Détournement de jetons de session, logiciels malveillants Infostealer et révocation globale de session¶

Découvrir qu'un attaquant vient de publier des escroqueries à la cryptomonnaie à partir de votre compte YouTube, Instagram, Discord ou X, a créé des règles de transfert dans votre boîte de réception Gmail ou Microsoft 365, ou a accédé à la console cloud de votre entreprise sans jamais déclencher un code 2FA sur votre téléphone ou une alerte par e-mail de « Nouvelle connexion » est la signature indubitable du Session Cookie / Token Hijacking (Pass-the-Cookie) causé par Infostealer Malware. Lorsque vous vous connectez à un site Web et cochez « Gardez-moi connecté », le serveur émet un cookie de session HTTP crypté ou un jeton de porteur OAuth (tel que celui de Google). SID / SAPISID, celui de Microsoft ESTSAUTHPERSISTENT, ou celui de Discord Authorization token) stocké dans la base de données SQLite locale de votre navigateur Web.

Les familles de logiciels malveillants infostealer, notamment Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys et Atomic macOS Stealer (AMOS), n'attendent pas sur votre ordinateur comme les virus traditionnels. Souvent déguisé en faux mod de jeu, en installateur de logiciel piraté, en fausse invite CAPTCHA PowerShell "ClickFix" ou en PDF de collaboration de sponsor, un infostealer s'exécute en moins de 4 secondes et décrypte votre Chrome, Edge, Brave ou Firefox. Cookies et Login Data bases de données en mémoire, les compresse avec les fichiers de votre portefeuille de crypto-monnaie de bureau, télécharge l'archive sur un serveur Telegram ou C2 et se supprime. Lorsque l'attaquant importe vos cookies de session volés dans un navigateur anti-détection (Multilogin, Dolphin{anty}, ou Gologin), le serveur Web pense que l'attaquant est votre ordinateur déjà authentifié, contournant complètement votre mot de passe et votre authentification à deux facteurs.

Fais ça maintenant¶

1. ARRÊTEZ de changer vos mots de passe sur l'ordinateur infecté, déconnectez immédiatement ce PC ou ce Mac du Wi-Fi et débranchez son câble Ethernet. C'est l'erreur n°1 que commettent les victimes : elles remarquent que leur Discord, Steam ou Gmail a été piraté, s'assoient exactement sur le même ordinateur de bureau infecté et saisissent de nouveaux mots de passe dans Chrome. Si un chargeur de persistance d'infostealer ou une tâche planifiée est toujours actif sur cette machine, il capturera immédiatement vos nouveaux mots de passe et vos nouveaux cookies de session et les renverra directement à l'attaquant. Effectuez 100 % de vos modifications de mot de passe et révocations de session à partir d'un smartphone propre (sur données cellulaires ou Wi-Fi propre) ou d'un ordinateur portable séparé et intact.
2. Comprenez que la modification d'un mot de passe à elle seule n'invalide PAS toujours les cookies de session volés ou les jetons d'actualisation OAuth, vous DEVEZ explicitement cliquer sur « Se déconnecter de toutes les sessions » ET révoquer les applications OAuth tierces. Sur plusieurs plates-formes (et avec les informations non documentées de Google MultiLogin / issueToken Points de terminaison OAuth ou jetons de session de longue durée), le simple changement de votre mot de passe ou la rotation de 2FA peut laisser les jetons de session secondaires existants ou les jetons de bureau OAuth en vie, à moins que vous n'exécutiez les étapes de Session globale et révocation de jetons spécifiques à la plate-forme dans le tableau ci-dessous.
3. Si une extension logicielle de portefeuille de crypto-monnaie (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) est installée sur l'ordinateur infecté, utilisez dès maintenant un téléphone propre pour évacuer vos fonds vers une toute nouvelle phrase de départ de portefeuille matériel. Les journaux Infostealer récoltent automatiquement les fichiers du coffre-fort cryptés (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn pour MetaMask) aux côtés des mots de passe enregistrés dans votre navigateur. Même si l’attaquant n’a pas encore touché à votre crypto, votre fichier de coffre-fort se trouve déjà sur un marché darknet en attente d’un cracker GPU hors ligne. Exécuter notre Épuisement du portefeuille de crypto-monnaie et compromission de la phrase de départ guider immédiatement.
4. Sécurisez vos « Comptes d'identité Apex » (e-mail principal, gestionnaire de mots de passe, compte Apple/Google et Corporate SSO) dans les 10 premières minutes. Sur votre smartphone propre, ouvrez votre Google / Gmail (myaccount.google.com/device-activity) et Microsoft (mysignins.microsoft.com) comptes en premier. Déconnectez-vous de toutes les sessions de bureau, faites pivoter le mot de passe principal, cochez Paramètres > Transfert et POP/IMAP et Filtres/Règles pour supprimer toutes les règles de transfert d'e-mails masquées créées par l'attaquant pour masquer les e-mails de réinitialisation de mot de passe provenant d'autres services, et vérifiez les clés d'accès et les appareils d'authentification enregistrés.
5. ** Auditez votre registre Windows Run clés, le planificateur de tâches et l'historique PowerShell si vous avez récemment exécuté une fausse commande CAPTCHA "ClickFix" (Win + R -> Ctrl + V).** L'un des vecteurs de vol d'informations qui connaît la croissance la plus rapide aujourd'hui est une fausse fenêtre contextuelle Cloudflare ou Google CAPTCHA sur une page Web qui vous demande de "Appuyez sur Win + R, appuyez sur Ctrl + V, et appuyez sur Enter pour vérifier que vous êtes humain" (qui exécute silencieusement un message caché mshta.exe ou powershell -w hidden -enc ... commande copiée dans votre presse-papiers).
6. Gardez la perspective et protégez la sécurité physique si la violation implique l'infrastructure de l'entreprise ou l'extorsion. Les journaux Infostealer déclenchent fréquemment des e-mails automatisés de rançon ou de sextorsion citant votre mot de passe volé. Ne payez jamais les extorsionnistes ; voir notre sextorsion et chantage en ligne guide, et si jamais vous faites face à une menace physique, appelez votre numéro d'urgence local (911 aux États-Unis et au Canada, 112 dans l'Union européenne, 999 au Royaume-Uni, ou consultez notre numéros d'urgence répertoire).

Arbre de décision de réponse aux incidents de détournement d'infostealer et de cookie de session¶

flowchart TD
    Root["Détournement suspecté de cookies de session ou infection par un logiciel malveillant Infostealer"] --> IsolatePC["ÉTAPE 1 : Déconnectez immédiatement le PC/Mac infecté du Wi-Fi et d'Ethernet (ne modifiez PAS les mots de passe sur le PC infecté)"]

    IsolatePC --> CryptoCheck{"Y avait-il des extensions de portefeuille crypto (MetaMask, Phantom, Exodus) sur ce PC ?"}
    CryptoCheck -->|"Oui"| EvacCrypto["Utilisez immédiatement un portefeuille téléphonique/matériel propre pour balayer tous les actifs cryptographiques vers une toute nouvelle phrase de départ"]
    CryptoCheck -->|"Non"| ApexLock["ÉTAPE 2 : Sur un smartphone propre, verrouillez d'abord la messagerie principale (Gmail, Outlook, Proton)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["ÉTAPE 3 : Exécuter une session globale + un jeton OAuth + une révocation de clé d'accès sur tous les comptes critiques (voir la matrice de plate-forme ci-dessous)"]

    GlobalRevoke --> ExportList["ÉTAPE 4 : Sur un PC infecté hors ligne, exportez la liste de tous les mots de passe et cookies de navigateur enregistrés pour savoir exactement quels comptes ont été volés"]

    ExportList --> CleanOS["ÉTAPE 5 : Sauvegarder les documents personnels uniquement -> Effectuer un nettoyage/réinstallation du système d'exploitation propre -> Réinscrire les clés d'accès et activer le cryptage lié à l'application Chrome"]

Comprendre comment les infostealers contournent le cryptage 2FA et DPAPI / trousseau¶

Comment un programme de 200 kilo-octets peut-il voler les mots de passe et les cookies de session que Google Chrome, Microsoft Edge et Brave chiffrent sur votre disque dur ?

1. Windows DPAPI (CryptUnprotectData) et le chiffrement lié à l'application Chrome (v20) :
2. Sous Windows, les navigateurs basés sur Chromium (Chrome, Edge, Brave, Opera, Vivaldi) stockent vos mots de passe enregistrés à l'intérieur %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data et vos cookies de session à l'intérieur \Network\Cookies.
3. Ces bases de données SQLite sont chiffrées avec une clé principale AES-256-GCM stockée dans %LOCALAPPDATA%\Google\Chrome\User Data\Local State, qui est protégé par l'API de protection des données Windows (DPAPI) liée à votre compte utilisateur Windows connecté.
4. Étant donné que vous avez exécuté l'infostealer en tant que votre propre utilisateur Windows connecté, tout processus exécuté sous votre compte utilisateur pouvait historiquement appeler CryptUnprotectData() pour demander à Windows de déchiffrer la clé. Et pour contourner Chrome 127+ App-Bound Encryption (v20 service d'ascenseur), les infostealers modernes injectent directement dans un chrome.exe processus de débogage (--remote-debugging-port) ou utilisez l'élévation COM pour demander à Chrome lui-même de supprimer tous les cookies décryptés en direct.
5. Porte-clés macOS et Atomic macOS Stealer (AMOS / PoseStealer) :
6. Sur Apple macOS, des voleurs d'informations déguisés en .dmg Les téléchargements (vous demandant souvent de "Clic droit -> Ouvrir" ou de faire glisser l'icône vers Terminal pour contourner Apple Gatekeeper) font apparaître une fausse boîte de dialogue macOS native indiquant "Les Préférences Système veulent accéder à vos informations confidentielles : entrez votre mot de passe de connexion Mac". Dès l'instant où vous tapez votre mot de passe de connexion Mac dans cette invite, le script se déverrouille -/Library/Keychains/login.keychain-db et copie les cookies Safari/Chrome, Apple Notes et les jetons iCloud.
7. Google MultiLogin / OAuthLogin Exploit de régénération de jetons :
8. Des chercheurs en sécurité ont révélé que les voleurs d'informations ne se contentent pas de voler les cookies Web standards, ils en extraient également des fichiers non documentés.oauth_token jetons de service de Chrome Web Data (token_service table) Fichier SQLite. Même après qu'une victime ait modifié une fois son mot de passe Google, les attaquants pouvaient rejouer le mot de passe volé. token_service Jeton OAuth contre l'interne de Google OAuthLogin point final à créer tout neuf valide SID les cookies du navigateur, sauf si l'utilisateur s'est explicitement déconnecté de la session de l'appareil Chrome compromise ET a révoqué l'accès à l'appareil tiers/OAuth.

Étape 1 : Matrice de révocation globale des sessions, des cookies, d'OAuth et des clés d'accès¶

À l'aide d'un smartphone propre ou d'un ordinateur secondaire propre, parcourez ce tableau exact de haut en bas. L'ordre est important : effectuez toujours l'Étape A (Déconnexion de toutes les sessions/appareils actifs) et Étape B (Modifier le mot de passe) et Étape C (Audit 2FA/Clés d'accès/OAuth/Transfert) ensemble, si vous modifiez uniquement votre mot de passe sans mettre fin aux sessions actives, l'onglet du navigateur en direct de l'attaquant reste connecté et peut vous surveiller ou ajouter une méthode de récupération malveillante.

Étape 2 : Comment découvrir TOUS les comptes exposés sur votre ordinateur infecté¶

Après avoir verrouillé vos 10 principaux comptes critiques sur votre téléphone propre, vous êtes confronté à une question intimidante : "J'utilise cet ordinateur depuis quatre ans, comment puis-je savoir lequel de mes 250 sites Web avait enregistré des mots de passe ou des cookies actifs dans Chrome/Edge lorsque le voleur d'informations s'est exécuté ?"

Tout en gardant l'ordinateur infecté 100 % hors ligne (Wi-Fi désactivé, Ethernet débranché), allumez-le et extrayez votre inventaire exact d'exposition avant d'effacer la machine :

1. Exportez la liste des mots de passe enregistrés dans votre navigateur (CSV) :
2. Ouvrez votre navigateur hors ligne (chrome://password-manager/settings dans Chrome, edge://wallet/settings dans Edge, ou about:logins dans Firefox) et cliquez sur Exporter les mots de passe pour enregistrer Chrome Passwords.csv sur une clé USB propre.
3. Pourquoi ce fichier est de l'or pour votre récupération : Le voleur d'informations a volé cette base de données exacte. Avoir Chrome Passwords.csv devant vous vous donne la liste de contrôle exacte de chaque nom d'utilisateur et mot de passe de site Web que l'attaquant possède désormais, afin que vous ne manquiez pas un ancien portail fiscal, un compte de miles aériens ou un site d'achat avec une carte de crédit enregistrée.
4. ** Inspectez quels sites Web avaient des cookies de session actifs (chrome://settings/content/all)** :
5. Dans Chrome ou Edge (en mode hors connexion), accédez à chrome://settings/content/all (ou edge://settings/content/all) et triez par Données stockées ou Les plus visités. Tout site Web sur lequel vous restiez connecté sans saisir de mot de passe était vulnérable au vol de cookies de session et devait mettre fin à sa session.
6. Vérifiez si votre gestionnaire de mots de passe autonome (1Password, Bitwarden, KeePassXC) a été déverrouillé au moment de l'infection :
7. Si votre coffre-fort 1Password, Bitwarden ou KeePassXC était VERROUILLÉ lorsque l'infostealer s'est exécuté : le logiciel malveillant n'a pu récupérer que le cache du coffre-fort local crypté (data.json ou .kdbx), qui est protégé par PBKDF2-SHA256 / Argon2id + votre mot de passe principal (et votre clé secrète de 34 caractères dans 1Password). Si votre mot de passe principal est fort, le contenu de votre coffre-fort reste en sécurité, même si vous devez toujours alterner votre mot de passe principal par mesure de précaution.
8. Si l'extension de votre navigateur de gestionnaire de mots de passe était DÉVERROUILLÉE en mémoire lors de l'exécution du logiciel malveillant (ou si vous avez enregistré votre mot de passe principal de gestionnaire de mots de passe dans la saisie automatique intégrée de Chrome.) : Supposons que le voleur d'informations ait vidé votre coffre-fort ou capturé votre mot de passe principal, et faites pivoter toutes les informations d'identification critiques dans votre coffre-fort.

Étape 3 : Rechercher et éradiquer la persistance d'Infostealer avant d'effacer le système d'exploitation¶

Avant de sauvegarder vos documents personnels et d'effectuer une réinstallation propre du système d'exploitation, vous pouvez vérifier comment le voleur d'informations est entré dans votre système et s'il a supprimé un chargeur secondaire persistant (tel qu'une tâche planifiée, un registre). Run clé, Démarrage .lnk raccourci ou extension Chrome malveillante) :

1. Exécutez cet audit de persistance PowerShell hors ligne (Windows)¶

Ouvrez PowerShell (Admin) sur le PC hors ligne et exécutez ces quatre vérifications médico-légales en lecture seule :

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Pourquoi une réinstallation propre du système d'exploitation (via un support USB) est recommandée après un infostealer¶

Lors de l'exécution de Microsoft Defender Offline Scan et de Malwarebytes après la suppression des exclusions de Defender, les chargeurs de persistance connus sont supprimés. Les voleurs d'informations de base regroupent fréquemment un RAT (cheval de Troie d'accès à distance) secondaire, un proxy SystemBC SOCKS5 ou un malware clipper (qui surveille silencieusement votre presse-papiers Windows et échange toute adresse de portefeuille Bitcoin/Ethereum copiée avec l'adresse du pirate informatique). - Une fois que vous avez copié vos documents personnels, vos photos et Chrome Passwords.csv hors du PC hors ligne, effectuez une nouvelle Réinstallation USB de Windows 11 (ou macOS Effacer tout le contenu et les paramètres) en suivant notre guide d'infection par les logiciels malveillants, les rançongiciels et les logiciels espions.

3. Audit des systèmes macOS et Linux pour les artefacts Infostealer (Atomic macOS Stealer / AMOS, Poseidonet extensions de navigateur malveillantes)¶

Si votre machine infectée est un Apple MacBook/iMac ou un poste de travail de développeur Linux plutôt qu'un PC Windows, exécutez ces vérifications de terminal hors ligne pour détecter et éradiquer la persistance :

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Confinement des administrateurs d'entreprise et du cloud (Microsoft Entra ID, Okta, Google Workspace et AWS IAM)¶

Si l'ordinateur infecté par un infostealer appartenait à un ingénieur logiciel, un administrateur DevOps ou un employé d'entreprise qui avait des sessions actives dans Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS ou Cloudflare, le nettoyage de l'appareil local ne représente que la moitié de la bataille. Exécutez immédiatement ces révocations de répertoires cloud :

• Identifiant Microsoft Entra (Revoke-MgUserSignInSession) : Cliquer sur « Se déconnecter » dans un seul navigateur ne révoque pas toujours les jetons d'actualisation primaires (PRT) ou Azure CLI (az login / .azure/msal_token_cache.bin) jetons copiés à partir du disque. Un administrateur Entra doit exécuter Revoke-MgUserSignInSession -UserId user@company.com dans Microsoft Graph PowerShell pour réinitialiser l'utilisateur signInSessionsValidFromDateTime attribuer et invalider tous les jetons d’actualisation sur tous les points de terminaison simultanément.
• AWS CLI et rotation des jetons de développeur (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config) : Les voleurs d'informations sur les produits analysent explicitement le répertoire personnel de chaque utilisateur à la recherche de .aws/credentials, .ssh/id_ed25519, .gitconfig, .envet les fichiers de configuration Docker/Kubernetes. Désactivez et faites pivoter immédiatement toutes les ** clés d'accès AWS IAM (AKIA...)** dans la console AWS, révoquez les jetons d'accès personnels GitHub (ghp_...) et supprimez les clés publiques SSH exposées des serveurs de production (-/.ssh/authorized_keys).
• ** Messagerie de bureau et purge des jetons du client VPN (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard)** : au-delà des navigateurs Web, les modules infostealer copient spécifiquement le %APPDATA%\Telegram Desktop\tdata répertoire (qui permet à un attaquant de cloner l'intégralité de votre compte Telegram sur son PC sans code SMS), %APPDATA%\Slack\storage, et j'ai enregistré OpenVPN (.ovpn) / WireGuard (.conf) profils VPN d'entreprise. Ouvrez Telegram sur votre téléphone (Paramètres > Appareils -> Terminer toutes les autres sessions), déconnectez-vous de tous les espaces de travail Slack (slack.com/account/settings -> Déconnectez-vous de toutes les autres sessions), et demandez à votre administrateur réseau de révoquer et de réémettre votre certificat client VPN d'entreprise.

Prévention : Comment rendre votre navigateur et vos comptes résistants aux infostealers¶

Une fois votre système nettoyé et vos comptes récupérés, mettez en œuvre ces cinq défenses afin qu'un voleur d'informations ne puisse plus jamais pirater votre vie numérique :

• NE JAMAIS stocker de mots de passe dans le gestionnaire de mots de passe intégré de votre navigateur Web (Chrome / Edge / Brave / Firefox Autofill) sans matériel/clé principale : tous les voleurs d'informations sur Terre ciblent Chrome. Login Data Table SQLite en premier. Désactivez OFF "Proposer d'enregistrer les mots de passe" dans chrome://password-manager/settings et stockez vos mots de passe dans un gestionnaire de mots de passe dédié sans connaissance (1Password, Bitwarden, Proton Pass ou KeePassXC) configuré pour Verrouillage automatique immédiatement lorsque le système se verrouille ou après 5 minutes d'inactivité.
• Activez "Device-Bound Session Credentials (DBSC)" et "App-Bound Encryption" dans Chrome 127+ : Assurez-vous que Google Chrome ou Edge est mis à jour avec la dernière version et installé dans le répertoire système par défaut (C:\Program Files\Google\Chrome\Application) donc le GoogleChromeElevationService peut lier le cryptage des cookies aux niveaux de privilèges du système et aux clés matérielles TPM via Device-Bound Session Credentials (DBSC).
• Désactivez Windows Run Box (Win + R) ou mshta.exe pour bloquer les fausses attaques CAPTCHA « ClickFix » : n'appuyez jamais sur Win + R -> Ctrl + V -> Enter Lorsqu'un CAPTCHA de site Web, un faux écran Cloudflare ou une fenêtre contextuelle "Fix Microphone / Fix Font" vous demande de coller une commande dans votre boîte de dialogue Exécuter ou votre terminal, aucun site Web légitime sur Terre ne vérifie jamais l'humanité en vous demandant de coller du code dans Win + R ou Terminal macOS.
• Utilisez des clés de sécurité matérielles (YubiKey) ou des clés d'accès + exigez une ré-authentification pour les actions sensibles : alors que les cookies de session volés contournent les invites de connexion initiales, les principales plates-formes (Google, GitHub, Cloudflare, AWS, Coinbase) appliquent une authentification renforcée (mode Sudo) nécessitant un appui physique FIDO2 YubiKey ou une vérification biométrique de clé d'accès avant d'autoriser toute personne disposant d'un cookie de session à modifier votre mot de passe, à exporter des données ou à ajouter une adresse de retrait.
• Vérifiez si votre courrier électronique ou votre journal de vol est apparu sur les bases de données de surveillance du Darknet : Visitez haveibeenpwned.com (qui indexe désormais des millions d'adresses e-mail de victimes de journaux de vol et de domaines compromis) et active des notifications gratuites de violation du darknet pour vos adresses e-mail.
• Isolez les téléchargements, les mods de jeu et les scripts tiers non fiables dans une machine virtuelle ou un bac à sable Windows : n'exécutez jamais sans vérification .exe, .msi, .dmg, .bat, ou Python pip / Nœud npm scripts de post-installation directement sur le système d'exploitation hôte qui contient vos sessions de navigateur Web authentifiées et vos connexions financières. Activez Windows Sandbox (intégré à Windows 10/11 Professionnel et Entreprise via Activer ou désactiver les fonctionnalités Windows > Windows Sandbox) ou utilisez une machine virtuelle isolée sans aucun cookie de navigateur enregistré lors du test d'utilitaires tiers.

Questions fréquemment posées¶

Guides associés¶

• Infection par logiciels malveillants, ransomwares et logiciels espions
• Phishing MFA et contournement de l'adversaire au milieu (AiTM)
• Verrouillage MFA : comment récupérer les comptes verrouillés
• Compte de messagerie piraté, règles de transfert et récupération
• Épuisement du portefeuille de crypto-monnaie et compromission de la phrase de départ
• Verrouillage du gestionnaire de mots de passe et récupération d'urgence du coffre-fort
• Répertoire des numéros d'urgence

Sources vérifiées¶

• Cybersecurity and Infrastructure Security Agency (CISA) et FBI (États-Unis) : Avis conjoints de cybersécurité sur les logiciels malveillants Infostealer (LummaC2, RedLine, Rhadamanthys) et l'atténuation du vol de jetons/de sessions (CSAE24 / MITRE ATT&CK T1539 : cookie de session Web volé et T1550.004 : cookie de session Web).
• National Institute of Standards and Technology (NIST) (États-Unis) : NIST SP 800-63B : Directives sur l'identité numérique : gestion de session, réauthentification et liaison de jetons.
• World Wide Web Consortium (W3C) et architecture de sécurité Google Chromium : Spécification des informations d'identification de session liées au périphérique (DBSC) et cryptage lié à l'application Chrome (v20 DPAPI Elevation) Documentation Technique.
• National Cyber ​​Security Center (NCSC) (Royaume-Uni) : Atténuation des logiciels malveillants, des voleurs d'informations et du détournement de session dans les environnements d'entreprise et grand public.
• Projet mondial ouvert de sécurité des applications (OWASP) : Aide-mémoire de gestion de session et normes de révocation de jetons OAuth 2.0 (RFC 7009).