Istuntotunnuksen kaappaus, Infostealer-haittaohjelma ja maailmanlaajuinen istunnon peruutus¶

Cookie-palvelun erehtymätön allekirjoitus on se, että hyökkääjä julkaisi juuri kryptovaluuttahuijauksia YouTube-, Instagram-, Discord- tai X-tililtäsi, loi edelleenlähetyssäännöt Gmail- tai Microsoft 365 -postilaatikkoosi tai käytti yrityksesi pilvikonsolia käynnistämättä 2FA-koodia puhelimessasi tai "New Login" -sähköpostihälytystä. (Pass-the-Cookie)** Infostealer-haittaohjelman aiheuttama. Kun kirjaudut verkkosivustolle ja valitset "Pidä minut kirjautuneena", palvelin lähettää salatun HTTP-istuntoevästeen tai OAuth-siirtotietunnuksen (kuten Googlen SID / SAPISID, Microsoftin ESTSAUTHPERSISTENTtai Discordin Authorization token) tallennettu verkkoselaimesi paikalliseen SQLite-tietokantaan.

Hyödykkeiden infostealer-haittaohjelmaperheet, mukaan lukien Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys ja Atomic macOS Stealer (AMOS), älä odota tietokonettasi kuin perinteiset virukset. Usein väärennetyksi pelimodifikaatioksi, murtuneeksi ohjelmiston asennusohjelmaksi, väärennetyksi "ClickFix" PowerShell CAPTCHA -kehoteeksi tai sponsorin yhteistyö-PDF:ksi naamioitu tietovarasto suorittaa alle 4 sekunnissa ja purkaa Chromen, Edgen, Braven tai Firefoxin salauksen. Cookies ja Login Data tietokannat muistissa, pakkaa ne työpöydän kryptovaluuttalompakkotiedostoillesi, lataa arkiston Telegram- tai C2-palvelimelle ja poistaa itsensä. Kun hyökkääjä tuo varastetut istuntoevästeet tunnistusta estävään selaimeen (Multilogin, Dolphin{anty}, tai Gologin), verkkopalvelin uskoo, että hyökkääjä on jo todennettu tietokoneesi, joka ohittaa täysin sekä salasanasi että kaksivaiheisen todennuksen.

Tee tämä nyt¶

1. LOPETA salasanojen vaihtaminen tartunnan saaneessa tietokoneessa, irrota välittömästi kyseinen PC tai Mac Wi-Fi-verkosta ja irrota sen Ethernet-kaapeli. Tämä on suurin virhe, jonka uhrit tekevät: he huomaavat Discordin, Steamin tai Gmailin kaapatun, istuutuvat täsmälleen saman tartunnan saaneen pöytätietokoneen ääreen ja kirjoittavat upouudet salasanat Chromeen. Jos infostealer persistence loader tai ajoitettu tehtävä on edelleen aktiivinen kyseisellä koneella, se kaappaa välittömästi uudet salasanasi ja tuoreet istuntoevästeet ja lähettää ne suoraan takaisin hyökkääjälle. Tee 100 prosenttia salasanan muutoksista ja istunnon peruutuksista puhtaalla älypuhelimella (matkapuhelinverkossa tai puhtaalla Wi-Fi-yhteydellä) tai erillisellä, koskemattomalla kannettavalla tietokoneella.
2. Ymmärrä, että pelkkä salasanan vaihtaminen EI aina mitätöi varastettuja istuntoevästeitä tai OAuth-päivitystunnuksia, vaan sinun TÄYTYY nimenomaisesti napsauttaa "Kirjaudu ulos kaikista istunnoista" JA peruuttaa kolmannen osapuolen OAuth-sovellukset. Useilla alustoilla (ja Googlen dokumentoimattomilla alustoilla) MultiLogin / issueToken OAuth-päätepisteet tai pitkäikäiset istuntotunnukset), pelkkä salasanan vaihtaminen tai 2FA:n kiertäminen voi jättää olemassa olevat toissijaiset istuntotunnukset tai OAuth-työpöytätunnukset eloon, ellet suorita alla olevan taulukon alustakohtaisia Global Session & Token Revocation -vaiheita.
3. Jos sinulla on ohjelmiston kryptovaluuttalompakkolaajennus (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) asennettuna tartunnan saaneelle tietokoneelle, käytä puhdasta puhelinta heti evakuoidaksesi rahasi uuteen laitteistolompakko-siemenlauseeseen. Infostealer-lokit keräävät automaattisesti salatut tiedostot.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMaskille) selaimesi tallennettujen salasanojen rinnalla. Vaikka hyökkääjä ei olisi vielä koskenut kryptoasi, varastotiedostosi istuu jo darknet-markkinoilla ja odottaa offline-grafiikkasuorittimen krakkausta. Toteuta meidän kryptovaluutan lompakon tyhjennys ja siemenlauseen kompromissi opastamaan välittömästi.
4. Suojaa "Apex Identity -tilisi" (ensisijainen sähköposti, salasanahallinta, Apple/Google-tili ja yrityksen SSO) ensimmäisten 10 minuutin aikana. Avaa ensisijainen Google / Gmail (puhtaalla älypuhelimella)myaccount.google.com/device-activity) ja Microsoft (mysignins.microsoft.com) tilit ensin. Kirjaudu ulos kaikista työpöytäistunnoista, käännä pääsalasanaa, valitse Asetukset > Edelleenlähetys ja POP/IMAP ja Suodattimet/säännöt poistaaksesi piilotetut sähköpostin edelleenlähetyssäännöt, jotka hyökkääjä on luonut piilottaakseen salasanan nollaussähköpostit muista palveluista, ja tarkista rekisteröidyt salasanat ja Authenticator-laitteet.
5. Tarkista Windowsin rekisterisi Run avaimet, Task Scheduler ja PowerShell-historia, jos suoritit äskettäin "ClickFix" väärennetyn CAPTCHA-komennon (Win + R -> Ctrl + V). Yksi nopeimmin kasvavista tietovarastovektoreista nykyään on väärennetty Cloudflare tai Google CAPTCHA -ponnahdusikkuna verkkosivulla, joka kehottaa sinua "Paina Win + R, paina Ctrl + V, ja paina Enter vahvistaakseen, että olet ihminen" (joka suorittaa hiljaa piilotetun mshta.exe tai powershell -w hidden -enc ... komento kopioitu leikepöydällesi).
6. Säilytä näkökulma ja suojele fyysistä turvallisuutta, jos tietoturvaloukkaukseen liittyy yrityksen infrastruktuuria tai kiristystä. Infostealer-lokit käynnistävät usein automaattisia lunnaita tai seksikiristyksiä sisältäviä sähköpostiviestejä, joissa mainitaan varastettu salasanasi. Älä koskaan maksa kiristäjille; katso meidän seksikiristyksiä ja online-kiristystä opas, ja jos kohtaat fyysisen uhan, soita paikalliseen hätänumeroon (911 Yhdysvalloissa ja Kanadassa, 112 kaikkialla Euroopan unionissa, 999 Isossa-Britanniassa tai katso hätänumerot hakemisto).

Infostealer & istuntoevästeiden kaappauksen tapauksen vastauspäätöspuu¶

flowchart TD
    Root["Epäilty istuntoevästeen kaappaus tai tietovarastajien haittaohjelmatartunta"] --> IsolatePC["VAIHE 1: Irrota tartunnan saanut PC/Mac välittömästi Wi-Fi- ja Ethernet-verkosta (ÄLÄ vaihda saastuneen tietokoneen salasanoja)"]

    IsolatePC --> CryptoCheck{"Oliko kyseisessä tietokoneessa Crypto Wallet -laajennuksia (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"Kyllä"| EvacCrypto["Käytä puhdasta puhelinta/laitteistolompakkoa välittömästi pyyhkäiseksesi kaikki kryptoresurssit upouuteen siemenlauseeseen"]
    CryptoCheck -->|"Ei"| ApexLock["VAIHE 2: Lukitse ensisijainen sähköposti (Gmail, Outlook, Proton) ensin puhtaalla älypuhelimella"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["VAIHE 3: Suorita globaali istunto + OAuth-tunnus + salasanan peruutus kaikissa kriittisissä tileissä (katso alustamatriisi alla)"]

    GlobalRevoke --> ExportList["VAIHE 4: Offline-tartunnan saaneessa PC:ssä vie luettelo kaikista tallennetuista selaimen salasanoista ja evästeistä, jotta tiedät tarkalleen, mitkä tilit varastettiin"]

    ExportList --> CleanOS["VAIHE 5: Varmuuskopioi vain henkilökohtaiset asiakirjat -> Puhdas käyttöjärjestelmän pyyhintä/uudelleenasennus -> Rekisteröi salasanat uudelleen ja ota käyttöön Chromen sovellussidottu salaus"]

Ymmärtää kuinka Infostealers ohittaa 2FA- ja DPAPI- / Keychain-salauksen¶

Kuinka 200 kilotavun ohjelma voi varastaa salasanoja ja istuntoevästeitä, jotka Google Chrome, Microsoft Edge ja Brave salaavat kiintolevyllesi?

1. Windows DPAPI (CryptUnprotectData) ja Chrome App-Bound Encryption (v20):
2. Windowsissa Chromium-pohjaiset selaimet (Chrome, Edge, Brave, Opera, Vivaldi) tallentavat tallennetut salasanasi %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data ja istunnon evästeet sisällä \Network\Cookies.
3. Nämä SQLite-tietokannat on salattu AES-256-GCM-pääavaimella %LOCALAPPDATA%\Google\Chrome\User Data\Local State, jota suojaa Windows Data Protection API (DPAPI), joka on sidottu sisäänkirjautuneeseen Windows-käyttäjätiliisi.
4. Koska suoritit infostealeriä omana kirjautuneena Windows-käyttäjänä, mikä tahansa käyttäjätililläsi käynnissä oleva prosessi voi historiallisesti kutsua CryptUnprotectData() pyytää Windowsia purkamaan avaimen salauksen. Ja ohittaaksesi Chrome 127+ App-Bound Encryption (v20 hissipalvelu), modernit tietovaraajat ruiskuttavat suoraan päättömään laitteeseen chrome.exe virheenkorjausprosessi (--remote-debugging-port) tai käytä COM-korkeutta pyytääksesi Chromea itseään poistamaan kaikki live-salauksen puretut evästeet.
5. macOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. Apple macOS:ssä tietovarastoja naamioituneena .dmg lataukset (pyytävät usein "Napsauta hiiren kakkospainikkeella -> Avaa" tai vedä kuvake kohtaan Terminaali ohittaaksesi Apple Gatekeeperin) tuovat esiin väärennetyn alkuperäisen macOS-valintaikkunan, jossa lukee "Järjestelmäasetukset haluaa käyttää luottamuksellisia tietojasi: Anna Mac-kirjautumissalasana". Skriptin lukitus avautuu heti, kun kirjoitat Mac-kirjautumissalasanasi kyseiseen kehotteeseen -/Library/Keychains/login.keychain-db ja kopioi Safari/Chrome-evästeet, Apple Notes ja iCloud-tunnisteet.
7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
8. Tietoturvatutkijat paljastivat, että tietovarastot eivät vain varasta tavallisia verkkoevästeitä, vaan myös poimivat dokumentoimattomia oauth_token palvelutunnukset Chromen Web Data (token_service taulukko) SQLite-tiedosto. Vaikka uhri olisi vaihtanut Google-salasanansa kerran, hyökkääjät saattoivat toistaa varastetun jutun uudelleen token_service OAuth-tunnus Googlen sisäistä tunnusta vastaan OAuthLogin päätepisteen mint upouusi voimassa SID selaimen evästeet, ellei käyttäjä ole nimenomaisesti kirjautunut ulos vaarantuneen Chrome-laitteen istunnosta JA peruuttanut kolmannen osapuolen/OAuth-laitteen käyttöoikeutta.

Vaihe 1: Globaali istunto, eväste, OAuth ja salasanan peruutusmatriisi¶

Käytä puhdasta älypuhelinta tai puhdasta toissijaista tietokonetta ja käsittele tämä taulukko ylhäältä alas. Järjestysasiat: tee aina Vaihe A (Kirjaudu ulos kaikista aktiivisesta istunnosta/laitteesta) ja Vaihe B (Vaihda salasana) ja Vaihe C (Tarkistus 2FA/Salasanat/OAuth/Edelleenlähetys) yhdessä, jos vaihdat vain salasanasi lopettamatta aktiivisia istuntoja tai lisäät sisään hyökkääjän ja välilehden reaaliajassa. vilpillinen palautusmenetelmä.

Vaihe 2: Kuinka selvittää KAIKKI tilit, jotka paljastettiin tartunnan saaneella tietokoneellasi¶

Kun olet lukinnut 10 tärkeintä tiliäsi puhtaalla puhelimellasi, kohtaat pelottavan kysymyksen: "Olen käyttänyt kyseistä tietokonetta neljä vuotta, mistä tiedän, mitkä 250 verkkosivustostani olivat tallentaneet salasanoja tai aktiivisia evästeitä Chrome/Edgeen, kun tietovarasto suoritettiin?"

Samalla kun pidät tartunnan saaneen tietokoneen 100-prosenttisesti offline-tilassa (Wi-Fi POIS PÄÄLTÄ, Ethernet irrotettu), käynnistä se ja poimi tarkka altistumisluettelo ennen koneen pyyhkimistä:

1. Vie selaimen tallennettujen salasanojen luettelo (CSV):
2. Avaa selaimesi offline-tilassa (chrome://password-manager/settings Chromessa, edge://wallet/settings Edgessä tai about:logins Firefoxissa) ja tallenna napsauttamalla Vie salasanat Chrome Passwords.csv puhtaalle USB-muistitikulle.
3. Miksi tämä tiedosto on kultaa palautumisesi kannalta: Tietovarasto varasti juuri tämän tietokannan. ottaa Chrome Passwords.csv edessäsi antaa sinulle tarkan tarkistuslistan jokaisesta hyökkääjällä nyt olevan verkkosivuston käyttäjänimestä ja salasanasta, joten et menetä vanhaa veroportaalia, lentomailien tiliä tai ostossivustoa tallennetulla luottokortilla.
4. Tarkista millä verkkosivustoilla oli aktiivisia istuntoevästeitä (chrome://settings/content/all):
5. Siirry Chromessa tai Edgessä (offline-tilassa) osoitteeseen chrome://settings/content/all (tai edge://settings/content/all) ja lajittele Tallennetut tiedot tai Käydyimmät mukaan. Kaikki verkkosivustot, joille jäit kirjautumaan sisään kirjoittamatta salasanaa, olivat alttiina istuntoevästevarkauksille, ja niiden istunto on lopetettava.
6. Tarkista, oliko erillinen salasananhallintaohjelmasi (1Password, Bitwarden, KeePassXC) avattu tartuntahetkellä:
7. Jos 1Password-, Bitwarden- tai KeePassXC-holvisi oli LUKITTU, kun tietovarastaja suoritettiin: Haittaohjelma saattoi napata vain salatun paikallisen holvin välimuistin (data.json tai .kdbx), joka on suojattu PBKDF2-SHA256 / Argon2id + pääsalasanallasi (ja 34-merkkinen salainen avain 1Passwordissa). Jos pääsalasanasi on vahva, varastosi sisältö pysyy turvassa, mutta sinun tulee silti kiertää pääsalasanaasi varotoimenpiteenä.
8. Jos salasananhallinnan selainlaajennuksesi oli AVAIN LUKITTU muistista haittaohjelman suorituksen aikana (tai jos tallensit Password Managerin pääsalasanan Chromen sisäänrakennettuun automaattiseen täyttöön.): Oletetaan, että tietovarastaja on jättänyt varastosi tai vanginnut pääsalasanasi, ja kierrä kaikkia tärkeitä tunnistetietoja varastossasi.

Vaihe 3: Etsi ja hävitä Infostealerin pysyvyys ennen käyttöjärjestelmän pyyhkimistä¶

Ennen kuin teet varmuuskopioita henkilökohtaisista asiakirjoistasi ja suoritat puhtaan käyttöjärjestelmän uudelleenasennuksen, voit tarkastaa, kuinka infostealer tuli järjestelmääsi ja onko se pudonnut jatkuvan toissijaisen latausohjelman (kuten ajoitetun tehtävän, rekisterin Run avain, käynnistys .lnk pikakuvake tai haitallinen Chrome-laajennus):

1. Suorita tämä offline-tilassa PowerShell Persistence Audit (Windows)¶

Avaa PowerShell (Admin) offline-tietokoneella ja suorita nämä neljä vain luku -oikeustarkastusta:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Miksi puhdas käyttöjärjestelmän uudelleenasennus (USB-median kautta) on suositeltavaa Infostealer-ohjelman jälkeen¶

Kun Microsoft Defender Offline Scan ja Malwarebytes on suoritettu Defenderin poissulkemisten poistamisen jälkeen, se poistaa tunnetut pysyvyyslataajat, hyödyketietovarastajat yhdistävät usein toissijaisen RAT:n (Remote Access Trojan), SystemBC SOCKS5 -välityspalvelimen tai Clipper-haittaohjelman tai leikkurihaittaohjelman (joka tarkkailee Windows-levyäsi hiljaa). lompakon osoite hakkerin osoitteen kanssa). - Kun olet kopioinut henkilökohtaiset asiakirjasi, valokuvasi ja Chrome Passwords.csv offline-tietokoneelta, suorita puhdas Windows 11 USB Reinstall (tai macOS Erase All Content and Settings) noudattamalla haittaohjelmien, kiristysohjelmien ja vakoiluohjelmien tartuntaopas.

3. Tarkastus macOS- ja Linux-järjestelmissä Infostealer-artefakttien varalta (Atomic macOS Stealer / AMOS, Poseidonja haitalliset selainlaajennukset)¶

Jos tartunnan saanut koneesi on Apple MacBook/iMac tai Linux-kehittäjätyöasema Windows-tietokoneen sijaan, suorita nämä offline-päätetarkistukset havaitaksesi ja poistaaksesi pysyvyyden:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace ja AWS IAM)¶

Jos tietovarastajan tartuttama tietokone kuului ohjelmistosuunnittelijalle, DevOps-järjestelmänvalvojalle tai yrityksen työntekijälle, jolla oli aktiivisia istuntoja Microsoft Entra ID:ssä (Azure AD), Oktassa, Google Workspacessa, AWS:ssä tai Cloudflaressa, paikallinen laitteen puhdistaminen on vain puoli voittoa. Suorita nämä pilvihakemistojen peruutukset välittömästi:

• Microsoft Entra ID (Revoke-MgUserSignInSession): "Kirjaudu ulos" -painikkeen napsauttaminen yhdessä selaimessa ei aina peruuta Primary Refresh Tokens (PRT) tai Azure CLI (az login / .azure/msal_token_cache.bin) -tunnukset kopioitu levyltä. Entran järjestelmänvalvojan on suoritettava Revoke-MgUserSignInSession -UserId user@company.com Microsoft Graph PowerShellissä nollataksesi käyttäjän signInSessionsValidFromDateTime määrittää ja mitätöidä kaikki päivitystunnukset kaikissa päätepisteissä samanaikaisesti.
• AWS CLI & Developer Token Rotation (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Hyödyketietovarastot etsivät nimenomaisesti jokaisen käyttäjän kotihakemistoa .aws/credentials, .ssh/id_ed25519, .gitconfig, .envja Docker/Kubernetes-kokoonpanotiedostot. Poista välittömästi käytöstä ja käännä kaikki AWS IAM -käyttöavaimet (AKIA...) peruuta AWS-konsolissa GitHub Personal Access Tokens (ghp_...) ja poista julkiset SSH-avaimet tuotantopalvelimista (-/.ssh/authorized_keys).
• ** Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard)**: Verkkoselaimien lisäksi infostealer-moduulit kopioivat erityisesti %APPDATA%\Telegram Desktop\tdata hakemisto (jonka avulla hyökkääjä voi kloonata koko Telegram-tilisi tietokoneelleen ilman tekstiviestikoodia), %APPDATA%\Slack\storage, ja tallennettu OpenVPN (.ovpn) / WireGuard (.conf) yritysten VPN-profiilit. Avaa Telegram puhelimessasi (Asetukset > Laitteet -> Lopeta kaikki muut istunnot), kirjaudu ulos kaikista Slackin työtiloista (slack.com/account/settings -> Kirjaudu ulos kaikista muista istunnoista) ja pyydä verkonvalvojaa peruuttamaan yrityksen VPN-asiakasvarmenne ja myöntämään se uudelleen.

Ennaltaehkäisy: Kuinka tehdä selaimestasi ja tilistäsi kestäviä Infostealereille¶

Kun järjestelmäsi on puhdas ja tilisi palautettu, ota käyttöön nämä viisi suojakeinoa, jotta tietovaraaja ei voi enää koskaan kaapata digitaalista elämääsi:

• ÄLÄ KOSKAAN säilytä salasanoja verkkoselaimesi sisäänrakennetussa salasananhallinnassa (Chrome / Edge / Brave / Firefox Automaattinen täyttö) ilman laitteistoa/pääavainta: Jokainen Earthin hyödyketietovarasto kohdistaa Chromen Login Data SQLite-taulukko ensin. Laita OFF "Tarjoa salasanojen tallentamista" sisään chrome://password-manager/settings ja tallenna salasanasi omaan, nollatietoiseen salasanojen hallintaan (1Password, Bitwarden, Proton Pass tai KeePassXC), joka on määritetty Automaattinen lukitus heti, kun järjestelmä lukittuu, tai 5 minuutin käyttämättömyyden jälkeen.
• Ota käyttöön "Device-Bound Session Credentials (DBSC)" ja "App-Bound Encryption" Chrome 127+:ssa: Varmista, että Google Chrome tai Edge on päivitetty uusimpaan versioon ja asennettu oletusjärjestelmän hakemistoon (C:\Program Files\Google\Chrome\Application) joten GoogleChromeElevationService voi sitoa evästeiden salauksen järjestelmän käyttöoikeustasoihin ja TPM-laitteistoavaimiin Device-Bound Session Credentials (DBSC) -tunnistetietojen kautta.
• Poista Windows Run Box käytöstä (Win + R) tai mshta.exe estääksesi "ClickFix" väärennetyt CAPTCHA-hyökkäykset: Älä koskaan paina Win + R -> Ctrl + V -> Enter kun verkkosivuston CAPTCHA, väärennetty Cloudflare-näyttö tai "Korjaa mikrofoni/Korjaa fontti" -ponnahdusikkuna pyytää sinua liittämään komennon Suorita-valintaikkunaan tai päätteeseen, mikään laillinen verkkosivusto maan päällä ei koskaan vahvista ihmisyyttä pyytämällä sinua liittämään koodia Win + R tai macOS-päätettä.
• Käytä laitteiston suojausavaimia (YubiKey) tai pääsyavaimia + vaativat uudelleentodennusta arkaluonteisiin toimiin: Vaikka varastetut istuntoevästeet ohittavat ensimmäiset kirjautumiskehotteet, suuret alustat (Google, GitHub, Cloudflare, AWS, Coinbase) pakottavat fyysisen pyynnön Step-Up-Up YubiKey tap- tai Passkey-biometrinen tarkistus, ennen kuin sallit kenen tahansa, jolla on istuntoeväste, vaihtaa salasanasi, viedä tietoja tai lisätä nostoosoitteen.
• Tarkista, onko sähköpostisi tai stealer-lokisi näkynyt Darknet-valvontatietokantoissa: Vieraile haveibeenpwned.com (joka nyt indeksoi miljoonia varastettujen lokien uhrien sähköpostiosoitteita ja vaarantuneita verkkotunnuksia) ja ota käyttöön ilmaiset darknet-loukkausilmoitukset sähköpostiosoitteillesi.
• Eristä epäluotetut lataukset, pelimodit ja kolmannen osapuolen komentosarjat virtuaalikoneessa tai Windowsin hiekkalaatikossa: Älä koskaan suorita vahvistamatta .exe, .msi, .dmg, .battai Python pip / Solmu npm asennuksen jälkeiset komentosarjat suoraan isäntäkäyttöjärjestelmään, joka sisältää todennettuja verkkoselaimen istuntoja ja taloudellisia kirjautumistietojasi. Ota käyttöön Windows Sandbox (sisäänrakennettu Windows 10/11 Pro- ja Enterprise-käyttöjärjestelmiin kohdassa Ota Windowsin ominaisuudet käyttöön tai poista niitä käytöstä > Windows Sandbox) tai käytä eristettyä virtuaalikonetta, jossa ei ole tallennettuja selaimen evästeitä, kun testaat kolmannen osapuolen apuohjelmia.

Usein kysytyt kysymykset¶

Aiheeseen liittyviä oppaita¶

• Haittaohjelmat, kiristysohjelmat ja vakoiluohjelmat
• MFA phishing ja Adversary-in-the-Middle (AiTM) ohitus
• MFA lockout: kuinka palauttaa lukitut tilit
• Sähköpostitili hakkeroitu, edelleenlähetyssäännöt ja palautus
• Kryptovaluutan lompakon tyhjennys ja siemenlauseen kompromissi
• Salasananhallinnan lukitus ja hätäholvin palautus
• Hätänumeroluettelo

Lähteet tarkistettu¶

• Cybersecurity and Infrastructure Security Agency (CISA) & FBI (Yhdysvallat): Yhteiset kyberturvallisuustiedotteet Infostealer-haittaohjelmista (LummaC2, RedLine, Rhadamanthys) ja Token/Session Theft -torjuntakeinoista (CSAE24 / MITER ATT&CK T1539:55alok Webs00:150al). Web-istunnon eväste).
• National Institute of Standards and Technology (NIST) (Yhdysvallat): NIST SP 800-63B: Digital Identity Guidelines: Session Management, Reauthentication and Token Binding.
• World Wide Web Consortium (W3C) ja Google Chromium -tietoturvaarkkitehtuuri: Device Bound Session Credentials (DBSC) -määritykset ja Chrome App-Bound -salaus (v20 DPAPI Elevation) tekninen dokumentaatio.
• National Cyber ​​Security Center (NCSC) (Iso-Britannia): Haittaohjelmien, tietovarastajien ja istuntojen kaappauksen torjunta yritys- ja kuluttajaympäristöissä.
• Open Worldwide Application Security Project (OWASP): Session Management Cheat Sheet & OAuth 2.0 Token Revocation (RFC 7009) -standardit.