windows (DPAPI)** ynghlwm wrth eich cyfrif defnyddiwr Windows sydd wedi mewngofnodi.
4. Oherwydd i chi redeg y infostealer * fel eich defnyddiwr Windows sydd wedi mewngofnodi*, gallai unrhyw broses sy'n rhedeg o dan eich cyfrif defnyddiwr alw yn hanesyddol CryptUnprotectData() i ofyn i Windows ddadgryptio'r allwedd. Ac i osgoi ** Chrome 127+ Amgryptio wedi'i Rhwymo gan Ap (v20 gwasanaeth elevator)**, infostealers modern chwistrellu'n uniongyrchol i mewn i headless chrome.exe proses dadfygio (--remote-debugging-port) neu ddefnyddio drychiad COM i ofyn i Chrome ei hun adael pob cwci byw wedi'i ddadgryptio.
5. ** MacOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer)**:
6. Ar Apple macOS, mae infostealers wedi'u cuddio fel .dmg lawrlwythiadau (yn aml yn gofyn i chi "De-glicio -> Agor" neu lusgo'r eicon i Terfynell i osgoi Apple Gatekeeper) popio i fyny blwch deialog macOS brodorol ffug yn darllen "Mae System Preferences eisiau cyrchu'ch gwybodaeth gyfrinachol: Rhowch eich cyfrinair mewngofnodi Mac". Cyn gynted ag y byddwch chi'n teipio'ch cyfrinair mewngofnodi Mac i'r anogwr hwnnw, mae'r sgript yn datgloi -/Library/Keychains/login.keychain-db a chopïo cwcis Safari/Chrome, Apple Notes, a thocynnau iCloud.
7. Google MultiLogin / OAuthLogin Mantais Adfywio Tocyn:
8. Datgelodd ymchwilwyr diogelwch nad yw infostealers yn dwyn cwcis gwe safonol yn unig, maen nhw hefyd yn echdynnu heb eu dogfennu oauth_token tocynnau gwasanaeth o Chrome's Web Data (token_service tabl) Ffeil SQLite. Hyd yn oed ar ôl i ddioddefwr newid ei gyfrinair Google unwaith, gallai ymosodwyr ailchwarae'r rhai a ddygwyd o'r blaen token_service Tocyn OAuth yn erbyn mewnol Google OAuthLogin diweddbwynt i mint-newydd sbon yn ddilys SID cwcis porwr oni bai bod y defnyddiwr yn llofnodi'n benodol y sesiwn dyfais Chrome dan fygythiad AC wedi dirymu mynediad trydydd parti/dyfais OAuth.

Cam 1: Sesiwn Fyd-eang, Cwci, OAuth, a Matrics Diddymu Passkey¶

Gan ddefnyddio ffôn clyfar glân neu gyfrifiadur eilaidd glân, gweithiwch i lawr yr union dabl hwn o'r top i'r gwaelod. Mae archeb yn bwysig: gwnewch Cam A bob amser (Allgofnodi pob sesiwn / dyfais weithredol) a Cam B (Newid cyfrinair) a Cam C (Archwiliad 2FA/Passkeys/OAuth/Forwarding) gyda'ch gilydd, os byddwch ond yn newid eich cyfrinair heb derfynu sesiynau gweithredol, mae tab porwr byw yr ymosodwr yn aros wedi'ch mewngofnodi neu gallwch ychwanegu dull adfer twyllodrus.

Cam 2: Sut i ddarganfod POB cyfrif a oedd yn agored ar eich cyfrifiadur heintiedig¶

Ar ôl i chi gloi eich 10 cyfrif critigol gorau ar eich ffôn glân, rydych chi'n wynebu cwestiwn brawychus: "Rwyf wedi defnyddio'r cyfrifiadur hwnnw ers pedair blynedd, sut ydw i'n gwybod pa rai o'm 250 o wefannau oedd wedi arbed cyfrineiriau neu gwcis gweithredol y tu mewn i Chrome/Edge pan redodd yr infostealer?"

Wrth gadw'r cyfrifiadur heintiedig ** 100 y cant oddi ar-lein (Wi-Fi OFF, Ethernet datgysylltu)**, trowch ef ymlaen a thynnwch eich union stocrestr amlygiad cyn sychu'r peiriant:

1. Allforio eich Rhestr Cyfrineiriau a Gadwyd Porwr (CSV):
2. Agorwch eich porwr all-lein (chrome://password-manager/settings yn Chrome, edge://wallet/settings yn Edge, neu about:logins yn Firefox) a chliciwch Allforio cyfrineiriau i arbed Chrome Passwords.csv ar yriant fflach USB glân.
3. Pam mae'r ffeil hon yn aur ar gyfer eich adferiad: Fe wnaeth y infostealer ddwyn yr union gronfa ddata hon. Wedi Chrome Passwords.csv o'ch blaen yn rhoi'r rhestr wirio union o bob un enw defnyddiwr a chyfrinair gwefan sydd gan yr ymosodwr nawr, fel nad ydych chi'n colli hen borth treth, cyfrif milltiroedd cwmni hedfan, neu wefan siopa gyda cherdyn credyd wedi'i arbed.
4. Archwiliwch pa wefannau oedd â Chwcis Sesiwn gweithredol (chrome://settings/content/all):
5. Yn Chrome neu Edge (tra all-lein), ewch i chrome://settings/content/all (neu edge://settings/content/all) a didoli yn ôl Data wedi'i storio neu Yr ymwelwyd â hi fwyaf. Roedd unrhyw wefan lle bu ichi aros wedi mewngofnodi heb deipio cyfrinair yn agored i ladrad cwci sesiwn ac mae angen terfynu ei sesiwn.
6. Gwiriwch a gafodd eich Rheolwr Cyfrinair Annibynnol (1Password, Bitwarden, KeePassXC) ei ddatgloi ar Foment yr Haint:
7. Pe bai eich claddgell 1Password, Bitwarden, neu KeePassXC AR GLO pan redodd y infostealer: Gallai'r meddalwedd faleisus fachu'r storfa gladdgell leol wedi'i hamgryptio yn unig (data.json neu .kdbx), sy'n cael ei warchod gan PBKDF2-SHA256 / Argon2id + eich Prif Gyfrinair (ac Allwedd Ddirgel 34-cymeriad yn 1Password). Os yw'ch Prif Gyfrinair yn gryf, mae cynnwys eich gladdgell yn parhau'n ddiogel, er y dylech barhau i gylchdroi eich Prif Gyfrinair fel rhagofal.
8. Os cafodd estyniad porwr eich rheolwr cyfrinair ei DDATLOCKI yn y cof pan redodd y meddalwedd maleisus (neu os gwnaethoch arbed eich Prif Gyfrinair Rheolwr Cyfrinair y tu mewn i awtolenwi Chrome.): Cymerwch fod y infostealer wedi dympio'ch claddgell neu wedi dal eich Prif Gyfrinair, a chylchdroi'r holl fanylion critigol y tu mewn i'ch gladdgell.

Cam 3: Hela a dileu dyfalbarhad Infostealer cyn sychu'r OS¶

Cyn gwneud copi wrth gefn o'ch dogfennau personol a pherfformio ailosodiad OS glân, gallwch archwilio sut y daeth y infostealer i mewn i'ch system ac a ollyngodd lwythwr eilaidd parhaus (fel Tasg a Drefnwyd, Cofrestrfa Run allwedd, Cychwyn .lnk llwybr byr, neu Estyniad Chrome maleisus):

1. Rhedeg yr Archwiliad Dyfalbarhad PowerShell All-lein hwn (Windows)¶

Agorwch PowerShell (Gweinyddol) ar y cyfrifiadur all-lein a rhedeg y pedwar gwiriad fforensig darllen-yn-unig hyn:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Pam Argymhellir ailosod AO Glân (trwy USB Media) Ar ôl Infostealer¶

Tra'n rhedeg Microsoft Defender Offline Scan a Malwarebytes ar ôl clirio gwaharddiadau Defender yn cael gwared ar lwythwyr dyfalbarhad hysbys, mae infostealers nwyddau yn aml yn bwndelu RAT eilaidd (Trojan Mynediad o Bell), procsi SystemBC SOCKS5, neu malwedd clipiwr (sy'n monitro eich clipfwrdd Windows yn dawel ac yn cyfnewid unrhyw gyfeiriad wal yr haciwr/Ethere wedi'i gopïo). - Unwaith y byddwch wedi copïo eich dogfennau personol, lluniau, a Chrome Passwords.csv oddi ar y cyfrifiadur all-lein, perfformiwch Ailosod USB Windows 11 ** glân (neu ** macOS Dileu Pob Cynnwys a Gosodiad**) yn dilyn ein malware, ransomware, ac ysbïwedd canllaw heintiau.

3. Archwilio systemau macOS a Linux ar gyfer Arteffactau Infostealer (Atomic macOS Stealer / AMOS, Poseidon, ac Estyniadau Porwr Maleisus)¶

Os mai Apple MacBook/iMac neu weithfan datblygwr Linux yw eich peiriant heintiedig yn hytrach na Windows PC, rhedwch y gwiriadau terfynell all-lein hyn i ganfod a dileu dyfalbarhad:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Cyfyngiad Gweinyddol Enterprise & Cloud (Microsoft Entra ID, Okta, Google Workspace, ac AWS IAM)¶

Os oedd y cyfrifiadur a heintiwyd gan infostealer yn perthyn i beiriannydd meddalwedd, gweinyddwr DevOps, neu weithiwr corfforaethol a gafodd sesiynau gweithredol yn Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, neu Cloudflare, dim ond hanner y frwydr yw glanhau dyfeisiau lleol. Gweithredwch y dirymiadau cyfeiriadur cwmwl hyn ar unwaith:

• ** Microsoft Entra ID (Revoke-MgUserSignInSession)**: Nid yw clicio ar "Sign out" mewn un porwr bob amser yn dirymu Tocynnau Adnewyddu Cynradd (PRTs) neu Azure CLI (az login / .azure/msal_token_cache.bin) tocynnau wedi'u copïo o ddisg. Rhaid i Weinyddwr Entra redeg Revoke-MgUserSignInSession -UserId user@company.com yn Microsoft Graph PowerShell i ailosod un y defnyddiwr signInSessionsValidFromDateTime priodoli ac annilysu pob Tocyn Adnewyddu ar draws pob pwynt terfyn ar yr un pryd.
• ** AWS CLI a Chylchdro Tocyn Datblygwr (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Mae infostealers nwyddau yn sganio cyfeiriadur cartref pob defnyddiwr yn benodol ar gyfer .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, a ffeiliau ffurfweddu Docker/Kubernetes. Ar unwaith dadactifadu a chylchdroi holl Allweddi Mynediad AWS IAM (AKIA...) yn y Consol AWS, dirymu ** Tocynnau Mynediad Personol GitHub (ghp_...), a dileu allweddi cyhoeddus SSH agored o weinyddion cynhyrchu (-/.ssh/authorized_keys).
• ** Neges Penbwrdd a Chludiant Tocyn Cleient VPN (Desg Telegram tdata, Signal, Slack, OpenVPN, WireGuard)**: Y tu hwnt i borwyr gwe, mae modiwlau infostealer yn copïo'r %APPDATA%\Telegram Desktop\tdata cyfeiriadur (sy'n caniatáu i ymosodwr glonio'ch cyfrif Telegram cyfan i'w gyfrifiadur personol heb god SMS), %APPDATA%\Slack\storage, ac arbed OpenVPN (.ovpn) / WireGuard (.conf) proffiliau VPN corfforaethol. Agorwch Telegram ar eich ffôn (Gosodiadau> Dyfeisiau -> Terfynu Pob Sesiwn Arall), allgofnodwch bob man gwaith Slack (slack.com/account/settings -> Allgofnodwch bob sesiwn arall), a gofynnwch i'ch gweinyddwr rhwydwaith ddirymu ac ailgyhoeddi eich tystysgrif cleient VPN corfforaethol.

Atal: Sut i wneud eich porwr a'ch cyfrifon yn gallu gwrthsefyll Infostealers¶

Unwaith y bydd eich system yn lân a'ch cyfrifon wedi'u hadennill, gweithredwch y pum amddiffyniad hyn fel na all infostealer byth herwgipio'ch bywyd digidol eto:

• PEIDIWCH BYTH â storio cyfrineiriau y tu mewn i reolwr cyfrinair adeiledig eich porwr gwe (Chrome / Edge / Brave / Firefox Autofill) heb Allwedd Caledwedd / Meistr: Mae pob infostealer nwyddau ar y Ddaear yn targedu Chrome's Login Data Tabl SQLite yn gyntaf. Trowch ** I FFWRDD** "Cynnig i arbed cyfrineiriau" i mewn chrome://password-manager/settings a storio'ch cyfrineiriau y tu mewn i reolwr cyfrinair sero-gwybodaeth pwrpasol (1Password, Bitwarden, Proton Pass, neu KeePassXC) wedi'i ffurfweddu i Auto-Lock ar unwaith pan fydd y system yn cloi neu ar ôl 5 munud o amser segur.
• ** Galluogi "Dychmygion Sesiwn Wedi'i Rhwymo gan Ddychymyg (DBSC)" ac "Amgryptio wedi'i Rhwymo gan Ap" yn Chrome 127+**: Sicrhewch fod Google Chrome neu Edge yn cael ei ddiweddaru i'r fersiwn ddiweddaraf a'i osod yn y cyfeiriadur system rhagosodedig (C:\Program Files\Google\Chrome\Application) felly y GoogleChromeElevationService yn gallu rhwymo amgryptio cwci i lefelau braint y system ac allweddi caledwedd TPM trwy Gwybodaeth Sesiwn wedi'i Rhwymo gan Ddychymyg (DBSC).
• ** Analluogi Blwch Rhedeg Windows (Win + R) neu mshta.exe i rwystro "ClickFix" Ymosodiadau CAPTCHA ffug**: Peidiwch byth â phwyso Win + R -> Ctrl + V -> Enter pan fydd gwefan CAPTCHA, sgrin Cloudflare ffug, neu naidlen “Fix Microphone / Fix Font” yn gofyn ichi gludo gorchymyn yn eich deialog Run neu Terminal, nid oes unrhyw wefan gyfreithlon ar y Ddaear byth yn gwirio dynoliaeth trwy ofyn ichi gludo cod i mewn Win + R neu Terfynell macOS.
• Defnyddiwch Allweddi Diogelwch Caledwedd (YubiKey) neu Passkeys + Angen Ail-ddilysu ar gyfer Camau Sensitif: Er bod cwcis sesiwn wedi'u dwyn yn osgoi anogwyr mewngofnodi cychwynnol, mae prif lwyfannau (Google, GitHub, Cloudflare, AWS, Coinbase) yn gorfodi ** Dilysiad Cam i Fyny (Modd Swdo)** yn gofyn am newid FIDOK tapiemetreg sesiwn coginio a Passeye i ganiatáu i unrhyw un sesiwn FIDO2 Passeyet a choginio. eich cyfrinair, allforio data, neu ychwanegu cyfeiriad tynnu'n ôl.
• Gwiriwch a yw'ch e-bost neu'ch log lladrata wedi ymddangos ar Gronfeydd Data Monitro Darknet: Ewch i haveibeenpwned.com (sydd bellach yn mynegeio miliynau o gyfeiriadau e-bost dioddefwr log lladrata a pharthau dan fygythiad) ac yn galluogi hysbysiadau torri darknet am ddim ar gyfer eich cyfeiriadau e-bost.
• Ynysu lawrlwythiadau di-ymddiried, mods gêm, a sgriptiau trydydd parti y tu mewn i Beiriant Rhithwir neu Flwch Tywod Windows: Peidiwch byth â rhedeg heb ei wirio .exe, .msi, .dmg, .bat, neu Python pip / Nôd npm sgriptiau ôl-osod yn uniongyrchol ar y system weithredu gwesteiwr sy'n dal eich sesiynau porwr gwe dilys a mewngofnodi ariannol. Galluogi Blwch Tywod Windows (wedi'i gynnwys yn Windows 10/11 Pro a Enterprise trwy Trowch nodweddion Windows ymlaen neu i ffwrdd> Windows Sandbox) neu defnyddiwch beiriant rhithwir ynysig gyda dim cwcis porwr wedi'u cadw wrth brofi cyfleustodau trydydd parti.

Cwestiynau cyffredin¶

Canllawiau cysylltiedig¶

• Haint malware, ransomware, ac ysbïwedd
• MFA gwe-rwydo a ffordd osgoi Gwrthwynebydd-yn-y-Canol (AiTM).
• Cloi allan MFA: sut i adennill cyfrifon wedi'u cloi
• Cyfrif e-bost wedi'i hacio, rheolau anfon ymlaen, ac adfer
• waled Cryptocurrency draen a hadau cyfaddawd ymadrodd
• Cloi allan rheolwr cyfrinair ac adfer gladdgell mewn argyfwng
• Cyfeiriadur rhifau brys

Ffynonellau wedi'u gwirio¶

• Asiantaeth Diogelwch Seiberddiogelwch a Seilwaith (CISA) a'r FBI (Unol Daleithiau): Cynghorion Seiberddiogelwch ar y Cyd ar Infostealer Malware (LummaC2, RedLine, Radamanthys) a Lliniaru Tocynnau/Lladrad Sesiwn (CSAE24 / MITER ATT&CK T1539: Steal Web Session & 05 Session: Steal Web Session: Cwci).
• Sefydliad Cenedlaethol Safonau a Thechnoleg (NIST) (Unol Daleithiau): NIST SP 800-63B: Canllawiau Hunaniaeth Ddigidol: Rheoli Sesiwn, Ail-ddilysu, a Rhwymo Tocynnau.
• Consortiwm y We Fyd Eang (W3C) a Phensaernïaeth Diogelwch Google Chromium: * Manyleb Sesiwn Wedi'i Rhwymo gan Ddychymyg (DBSC) ac Amgryptio wedi'i Rhwymo gan Ap Chrome (v20 Uchder DPAPI) Dogfennaeth Dechnegol*.
• Y Ganolfan Seiberddiogelwch Genedlaethol (NCSC) (Y Deyrnas Unedig): Meddwedd Lliniaru, Infostealers, a Herwgipio Sesiynau mewn Amgylcheddau Menter a Defnyddwyr.
• Prosiect Diogelwch Cymwysiadau Byd-eang Agored (OWASP): Taflen Twyllo Rheoli Sesiwn a Safonau Diddymu Tocyn OAuth 2.0 (RFC 7009).