Pahatahtlikud brauserilaiendid, krüpto lõikelaua kaaperdajad ja brauseri lähtestamine¶

Pannes tähele, et krüptovaluuta rahakoti aadress (BTC, ETH, SOL, USDT) või panga IBAN-i/marsruutimisnumbrit, millega just kopeerisite Ctrl+C (Cmd+C) muutis vajutamise hetkel võluväel võõra aadressiks Ctrl+V (Cmd+V), avastades, et aastaid tagasi installitud Chrome'i, Edge'i, Brave'i või Firefoxi laiendus ("PDF Converter", "Volume Booster", "Video Downloader" või "AI Assistant") müüdi salaja reklaamvara sündikaadile ja see sisestab nüüd petturlikke sidusettevõtte linke ja kogub teie seansiküpsiseid või otsib teie vaikeotsingumootori lehe ümbersuunamist. haldab teie organisatsioon"** on tõsine lõpp-punkti hädaolukord. Kuna tänapäevased veebibrauserid hoiavad teie aktiivseid autentitud seansiküpsiseid Gmaili, Microsoft 365, ettevõtte pilvekonsoolide, paroolihaldurite ja Web3 rahakottide jaoks, antakse üks petlik brauserilaiend. "Read and change all your data on all websites" (<all_urls> või *://*/* hostiõigused) möödub mitmefaktorilisest autentimisest (MFA) täielikult, lugedes läbi teie DOM-i sisendid, klahvivajutused ja navigator.clipboard puhver reaalajas.

Kui brauseri rikkumine on seotud aktiivse väljapressimise, füüsiliste ähvarduste või jätkuva ettevõtte juhtmevargiga, helistage kohalikule hädaabinumbrile (911 Ameerika Ühendriikides ja Kanadas, 112 kogu Euroopa Liidus, 999 Ühendkuningriigis) või tutvuge meie rahvusvaheliste kataloogidega hädaabinumbrid kohe. Kõigi pahatahtlike brauserilaiendite, krüptolõikelõikuri õelvara või brauseri reeglite kaaperdamise korral teostage allpool kohtuekspertiisi eemaldamise ja seansi tühistamise töövoog.

Tehke seda kohe¶

1. LÕPETA tundlike andmete kleepimine (Ctrl+V / Cmd+V) ja ÄRGE KUNAGI kinnitage krüptovaluutatehingut ilma riistvaralise rahakoti ekraani esimest 6 JA 6 viimast tähemärki kinnitamata: lõikelaua kaaperdaja pahavara ("Clippers" / CrypToClipper) kasutab regulaaravaldisi (RegEx), et jälgida oma operatsioonisüsteemi ja brauseri lõikepuhvrit iga 100 millisekundi järel. Kohe, kui kopeerite a 0x... Ethereumi aadress, bc1... Bitcoini aadress või Solana aadress vahetab lõikepuhvri sisu ründajale kuuluva edevusaadressiga.
2. Enne avamist ühendage nakatunud arvuti Wi-Fi/Ethernet-võrgust lahti chrome://extensions (edge://extensions / about:addons): paljud pahatahtlikud laiendused jälgivad, kas kasutaja navigeerib laiendite haldamise vahekaardile ja kas sulgeb vahekaardi automaatselt, peidab end või loob teie avatud seansi küpsistest lõpliku väljafiltrimise, enne kui saate klõpsata nupul Eemalda. Wi-Fi väljalülitamine katkestab esmalt nende käsud ja juhtimise (C2) kanal.
3. Lülita oma Google'i, Microsofti või Mozilla kontol välja "Extensions Sync" ENNE võltslaienduse kustutamist: kui Chrome'i sünkroonimine, Edge Sync või Firefox Sync on lubatud, ei õnnestu pahatahtliku laienduse lokaalne kustutamine ühest sülearvutist sageli, kuna teie pilveprofiil või mõni muu sisselogitud töölaud lükkab laienduse automaatselt mõne minuti pärast uuesti teie arvutisse tagasi. Mine aadressile chrome://settings/syncSetup/advanced (edge://settings/profiles/sync) ja lülitage esmalt Laiendused asendisse VÄLJAS.
4. Salvestage 32-kohaline laienduse ID (Developer Mode -> ID) ja kustutage laiendus JA selle kohalik IndexedDB / Local Extension Settings kaust kettalt: enne kui klõpsate nupul Eemalda, lülitage sisse Arendaja režiim, mis asub ekraani paremas ülanurgas. chrome://extensions ja kirjutage üles 32-täheline ID (näiteks aeblfdkhhhdcdjpifhhbdiojplfjncoa). Täpse ID teadmine võimaldab teil kinnitada, kas laiendus märgiti pahavaraks, ja tühjendada selle ülejäänud kausta kohalikus sisemuses. AppData / Library kataloog.
5. Puhastage ettevõtte võltsitud brauseri eeskirjad (chrome://policy ja edge://policy), mis ütleb "Teie brauserit haldab teie organisatsioon": isiklikus koduarvutis "Haldab teie organisatsioon" tähendab reklaamvara või troojalane, kes kirjutas petturi. ExtensionInstallForcelist või SearchProvider võti oma Windowsi registrisse (HKLM\SOFTWARE\Policies\Google\Chrome) või macOS-i konfiguratsiooniprofiilid (System Settings -> General -> Device Management), nii et te ei saa klõpsata nuppu Eemalda.
6. Tehke kehtetuks kõik varastatud brauseri seansi küpsised, klõpsates puhtas seadmes käsul „Logi välja kõikidest seanssidest”: kuna pahatahtlik laiendus <all_urls> luba või chrome.cookies Access on teie reaalajas sisselogimismärgid juba kopeerinud, lihtsalt laienduse kustutamine ei löö ründajat teie kontodelt välja. Kasutage puhast nutitelefoni, et sundida oma meili-, panga-, pilve- ja sotsiaalkontodel globaalset Logige välja kõikidest seadmetest / tühistage seansid ning muutke oma paroole järgides meie juhiseid. andmerikkumistele reageerimise ja paroolilekke juhend.

Otsuste puu: brauserilaiendiohtude, poliitikakaaperdajate ja OS-i kärpijate eraldamine¶

Järgige seda diagnostilist vooskeemi, et teha kindlaks, milline teie brauseri või operatsioonisüsteemi kiht on ohustatud, ja kõrvaldada püsivusmehhanism.

flowchart TD
    Start["Tuvastatud brauseri anomaalia: lõikelaua aadress on vahetatud, otsing suunati ümber, võltsitud hüpikaknad või konto seanss varastati"] --> Test{"1. Sulgege brauser täielikult ja kopeerige/kleepige krüptoaadress Notepadisse / TextEdit: kas see muutub?"}
    Test -->|"Jah: aadress muteerub väljaspool brauserit"| OSClip["OS-TASME KLIPPERI PAHAVARA: tapke tegumihalduris petturite protsess, tühjendage ajastatud ülesanded / käivitage klahvid ja käivitage võrguühenduseta AV-skannimine"]
    Test -->|"Ei: juhtub ainult brauseris"| PolicyCheck{"2. Avage chrome://policy või edge://policy: kas eeskirjad on teie koduarvutis loetletud?"}
    PolicyCheck -->|"Jah: „Haldab teie organisatsioon” / ExtensionInstallForcelist"| WipePolicy["Kustutage petturlikud Windowsi registripoliitika võtmed (HKLM/HKCU poliitikad) või eemaldage macOS-i konfiguratsiooniprofiil"]
    PolicyCheck -->|"Eeskirju ei leitud"| ExtAudit["3. Keela sünkroonimine -> Luba arendaja režiim jaotises chrome://extensions -> Tuvastage ja eemaldage pahatahtlikud laiendused"]
    WipePolicy --> ExtAudit
    OSClip --> ExtAudit
    ExtAudit --> DiskWipe["4. Kustutage kohalikust kasutajaprofiilide kataloogist järelejäänud laienduskaustad, teenindustöötajad ja indekseeritud DB vahemälu"]
    DiskWipe --> CookieRevoke["5. Puhast seadmest: tühistage kõik aktiivsed seansid (Google, Microsoft, GitHub, pangad) ja kontrollige krüpto kinnitusi"]

Kuidas legitiimsed brauserilaiendid üleöö pahatahtlikuks muutuvad (ja 5 rünnakutüüpi)¶

Üle 70 protsendi pahatahtlike brauserilaiendustega nakatunud ohvritest ei klõpsanud kunagi varjulisel piraattarkvara lingil: nad installisid tavalise kõrgelt hinnatud laienduse otse ametlikust Chrome'i veebipoest, Microsoft Edge'i lisandmoodulite poest või Firefoxi lisandmoodulitest (AMO) kuud või aastaid varem. Küberkurjategijad ohustavad laiendusi kahe tarneahela meetodi abil: 1. Laienduse omandamine / monetiseerimise ülevõtmised (kus ründaja pakub sõltumatule arendajale 5000-50 000 dollarit sularaha, et osta populaarse 100 000 kasutajaga laienduse omandiõigus, seejärel edastab vaikiva automaatvärskenduse, mis sisaldab hägustatud pahavara, mille iga olemasoleva kasutaja brauser taustal automaatselt alla laadib); ja 2. Arendaja OAuthi andmepüük (kus ründajad õngitsevad seadusliku laienduse looja Chrome'i veebipoe arendajakontolt, nagu juhtus suurte tarneahela rikkumiste korral, mis mõjutasid kümneid ettevõtte- ja turvalaiendeid).

1. etapp: kuidas kontrollida, tuvastada ja eemaldada pahatahtlikke laiendusi Chrome'ist, Edge'ist, Brave'ist, Firefoxist ja Safarist¶

Ärge heitke lihtsalt pilku oma aadressiriba kõrval olevatele ikoonidele: pahatahtlikud laiendused peidavad oma tööriistariba ikooni (Action nupp peidetud) või maskeerige täpse ikooni ja nimega Google Docs Offline, Google Translate, uBlock Origin või Adobe Acrobat.

1. samm: kontrollige installitud laiendusi ja jäädvustage 32-märgiline ID¶

1. Katkesta arvuti Wi-Fi-/Ethernet-võrgust lahti, et ükski laiendus ei saaks selle kontrollimise ajal edastada lõplikku andmekoormust ega enesevärskendust.
2. Avage oma brauseri sisemine laienduse halduskonsool, tippides aadressiribale täpse URI:
3. Google Chrome: chrome://extensions
4. Microsoft Edge: edge://extensions
5. Brave brauser: brave://extensions
6. Mozilla Firefox: about:addons (ja ka tüüp about:debugging#/runtime/this-firefox ajutiste/peidetud lisandmoodulite nägemiseks)
7. Apple Safari (macOS): Safari -> Settings (Cmd + ,) -> Extensions
8. Lülita SISSE „Arendajarežiim” (lüliti Chrome'i, Edge'i ja Brave'i paremas ülanurgas).
9. Arendajarežiimi sisselülitamisel kuvatakse igal laienduskaardil kriitilised kohtuekspertiisi üksikasjad.
10. ID: ainulaadne 32-kohaline väiketähtede string (nt cjpalhdlnbpafiamejdnhcphjbkeiagm).
11. Inspect views: service worker / background page: näitab, kas laiendus töötab praegu aktiivselt taustaskripti.
12. Source: Installed by enterprise policy või Loaded from: C:\Users\... (Pakkimata laiendus): kui te pole tarkvaraarendaja, kes ise laienduse kirjutas, ei tohiks ükski seaduslik tarbijalaiend kunagi öelda Loaded from: [Folder Path] (pakkimata laiendus)**. Pahavara autorid laadivad pakkimata laiendused peidetud alt üles AppData või ProgramData kaustad otsetee muutmise kaudu (chrome.exe --load-extension="C:\..."), et Chrome'i veebipoe turvaskannerist täielikult mööda minna.
13. Kontrollige iga laienduse vastavust nendele eemaldamiskriteeriumidele:
14. Klõpsake Üksikasjad -> Load (Site access) igal laiendusel. Kõik laiendused, millel on On all sites (Read and change all your data on all websites), mis ei ole väga usaldusväärne, kontrollitav avatud lähtekoodiga turbetööriist (nt teie peamine paroolihaldur), tuleks kohe eemaldada või vähemalt piirata selle juurdepääsu saidile alates On all sites kuni On click.
15. Klõpsake valikul Eemalda mis tahes PDF-muunduril, tasuta VPN-il, video/MP3 allalaadijal, helitugevuse suurendajal, kohandatud kursoril, tumeda režiimi lülitil, kupongiotsijal, AI külgribal või mängulaiendil, mida te otseselt ei vaja.

2. samm: kontrollige laiendusi manifest.json ja reaalajas võrguliiklus enne eemaldamist (kohtuekspertiisi triaaž)¶

Kui teil on vaja enne selle kustutamist teada, kas kahtlane laiendus varastas teie ettevõtte paroolid, seansiküpsised või krüptovaluuta võtmed, võtke kaks minutit aega, et kontrollida selle kettal olevaid kohalikke lähtefaile, kui teie WiFi-ühendus on endiselt lahti. 1. Kopeerige 32-kohaline ID näidatud pikenduskaardil chrome://extensions. 2. Liikuge oma brauseri kohalikule lehele Extensions kaust kettal (loetletud tabelis 4. sammus) ja avage sellele 32-kohalisele ID-le vastav kaust. 3. Avage manifest.json faili selles kaustas Windows Notepadi või macOS TextEditi abil ja kontrollige kolme välja: - "permissions" ja "host_permissions": otsige kõrge riskiga õigusi, sealhulgas "cookies", "webRequest", "declarativeNetRequest", "clipboardRead", "clipboardWrite", "scripting", "debugger", "proxy"ja "<all_urls>". Laiendus, mis väidab end olevat lihtne "tumeda režiimi lüliti" või "helivõimendi", mis nõuab "cookies" ja "<all_urls>" peaaegu kindlasti kogub sisselogimisseansse. - "content_scripts": näitab, millised JavaScripti failid (content.js, inject.js) sisestatakse igale teie külastatud veebilehele, sealhulgas pangandus- ja krüptorahakotiportaalidele. - "background" ("service_worker"): tuvastab püsiva taustaskripti (background.js või sw.js). Otsin sellest JavaScripti failist Notepadis selliseid stringe nagu fetch(, XMLHttpRequest, WebSocket, navigator.clipboard, chrome.cookies.getAll, eth_sendTransaction, või atob( paljastab ründaja käsud ja kontrolli (C2) domeeni ja näitab täpselt, milliseid andmeid välja filtreeriti.

3. samm: kontrollige brauseri otsetee sihtmärgi kaaperdamist (--load-extension)¶

Isegi pärast seda, kui klõpsate sees nupul Eemalda chrome://extensions, muudab levinud trooja tehnika töölaua ja tegumiriba otsetee ikooni, millel klõpsate Chrome'i, Edge'i või Brave'i käivitamiseks, nii et see laadib peidetud pahatahtliku lahtipakitud laienduse automaatselt uuesti iga kord, kui avate brauseri. - Windowsis: 1. Paremklõpsake oma töölaual oma Google Chrome / Microsoft Edge / Brave ikooni (ja paremklõpsake tegumiribal ikoonil -> paremklõpsake uuesti brauseri nimel -> klõpsake Atribuudid). 2. Vaadake vahekaardi Otsetee all olevat kasti Sihtmärk:. 3. Puhas Target box lõpeb rangelt "chrome.exe" või "msedge.exe": - PUHASTA: "C:\Program Files\Google\Chrome\Application\chrome.exe" - KAAPERDATUD: "C:\Program Files\Google\Chrome\Application\chrome.exe" --load-extension="C:\Users\Public\Documents\ExtUpdater" https://search-hijack.com 4. Kustutage kõik pärast chrome.exe" (või kustutage otsetee täielikult ja kinnitage uus otsetee otse saidilt C:\Program Files\Google\Chrome\Application\chrome.exe).

4. samm: kustutage kettalt järelejäänud laiendusfailid ja teenindustöötajad¶

Otsige üles oma brauseri kohalik profiilikataloog ja kustutage alamkaust, mis vastab petturliku laienduse 32-kohalisele ID-le, ning kustutage registreeritud teenindustöötajad:

Pärast laienduskausta kustutamist avage chrome://serviceworker-internals (või edge://serviceworker-internals).

5. samm: puhastage Rogue Push teavitusload, kaaperdatud otsingumootorid ja pahatahtlikud puhverserveri / DNS-i sätted¶

Paljud reklaamvaralaiendid ja brauseri kaaperdajad jätavad maha kolm sekundaarset lõksu isegi pärast laienduse kahendfaili kustutamist: 1. Tühistage pahatahtlike veebitõukemärguannete tellimused (võltsitud viirusetõrje hüpikaknad): - Kui võltsitud McAfee, Nortoni või Windows Defenderi viirusehoiatused ilmuvad ekraani paremas alanurgas alati, kui teie brauser on avatud, on need HTML5 veebitõukemärguanded petturist saidilt, millele andsite kogemata teavitusloa. - Avatudchrome://settings/content/notifications (või edge://settings/content/notifications / about:preferences#privacy -> Load -> Teavitused Firefoxis). - Kerige alla loendini „Lubatud märguandeid saata”, klõpsake iga võõra või kahtlase domeeni kõrval olevat kolme punkti ja klõpsake käsul Eemalda või Blokeeri. 2. Lähtestage kaaperdatud vaikeotsingumootori ja käivituslehed: - Avatudchrome://settings/searchEngines (edge://settings/search) ja veenduge, et teie vaikeotsingumootor osutab ehtsale Google'ile (google.com), DuckDuckGo või Bing, mitte sarnase ümbersuunamise URL (search.yahoo.com/yhs/... või find-results.net). Kustutage loendist kõik tundmatud otsingumootorid. - Avatudchrome://settings/onStartup (edge://settings/onStartup) ja märkige ruut "Ava konkreetne leht või lehtede komplekt": eemaldage kõik reklaamvara sisestatud võõrad käivitus-URL-id. 3. Kontrollige kaaperdatud süsteemi puhverserveri või turvalise DNS-i (DoH) Seaded: - Mõned pahatahtlikud laiendused ja reklaamvara installijad konfigureerivad kohaliku PAC (puhverserveri automaatse konfigureerimise) skripti või petturliku DNS-üle-HTTPS (DoH) server, et nad saaksid pärast laienduse kadumist jätkata teie veebiliikluse pealtkuulamist. - Avage Chrome'is/Edge'is chrome://settings/security -> kerige valikuni Kasuta turvalist DNS-i ja kontrollige, kas see on määratud teie praeguse teenusepakkuja või usaldusväärse avaliku lahendaja (Cloudflare 1.1.1.1, Quad9 9.9.9.9, või Google Public DNS), mitte kummaline kohandatud URL. - Seejärel avage chrome://settings/system -> klõpsake Ava arvuti puhverserveri sätted ja veenduge, et „Kasuta häälestusskripti” ja „Kasuta puhverserverit” on mõlemad välja lülitatud VÄLJAS (kui teie tööandja seda ei nõua).

2. etapp: võltsettevõtte poliitika „Haldab teie organisatsioon” eemaldamine (ExtensionInstallForcelist)¶

Kui kasutate isiklikku koduarvutit (mitte teie tööandja või kooli väljastatud sülearvutit) ja te ei saa klõpsata kahtlase laienduse nuppu Eemalda, kuna selle kõrval on väikese kontorihoone ikoon ja Chrome/Edge kuvab „Teie brauserit haldab teie organisatsioon”, on reklaamvara sisestanud teie operatsioonisüsteemi võltsitud ettevõtte rühmapoliitika reeglid.

1. samm: kontrollige chrome://policy või edge://policy¶

Tüüpchrome://policy (või edge://policy / about:policies Firefoxis) oma aadressiribale. - Otsige poliitikanimesid, näiteks ExtensionInstallForcelist, ExtensionInstallAllowlist, ExtensionSettings, HomepageLocation, RestoreOnStartupURLs või DefaultSearchProviderSearchURL. - Veerg Väärtus kõrval ExtensionInstallForcelist kuvab pahavaralaienduse 32-kohalise laienduse ID ja värskenduse URL-i, millelt see tõmbab.

2. samm: tühjendage Rogue'i brauseri poliitikad Windowsis (kõrgendatud käsuviip)¶

Isiklikus koduses Windows 10 või Windows 11 arvutis, millel ei tohiks ei olla rakendatud ettevõtte brauseri eeskirju, klõpsake menüül Start, tippige cmd, paremklõpsake valikul Käsuviip, valige Käivita administraatorina ja täitke need käsud, et kustutada võltsitud Chrome'i, Edge'i ja Brave'i reeglite registri tarud ning värskendada rühmapoliitikat:

reg delete "HKLM\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKLM\SOFTWARE\Policies\Google\Update" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Update" /f
reg delete "HKLM\SOFTWARE\WOW6432Node\Google\Enrollment" /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKCU\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKLM\SOFTWARE\Policies\BraveSoftware\Brave" /f
reg delete "HKCU\SOFTWARE\Policies\BraveSoftware\Brave" /f
rmdir /s /q "%WinDir%\System32\GroupPolicy"
rmdir /s /q "%WinDir%\System32\GroupPolicyUsers"
gpupdate /force

Pärast nende käskude käivitamist naaske chrome://policy (või edge://policy) ja klõpsake vasakus ülanurgas nuppu Laadi poliitika uuesti. Kõik sunnitud ettevõttepoliitikad kaovad kohe ja nupp Eemalda ilmub chrome://extensions avaneb.

3. toiming: tühjendage macOS-is Rogue'i brauseri eeskirjad ja konfiguratsiooniprofiilid¶

MacOS-is jõustavad brauseri kaaperdajad võltsitud ettevõtte eeskirju, kasutades kahte mehhanismi: 1. macOS-i konfiguratsiooniprofiilid (MDM profiilid), mida kasutajat meelitati installima võlts-Flashi/videopleieri installiprogrammi kaudu, ja 2. Hallatud plist eelistusfailid.

1. Kontrollige ja eemaldage pahatahtlikud macOS-i konfiguratsiooniprofiilid:
2. Avage Apple Menu -> System Settings -> General -> Device Management (vanemas macOS Monterey/Big Suris avage System Preferences -> Profiles).
3. Kui kasutate isiklikku Maci ja näete jaotises Seadmehaldus/profiilid loetletud mis tahes profiili (sageli nimega "Chrome'i seaded", "SearchConfig", "AdminPrefs" või "WeKnow"), valige see ja klõpsake - (Eemalda) nuppu allosas, seejärel sisestage selle kustutamiseks oma Maci parool.
4. Kustuta hallatud brauser plist Failid macOS-i terminali kaudu:
5. Ava Terminal (Cmd + Space, tüüp Terminal) ja käivitage need käsud sunnitud eemaldamiseks plist poliitikafailid ja tühjendage cfprefsd vahemälu:

sudo rm -f /Library/Managed\ Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/*/com.google.Chrome.plist
sudo rm -f /Library/Preferences/com.google.Chrome.plist
rm -f ~/Library/Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/com.microsoft.Edge.plist
sudo rm -f /Library/Preferences/com.microsoft.Edge.plist
defaults delete com.google.Chrome ExtensionInstallForcelist 2>/dev/null
defaults delete com.google.Chrome HomepageLocation 2>/dev/null
sudo killall cfprefsd

Taaskäivitage Chrome/Edge ja kinnitage chrome://policy et nullpoliitika jääb aktiivseks.

3. etapp: OS-i tasemel krüptolõikelaua kaaperdajate ("Clippers") tuvastamine ja likvideerimine¶

Mis siis, kui eemaldaksite kõik brauseri laiendused, sulgeksite brauseri täielikult ja prooviksite krüptorahakoti aadressi kopeerimist (0x... või bc1...) Windows Notepadis või macOS TextEditis ja kleebitud aadress muteerub endiselt ründaja rahakoti aadressiks?

See tähendab Operatsioonisüsteemi tasemel Clipperi pahavara kahendfaili (Laplas Clipper, ClipBanker, phemedrone, RedLinevõi petlik Python/Node/AutoIt skript) töötab teie operatsioonisüsteemi taustal ja kutsub Windowsi AddClipboardFormatListener / SetClipboardData API (või macOS NSPasteboard küsitlussilmus).

1. samm: tehke kindlaks, milline protsess teie lõikelaual praegu on või küsitleb¶

• Windowsis (PowerShell Live Process & Startup Audit): Avage PowerShell administraatorina ja käivitage see diagnostikakäsk, et loetleda kõik mitte-Microsofti taustaprotsessid, kus kasutaja kirjutatavad kataloogid saavad otsa (AppData, Temp, ProgramData, Users\Public), kus elab 99 protsenti Clipperi troojalastest:

Get-CimInstance Win32_Process | Where-Object {
    $_.ExecutablePath -match "AppData|Temp|ProgramData|Users\\Public"
} | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-List

Kontrollige väljundit kahtlaste suhtes .exe, pythonw.exe, wscript.exe, cscript.exe, powershell.exe, mshta.exe, või AutoIt3.exe protsessid saavad otsa %AppData%\Roaming, %LocalAppData%\Temp, või C:\ProgramData. Pange tähele ProcessId (PID) ja ExecutablePath, lõpetage protsess nupuga Stop-Process -Id <PID> -Forceja kustutage kettal olev binaarfail.

• Audi Windowsi püsivuse asukohti (Run Klahvid & Scheduled Tasks): Clippers kannatab taaskäivitamise üle, lisades registri Run võti, käivitamine .lnk faili sisse shell:startupvõi ajastatud ülesanne. Nende paljastamiseks käivitage need kaks PowerShelli kontrolli:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
Get-ScheduledTask | Where-Object {$_.State -ne "Disabled" -and $_.Author -notmatch "Microsoft"} | Select-Object TaskName, TaskPath, State

Laadige alla Microsoft Sysinternals Autoruns (Autoruns64.exe) alates learn.microsoft.com/en-us/sysinternals/downloads/autoruns, käivitage see administraatorina, lubage Valikud -> Skaneerimissuvandid -> Koodisignatuuride kontrollimine + Kontrollige VirusTotal.com ja kustutage kõik punased/allkirjata kirjed vahekaartidelt Sisselogimine, Ajastatud ülesanded või WMI.

• MacOS-is (LaunchAgents & Background Process Audit): Avage Terminal ja kontrollige kõiki kasutajaid ja süsteeme LaunchAgents ja LaunchDaemons (kus macOS-i lõikurid ja Atomic Stealer / Poseidon püsivusskriptid peida):

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons
ps aux | grep -E "osascript|python|node|curl|base64|NSPasteboard"

Kontrollige tundmatut .plist faili sisse -/Library/LaunchAgents kasutades cat -/Library/LaunchAgents/<filename>.plist, laadige see maha launchctl unload -/Library/LaunchAgents/<filename>.plistja kustutage mõlemad .plist ja binaar, millele see osutab.

4. etapp: nakatumisjärgne taastamine (varastatud seansiküpsiste, OAuthi lubade ja Web3 kinnituste tühistamine)¶

Pahatahtliku brauserilaienduse kustutamine peatab tulevase nuhkimise, aga see ei muuda kehtetuks seansiküpsiseid, salvestatud paroole ega rahakoti algfraase, mille laiendus installimise ajal ründaja serverisse juba üles laadis. Oletame, et kõik avatud vahekaardid ja iga brauseri sisseehitatud paroolihaldurisse salvestatud parool on ohustatud:

1. Sundige oma kriitilistel kontodel globaalne "kõikidest seanssidest väljalogimine":
2. Lihtsalt parooli muutmine jätab mõnikord olemasolevad OAuthi märgid või mobiili-/veebisessioonid kehtima kuni tund. Logige sisse puhtast seadmest ja klõpsake selgesõnaliselt käsul Logi välja kõikidest seanssidest / tühista kõik seadmed:
   • Google / Gmail: myaccount.google.com/device-activity -> valige iga harjumatu või töölauaseanss -> Logi välja. Samuti kontrollige myaccount.google.com/permissions kolmandate osapoolte OAuthi rakenduste tühistamiseks.
   • Microsoft / Outlook / 365: account.live.com/proofs/manage/additional -> klõpsake Logi mind välja (sunnib kõigis brauserites globaalse väljalogimise 24 tunni jooksul).
   • GitHub / GitLab / AWS / pilvekonsoolid: minge lehele github.com/settings/sessions -> Tühista kõik seansid ja pöörake isiklikke juurdepääsumärke (PATs) või SSH-klahvid.
   • Discord / Slack / Sotsiaalmeedia: Pange tähele, et pahatahtlikud laiendused sihivad konkreetselt Discordi Local Storage autentimisluba ja Facebook Business Manageri küpsised; muutke oma Discordi parooli (mis taastab automaatselt teie Discordi kasutajamärgi) ja lõpetage kõik aktiivsed seansid Facebooki/Instagrami turvaseadetes.
3. Migreerige mis tahes tarkvara krüptorahakott (MetaMask, Phantom, Rabby, Keplr) mis installiti samasse brauserisse:
4. Kui pahatahtlikul laiendusel oleks <all_urls> või scripting juurdepääsu või kui teie arvutis töötas OS-i tasemel infovaras, võib see olla lugenud teie krüptitud hoiufaili (ldb failid sisse Local Extension Settings) ja jäädvustas teie rahakoti avamise parool selle tippimise ajal.
5. Ärge ära hoidke raha selles kuumas rahakotis. Looge täiesti uus rahakoti algfraas puhtas seadmes või riistvaralises rahakotis (Ledger, Trezor, Keystone), kandke oma ülejäänud varad uude rahakotti ja tühistage rippuvate märgide kinnitused aadressil revoke.cash järgides meie krüptovaluuta rahakoti tühjendamise ja seemnefraasi kompromissi juhend.
6. Teostage brauseri täielik lähtestamine:
7. Mine aadressile chrome://settings/reset (edge://settings/reset / about:support -> Värskenda Firefoxi) ja klõpsake nuppu Taasta seaded algsed vaikeseaded. See lähtestab teie käivituslehe, uue vahelehe lehe, otsingumootori ja kinnitatud vahelehed, kustutab ajutised küpsised ja keelab kõik ülejäänud laiendused.

Korduma kippuvad küsimused¶

Miks muutus laiendus, mida ma 2 aastat turvaliselt kasutasin, äkki pahavaraks või reklaamvaraks?¶

Brauserilaiendeid värskendatakse automaatselt ja vaikselt taustal ilma teie luba küsimata, välja arvatud juhul, kui uus versioon taotleb täiesti uut loakategooriat. Küberkurjategijate rühmitused ja reklaamipettuste sündikaadid võtavad regulaarselt ühendust populaarsete seaduslike laienduste (nt PDF-tööriistad, helitugevuse suurendajad, ekraanisalvestid või reklaamiblokeerijad) üksi arendajatega ja pakuvad neile tuhandeid dollareid Chrome'i veebipoe arendajakonto müümiseks või laienduse omandiõiguse üleandmiseks. Kui ostja kontrollib kirjet, edastab ta vaikse versiooni värskenduse, mis sisaldab küpsiste varastamise või sidusettevõtte kaaperdamise koodi, mis nakatab üleöö kõiki olemasolevaid kasutajaid.

Kas Google'i värskendus Manifest V3 muudab Chrome'i ja Edge'i laiendused pahavara eest täiesti turvaliseks?¶

Ei. Kuigi Manifest V3 parandab märkimisväärselt turvalisust, keelates laiendustel laadida välistest serveritest kaughostitavat käivitatavat JavaScripti koodi (sunnides kogu koodi poodi saadetud laienduspaketi sees komplekteerima), võivad Manifest V3 alla koostatud pahatahtlikud laiendused siiski kuritarvitada hosti laiaulatuslikke õigusi (kõikidel saitidel), lugeda DOM-i vormisisendeid ja hija-skripte, klahvivajutuste ja klahvivajutuste kaudu, manipuleerida otsingutulemustega deklaratiivse NetRequesti reeglite kaudu. Jätkuvalt on oluline piirata laiendusi ainult neile, keda te rangelt usaldate, ja määrata nende saidile juurdepääsu loa olekuks „Kõikidel saitidel”, mitte „Kõigil saitidel”.

Kuidas saan kaitsta oma krüptovaluuta ülekandeid lõikelaua kaaperdaja pahavara eest tulevikus?¶

Esiteks, ärge kunagi kontrollige kleebitud rahakoti aadressist ainult 4 esimest ja viimast 4 tähemärki, sest kaasaegne klipperi pahavara kasutab eelnevalt arvutatud edevusaadressi kogumeid, et valida ründaja aadress, millel on samad algus- ja lõpumärgid kui teie kavandatud adressaadil. kontrollige alati vähemalt 6 esimest, keskmist 6 ja 6 viimast tähemärki. Teiseks kasutage füüsilise ekraaniga võrguühenduseta riistvararahakotti (nt Ledger, Trezor või GridPlus) ja kontrollige enne füüsilise kinnitusnupu vajutamist riistvaraseadme füüsilisel ekraanil adressaadi täielikku aadressi ning salvestage sageli kasutatavad adressaatide aadressid oma rahakoti lubatud aadressiraamatusse, selle asemel et neid lõikelaualt kopeerida ja kleepida.

Allikad kontrollitud¶

• Küberturvalisuse ja infrastruktuuri turvaagentuur (CISA, Ameerika Ühendriigid) ja Föderaalne Juurdlusbüroo (FBI): Ühised küberturvalisuse nõuanded Infostealeri pahavara, seansiküpsiste kaaperdamise ja pahatahtlike brauserilaiendite kohta.
• Riiklik Standardi- ja Tehnoloogiainstituut (NIST, Ameerika Ühendriigid): SP 800-83 Rev. 1, Laua- ja sülearvutite pahavarajuhtumite ennetamise ja käsitlemise juhend.
• Google Chrome Enterprise'i ja Chromiumi turbetiim: Chrome Enterprise'i eeskirjade loend (ExtensionInstallForcelist), manifesti V3 laienduse turbearhitektuur ja volitamata poliitikasüsti parandamine.
• Microsoft Security Response Center (MSRC) & Microsoft Defender Threat Intelligence: Analüüsimine ja kõrvaldamine CrypToClipper / Lõikelaua kaaperdaja pahavara ja võltsitud brauseri eeskirjade registri püsivus (HKLM\SOFTWARE\Policies\Microsoft\Edge).
• Riiklik küberjulgeolekukeskus (NCSC, Ühendkuningriik): Seadme turvajuhised: brauserilaiendite haldamine, ettevõtte poliitika juhtelemendid ja märgivarguse leevendamine.

Seotud juhendid¶

• Krüptovaluuta rahakoti tühjendamine, algfraasi kompromiss ja kinnituste tühistamine
• Pahavara, lunavara ja nuhkvarainfektsioonide eemaldamine
• MFA andmepüügi, vastase keskpunkti (AiTM) möödaviimine ja seansiküpsiste vargus
• Vastus andmete rikkumisele, lekkinud paroolid ja krediidi külmutamine
• Hädaabinumbrid riigiti