Session Token Hijacking, Infostealer Malware og Global Session Revocation¶

At opdage, at en angriber lige har postet cryptocurrency-svindel fra din YouTube-, Instagram-, Discord- eller X-konto, oprettet videresendelsesregler i din Gmail- eller Microsoft 365-indbakke eller tilgået din virksomheds cloud-konsol uden nogensinde at udløse en 2FA-kode på din telefon eller en "New Login"-e-mail-advarsel er den umiskendelige signatur af **Session-Cookie-Cookie-Cookie (Cookie-Cookie) Infostealer-malware. Når du logger ind på et websted og markerer "Hold mig logget ind", udsteder serveren en krypteret HTTP-sessionscookie eller OAuth-bærertoken (såsom Googles SID / SAPISID, Microsofts ESTSAUTHPERSISTENT, eller Discord's Authorization token) gemt i din webbrowsers lokale SQLite-database.

Råvareinfostealer-malwarefamilier, inklusive Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys og Atomic macOS Stealer (AMOS), venter ikke på din computer som traditionelle vira. Ofte forklædt som et falsk spilmod, cracket softwareinstallationsprogram, falsk "ClickFix" PowerShell CAPTCHA-prompt eller sponsorsamarbejde PDF, en infostealer udfører på under 4 sekunder, dekrypterer din Chrome, Edge, Brave eller Firefox Cookies og Login Data databaser i hukommelsen, zipper dem sammen med dine desktop-cryptocurrency-pungfiler, uploader arkivet til en Telegram- eller C2-server og sletter sig selv. Når angriberen importerer dine stjålne sessionscookies til en anti-detekteringsbrowser (Multilogin, Dolphin{anty}, eller Gologin), mener webserveren, at angriberen er din allerede godkendte computer og omgår fuldstændigt både din adgangskode og din to-faktor-godkendelse.

Gør dette nu¶

1. STOP med at ændre dine adgangskoder på den inficerede computer, afbryd øjeblikkeligt den pc eller Mac fra Wi-Fi, og tag dens Ethernet-kabel ud. Dette er den #1 fejl, ofre begår: De bemærker, at deres Discord, Steam eller Gmail er blevet kapret, sætter sig ned ved nøjagtig den samme inficerede stationære pc og indtaster helt nye adgangskoder i Chrome. Hvis en infostealer persistence loader eller planlagt opgave stadig er aktiv på den maskine, vil den straks fange dine nye adgangskoder og friske sessionscookies og sende dem direkte tilbage til angriberen. Foretag 100 procent af dine adgangskoder og tilbagekaldelser af sessioner fra en ren smartphone (på mobildata eller ren Wi-Fi) eller en separat, uberørt bærbar computer.
2. Forstå, at ændring af en adgangskode IKKE altid gør stjålne sessionscookies eller OAuth-opdateringstokens ugyldige, du SKAL udtrykkeligt klikke på "Log ud af alle sessioner" OG tilbagekalde tredjeparts OAuth-apps. På flere platforme (og med Googles udokumenterede MultiLogin / issueToken OAuth-slutpunkter eller langlivede sessionstokens), blot at ændre din adgangskode eller rotere 2FA kan lade eksisterende sekundære sessionstokens eller OAuth-skrivebordstokens være i live, medmindre du udfører de platformsspecifikke Global Session & Token Revocation-trin i nedenstående tabel.
3. Hvis du har en software-cryptocurrency-pungudvidelse (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) installeret på den inficerede computer, skal du bruge en ren telefon lige nu til at evakuere dine penge til en splinterny hardware wallet-seed-frase. Infostealer-filerne krypteres automatisk vault.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn til MetaMask) sammen med dine browsergemte adgangskoder. Selvom angriberen ikke har rørt din krypto endnu, sidder din vault-fil allerede på et darknet-marked og venter på en offline GPU-cracker. Udfør vores cryptocurrency wallet dræn og seed phrase kompromis guide med det samme.
4. Beskyt dine "Apex-identitetskonti" (Primær e-mail, Adgangskodeadministrator, Apple/Google-konto og Corporate SSO) i løbet af de første 10 minutter. Åbn din primære Google/Gmail ( på din rene smartphone)myaccount.google.com/device-activity) og Microsoft (mysignins.microsoft.com) konti først. Log ud af alle skrivebordssessioner, drej hovedadgangskoden, tjek Indstillinger > Videresendelse og POP/IMAP og Filtre/Regler for at slette eventuelle skjulte e-mailvideresendelsesregler, som angriberen har oprettet for at skjule e-mails med nulstilling af adgangskode fra andre tjenester, og kontrollere registrerede adgangsnøgler og godkendelsesenheder.
5. Revider din Windows-registreringsdatabasen Run nøgler, Task Scheduler og PowerShell-historik, hvis du for nylig kørte en "ClickFix" falsk CAPTCHA-kommando (Win + R -> Ctrl + V). En af de hurtigst voksende infostealer-vektorer i dag er en falsk Cloudflare eller Google CAPTCHA popup på en webside, der instruerer dig i at "Tryk på Win + R, tryk på Ctrl + V, og tryk på Enter for at bekræfte, at du er et menneske" (som lydløst udfører en skjult mshta.exe eller powershell -w hidden -enc ... kommando kopieret til din udklipsholder).
6. Oprethold perspektivet og beskyt den fysiske sikkerhed, hvis bruddet involverer virksomhedsinfrastruktur eller afpresning. Infostealer-logfiler udløser ofte automatisk løsesum eller sextortion-e-mails, der citerer din stjålne adgangskode. Betal aldrig pengeafpressere; se vores sextortion og afpresning på nettet guide, og hvis du nogensinde står over for en fysisk trussel, skal du ringe til dit lokale alarmnummer (911 i USA og Canada, 112 i hele EU, 999 i Storbritannien, eller se vores alarmnumre bibliotek).

Infostealer & session cookie kapring hændelsesrespons beslutningstræ¶

flowchart TD
    Root["Mistænkt Session Cookie Hijacking eller Infostealer Malware Infection"] --> IsolatePC["TRIN 1: Afbryd øjeblikkeligt inficeret pc/Mac fra Wi-Fi og Ethernet (Skift IKKE adgangskoder på inficeret pc)"]

    IsolatePC --> CryptoCheck{"Var der nogen Crypto Wallet Extensions (MetaMask, Phantom, Exodus) på den pc?"}
    CryptoCheck -->|"Ja"| EvacCrypto["Brug en ren telefon/hardware-pung med det samme til at feje alle kryptoaktiver til en helt ny frøsætning"]
    CryptoCheck -->|"Nej"| ApexLock["TRIN 2: På en ren smartphone skal du først låse primær e-mail (Gmail, Outlook, Proton)."]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["TRIN 3: Udfør global session + OAuth-token + tilbagekaldelse af adgangsnøgle på tværs af alle kritiske konti (se platformsmatrix nedenfor)"]

    GlobalRevoke --> ExportList["TRIN 4: På offline inficeret pc, eksporter liste over alle gemte browseradgangskoder og cookies for at vide præcis, hvilke konti der blev stjålet"]

    ExportList --> CleanOS["TRIN 5: Sikkerhedskopier kun personlige dokumenter -> Udfør Clean OS Slet/geninstaller -> Gentilmeld adgangsnøgler og aktiver Chrome App-bundet kryptering"]

Forstå, hvordan Infostealers omgår 2FA og DPAPI/nøglering-kryptering¶

Hvordan kan et 200-kilobyte-program stjæle adgangskoder og sessionscookies, som Google Chrome, Microsoft Edge og Brave krypterer på din harddisk?

1. Windows DPAPI (CryptUnprotectData) og Chrome App-Bound Encryption (v20):
2. På Windows gemmer Chromium-baserede browsere (Chrome, Edge, Brave, Opera, Vivaldi) dine gemte adgangskoder inde %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data og dine sessionscookies indeni \Network\Cookies.
3. Disse SQLite-databaser er krypteret med en AES-256-GCM-masternøgle gemt i %LOCALAPPDATA%\Google\Chrome\User Data\Local State, som er beskyttet af Windows Data Protection API (DPAPI) knyttet til din loggede Windows-brugerkonto.
4. Fordi du kørte infostealeren som din egen loggede Windows-bruger, kunne enhver proces, der kører under din brugerkonto, historisk kalde CryptUnprotectData() at bede Windows om at dekryptere nøglen. Og for at omgå Chrome 127+ App-Bound Encryption (v20 elevator service), moderne infotyvere sprøjter direkte ind i en hovedløs chrome.exe fejlretningsproces (--remote-debugging-port) eller brug COM elevation til at bede Chrome selv om at dumpe alle live dekrypterede cookies.
5. macOS nøglering & Atomic macOS Stealer (AMOS / PoseStealer):
6. På Apple macOS, infotyvere forklædt som .dmg downloads (som ofte beder dig om at "Højreklik -> Åbn" eller træk ikonet til Terminal for at omgå Apple Gatekeeper) dukker en falsk indbygget macOS-dialogboks op, hvor der står "Systemindstillinger vil have adgang til dine fortrolige oplysninger: Indtast din Mac-loginadgangskode". I det øjeblik du indtaster din Mac-login-adgangskode i den prompt, låses scriptet op -/Library/Keychains/login.keychain-db og kopierer Safari/Chrome-cookies, Apple Notes og iCloud-tokens.
7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
8. Sikkerhedsforskere afslørede, at infostjælere ikke bare stjæler standard webcookies, de udtrækker også udokumenterede oauth_token servicetokens fra Chromes Web Data (token_service tabel) SQLite-fil. Selv efter at et offer har ændret deres Google-adgangskode én gang, kunne angribere tidligere afspille det stjålne token_service OAuth-token mod Googles interne OAuthLogin endpoint to mint splinterny gyldig SID browsercookies, medmindre brugeren eksplicit loggede ud af den kompromitterede Chrome-enhedssession OG tilbagekaldte tredjeparts-/OAuth-enhedsadgang.

Trin 1: Global session, cookie, OAuth og tilbagekaldelsesmatrix for adgangsnøgle¶

Brug en ren smartphone eller en ren sekundær computer, og arbejd denne nøjagtige tabel fra top til bund. Bestillingsspørgsmål: gør altid Trin A (Log alle aktive sessioner/enheder ud) og Trin B (Skift adgangskode) og Trin C (Audit 2FA/Passkeys/OAuth/Videresendelse) sammen, hvis du kun ændrer din adgangskode uden at afslutte aktive sessioner, kan fanen holde øje med din gendannelsesmetode i live-browseren eller logge ind i en browser.

Step 2: How to find out EVERY account that was exposed on your infected computer¶

After you have locked down your top 10 critical accounts on your clean phone, you face a daunting question: "I have used that computer for four years, how do I know which of my 250 websites had saved passwords or active cookies inside Chrome/Edge when the infostealer ran?"

While keeping the infected computer 100 percent offline (Wi-Fi OFF, Ethernet unplugged), turn it on and extract your exact exposure inventory before wiping the machine:

1. Export your Browser Saved Passwords List (CSV):
2. Open your browser offline (chrome://password-manager/settings in Chrome, edge://wallet/settings in Edge, or about:logins in Firefox) and click Export passwords to save Chrome Passwords.csv onto a clean USB flash drive.
3. Why this file is gold for your recovery: The infostealer stole this exact database. Having Chrome Passwords.csv in front of you gives you the exact checklist of every single website username and password the attacker now possesses, so you don't miss an old tax portal, airline miles account, or shopping site with a saved credit card.
4. Inspect which websites had active Session Cookies (chrome://settings/content/all):
5. I Chrome eller Edge (mens du er offline), skal du gå til chrome://settings/content/all (or edge://settings/content/all) og sorter efter Data gemt eller Mest besøgte. Ethvert websted, hvor du forblev logget ind uden at indtaste et kodeord, var sårbart over for sessions-cookie-tyveri og skal afsluttes.
6. Tjek, om din selvstændige adgangskodeadministrator (1Password, Bitwarden, KeePassXC) blev låst op i infektionsøjeblikket:
7. Hvis din 1Password-, Bitwarden- eller KeePassXC-boks var LÅST, da infostealeren kørte: Malwaren kunne kun få fat i den krypterede lokale vault-cache (data.json eller .kdbx), som er beskyttet af PBKDF2-SHA256 / Argon2id + din hovedadgangskode (og 34-tegns hemmelige nøgle i 1Password). Hvis din hovedadgangskode er stærk, forbliver dit hvælvings indhold sikkert, selvom du stadig bør rotere dit hovedadgangskode som en forholdsregel.
8. Hvis din browserudvidelse til adgangskodeadministrator blev LÅST op i hukommelsen, da malwaren kørte (eller hvis du gemte din hovedadgangskode til adgangskodeadministrator inde i Chromes indbyggede autoudfyldning). Antag, at infotyveren dumpede din boks eller fangede din hovedadgangskode, og roter alle vigtige legitimationsoplysninger inde i din boks.

Trin 3: Jagt og udryddelse af Infostealer-udholdenhed, før du sletter OS¶

Før du sikkerhedskopierer dine personlige dokumenter og udfører en ren OS-geninstallation, kan du inspicere, hvordan infostealeren kom ind i dit system, og om den tabte en vedvarende sekundær loader (såsom en planlagt opgave, registreringsdatabase). Run nøgle, Startup .lnk genvej eller ondsindet Chrome-udvidelse):

1. Kør denne offline PowerShell Persistence Audit (Windows)¶

Åbn PowerShell (Admin) på offline-pc'en og kør disse fire skrivebeskyttede retsmedicinske kontroller:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Why a Clean OS Reinstall (via USB Media) is Recommended After an Infostealer¶

Mens du kører Microsoft Defender Offline Scan og Malwarebytes efter at have ryddet Defender-ekskluderinger, fjerner kendte persistensindlæsere, samler råvareinfotyvere ofte en sekundær RAT (Remote Access Trojan), SystemBC SOCKS5-proxy eller clipper-malware (som udskifter din Windows-colipboard/udklipboard uden lyd). tegnebogsadresse med hackerens adresse). - Når du har kopieret dine personlige dokumenter, fotos og Chrome Passwords.csv fra offline-pc'en skal du udføre en ren Windows 11 USB-geninstallation (eller macOS Slet alt indhold og indstillinger) efter vores malware, ransomware og spyware infektion guide.

3. Revision af macOS og Linux-systemer for Infostealer-artefakter (Atomic macOS Stealer / AMOS, Poseidonog ondsindede browserudvidelser)¶

Hvis din inficerede maskine er en Apple MacBook/iMac eller en Linux-udviklerarbejdsstation i stedet for en Windows-pc, skal du køre disse offline-terminalchecks for at opdage og udrydde persistens:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Indeslutning (Microsoft Entra ID, Okta, Google Workspace og AWS IAM)¶

If the computer infected by an infostealer belonged to a software engineer, DevOps administrator, or corporate employee who had active sessions in Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, or Cloudflare, local device cleanup is only half the battle. Execute these cloud directory revocations immediately:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Clicking "Sign out" in a single browser does not always revoke Primary Refresh Tokens (PRTs) or Azure CLI (az login / .azure/msal_token_cache.bin) tokens copied from disk. An Entra Administrator must run Revoke-MgUserSignInSession -UserId user@company.com in Microsoft Graph PowerShell to reset the user's signInSessionsValidFromDateTime attribute and invalidate all Refresh Tokens across all endpoints simultaneously.
• AWS CLI & Developer Token Rotation (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Commodity infostealers explicitly scan every user's home directory for .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, and Docker/Kubernetes config files. Immediately deactivate and rotate all AWS IAM Access Keys (AKIA...) in the AWS Console, revoke GitHub Personal Access Tokens (ghp_...), and delete exposed SSH public keys from production servers (-/.ssh/authorized_keys).
• Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Beyond web browsers, infostealer modules specifically copy the %APPDATA%\Telegram Desktop\tdata directory (which allows an attacker to clone your entire Telegram account onto their PC without an SMS code), %APPDATA%\Slack\storage, and saved OpenVPN (.ovpn) / WireGuard (.conf) corporate VPN profiles. Open Telegram on your phone (Settings > Devices -> Terminate All Other Sessions), sign out all Slack workspaces (slack.com/account/settings -> Sign out all other sessions), and ask your network administrator to revoke and reissue your corporate VPN client certificate.

Forebyggelse: Sådan gør du din browser og dine konti modstandsdygtige over for Infostealers¶

Når dit system er rent, og dine konti er gendannet, skal du implementere disse fem forsvar, så en infostealer aldrig kan kapre dit digitale liv igen:

• NEVER store passwords inside your web browser's built-in password manager (Chrome / Edge / Brave / Firefox Autofill) without a Hardware/Master Key: Every commodity infostealer on Earth targets Chrome's Login Data SQLite-tabel først. Slå OFF "Tilbyd at gemme adgangskoder" ind chrome://password-manager/settings and store your passwords inside a dedicated, zero-knowledge password manager (1Password, Bitwarden, Proton Pass, or KeePassXC) configured to Auto-Lock immediately when the system locks or after 5 minutes of idle time.
• Aktiver "Device-Bound Session Credentials (DBSC)" & "App-Bound Encryption" i Chrome 127+: Sørg for, at Google Chrome eller Edge er opdateret til den nyeste version og installeret i standard systemmappe (C:\Program Files\Google\Chrome\Application) så GoogleChromeElevationService kan binde cookie-kryptering til systemprivilegieniveauer og TPM-hardwarenøgler via Device-Bound Session Credentials (DBSC).
• Deaktiver Windows Run Box (Win + R) or mshta.exe for at blokere "ClickFix" falske CAPTCHA-angreb: Tryk aldrig på Win + R -> Ctrl + V -> Enter when a website CAPTCHA, fake Cloudflare screen, or "Fix Microphone / Fix Font" pop-up asks you to paste a command into your Run dialog or Terminal, no legitimate website on Earth ever verifies humanity by asking you to paste code into Win + R or macOS Terminal.
• Use Hardware Security Keys (YubiKey) or Passkeys + Require Re-Authentication for Sensitive Actions: While stolen session cookies bypass initial login prompts, major platforms (Google, GitHub, Cloudflare, AWS, Coinbase) enforce Step-Up Authentication (Sudo Mode) requiring a physical FIDO2 YubiKey tap or Passkey biometric check before allowing anyone with a session cookie to change your password, export data, or add a withdrawal address.
• Check if your email or stealer log has appeared on Darknet Monitoring Databases: Visit haveibeenpwned.com (which now indexes millions of stealer log victim email addresses and compromised domains) and enable free darknet breach notifications for your email addresses.
• Isolate untrusted downloads, game mods, and third-party scripts inside a Virtual Machine or Windows Sandbox: Never run unverified .exe, .msi, .dmg, .bat, or Python pip / Node npm post-install scripts directly on the host operating system that holds your authenticated web browser sessions and financial logins. Enable Windows Sandbox (built into Windows 10/11 Pro and Enterprise via Turn Windows features on or off > Windows Sandbox) or use an isolated virtual machine with zero saved browser cookies when testing third-party utilities.

Ofte stillede spørgsmål¶

Relaterede guider¶

• Malware, ransomware, and spyware infection
• MFA phishing and Adversary-in-the-Middle (AiTM) bypass
• MFA lockout: how to recover locked accounts
• Email account hacked, forwarding rules, and recovery
• Cryptocurrency tegnebogsdræn og seed phrase kompromis
• Adgangskodemanager lockout og nødboksgendannelse
• Nødnummeroversigt

Kilder tjekket¶

• Cybersecurity and Infrastructure Security Agency (CISA) & FBI (United States): Joint Cybersecurity Advisories on Infostealer Malware (LummaC2, RedLine, Rhadamanthys) and Mitigating Token/Session Theft (CSAE24 / MITRE ATT&CK T1539: Steal Web Session Cookie & T1550.004: Web Session Cookie).
• National Institute of Standards and Technology (NIST) (United States): NIST SP 800-63B: Digital Identity Guidelines: Session Management, Reauthentication, and Token Binding.
• World Wide Web Consortium (W3C) & Google Chromium Security Architecture: Device Bound Session Credentials (DBSC) Specification and Chrome App-Bound Encryption (v20 DPAPI Elevation) Technical Documentation.
• National Cyber Security Centre (NCSC) (United Kingdom): Mitigating Malware, Infostealers, and Session Hijacking in Enterprise and Consumer Environments.
• Open Worldwide Application Security Project (OWASP): Session Management Cheat Sheet & OAuth 2.0 Token Revocation (RFC 7009) Standards.