સત્ર ટોકન હાઇજેકિંગ, ઇન્ફોસ્ટીલર માલવેર અને વૈશ્વિક સત્ર રદબાતલ¶

હુમલાખોરે હમણાં જ તમારા YouTube, Instagram, Discord અથવા X એકાઉન્ટમાંથી ક્રિપ્ટોકરન્સી સ્કેમ્સ પોસ્ટ કર્યા છે, તમારા Gmail અથવા Microsoft 365 ઇનબૉક્સમાં ફોરવર્ડિંગ નિયમો બનાવ્યા છે, અથવા તમારા કોર્પોરેટ ક્લાઉડ કન્સોલને ઍક્સેસ કર્યું છે તે શોધવું તમારા ફોન પર 2FA કોડ અથવા "નવું લૉગિન" ઇમેઇલ ચેતવણી ** ક્યારેય ટ્રિગર કર્યા વિના અથવા "નવું લૉગિન" ઇમેઇલ ચેતવણી ** સહી કરવા યોગ્ય છે (પાસ-ધ-કૂકી) ઇન્ફોસ્ટીલર માલવેર દ્વારા થાય છે. જ્યારે તમે કોઈ વેબસાઈટમાં લોગ ઇન કરો છો અને "મને સાઇન ઇન કરેલ રાખો" ચેક કરો છો, ત્યારે સર્વર એક એન્ક્રિપ્ટેડ HTTP સત્ર કૂકી અથવા OAuth બેરર ટોકન (જેમ કે Google ના SID / SAPISID, માઇક્રોસોફ્ટની ESTSAUTHPERSISTENT, અથવા ડિસકોર્ડ્સ Authorization ટોકન) તમારા વેબ બ્રાઉઝરના સ્થાનિક SQLite ડેટાબેઝમાં સંગ્રહિત છે.

કોમોડિટી ઇન્ફોસ્ટીલર માલવેર પરિવારો, જેમાં **લુમ્મા સ્ટીલર, રેડલાઈન, વિદાર, રેકૂન, સ્ટીલસી, રાઈઝપ્રો, રાડામંથિસ અને એટોમિક મેકોસ સ્ટીલર (એએમઓએસ)**નો સમાવેશ થાય છે, પરંપરાગત વાયરસની જેમ તમારા કમ્પ્યુટર પર રાહ જોશો નહીં. ઘણીવાર નકલી ગેમ મોડ, ક્રેક્ડ સોફ્ટવેર ઇન્સ્ટોલર, નકલી "ક્લિકફિક્સ" પાવરશેલ કેપ્ચા પ્રોમ્પ્ટ અથવા સ્પોન્સર સહયોગ PDF, ઇન્ફોસ્ટીલર 4 સેકન્ડની અંદરમાં એક્ઝિક્યુટ કરે છે, તમારા ક્રોમ, એજ, બ્રેવ અથવા ફાયરફોક્સને ડિક્રિપ્ટ કરે છે. Cookies અને Login Data મેમરીમાં ડેટાબેસેસ, તેને તમારી ડેસ્કટોપ ક્રિપ્ટોકરન્સી વૉલેટ ફાઇલો સાથે ઝિપ કરે છે, આર્કાઇવને ટેલિગ્રામ અથવા C2 સર્વર પર અપલોડ કરે છે અને પોતે કાઢી નાખે છે. જ્યારે હુમલાખોર તમારી ચોરેલી સત્ર કૂકીઝને એન્ટી-ડિટેક બ્રાઉઝરમાં આયાત કરે છે (Multilogin, Dolphin{anty}, અથવા Gologin), વેબ સર્વર વિચારે છે કે હુમલાખોર તમારા પાસવર્ડ અને તમારા દ્વિ-પરિબળ પ્રમાણીકરણ બંનેને સંપૂર્ણપણે બાયપાસ કરીને, તમારું પહેલેથી જ પ્રમાણિત કમ્પ્યુટર છે.

હવે આ કરો¶

1. **સંક્રમિત કમ્પ્યુટર પર તમારા પાસવર્ડ્સ બદલવાનું બંધ કરો, તે PC અથવા Macને Wi-Fi થી તરત જ ડિસ્કનેક્ટ કરો અને તેના ઇથરનેટ કેબલને અનપ્લગ કરો. ** આ #1 ભૂલ છે જે પીડિતો કરે છે: તેઓ નોંધે છે કે તેમના ડિસ્કોર્ડ, સ્ટીમ અથવા Gmailને હાઇજેક કરવામાં આવ્યું હતું, તે જ ચેપગ્રસ્ત ડેસ્કટોપ પીસી પર બેસી જાઓ અને Chrome માં તદ્દન નવા પાસવર્ડ્સ ટાઇપ કરો. જો તે મશીન પર ઇન્ફોસ્ટીલર પર્સિસ્ટન્સ લોડર અથવા શેડ્યૂલ કરેલ કાર્ય હજી પણ સક્રિય છે, તો તે તરત જ તમારા નવા પાસવર્ડ્સ અને તાજી સત્ર કૂકીઝને કેપ્ચર કરશે અને હુમલાખોરને તરત જ પાછા મોકલી દેશે. તમારા પાસવર્ડના 100 ટકા ફેરફારો અને સત્ર રદબાતલ ક્લીન સ્માર્ટફોન (સેલ્યુલર ડેટા અથવા સ્વચ્છ Wi-Fi પર) અથવા અલગ, અનટચ્ડ લેપટોપથી કરો.
2. સમજો કે એકલા પાસવર્ડ બદલવાથી હંમેશા ચોરેલી સત્ર કૂકીઝ અથવા OAuth રિફ્રેશ ટોકન્સ અમાન્ય નથી થતા, તમારે સ્પષ્ટપણે "બધા સત્રોમાંથી સાઇન આઉટ કરો" પર ક્લિક કરવું પડશે અને તૃતીય-પક્ષની OAuth એપ રદબાતલ કરવી પડશે. ઘણા પ્લેટફોર્મ્સ પર (અને Google ના બિનદસ્તાવેજીકૃત સાથે MultiLogin / issueToken OAuth એન્ડપોઇન્ટ્સ અથવા લાંબા ગાળાના સત્ર ટોકન્સ), ફક્ત તમારો પાસવર્ડ બદલવાથી અથવા 2FAને ફેરવવાથી હાલના ગૌણ સત્ર ટોકન્સ અથવા OAuth ડેસ્કટોપ ટોકન્સ જીવંત રહી શકે છે સિવાય કે તમે નીચે આપેલા કોષ્ટકમાં પ્લેટફોર્મ-વિશિષ્ટ **ગ્લોબલ સત્ર અને ટોકન રદબાતલ ** પગલાંઓ ચલાવો નહીં.
3. **જો તમારી પાસે ચેપગ્રસ્ત કમ્પ્યુટર પર સોફ્ટવેર ક્રિપ્ટોકરન્સી વોલેટ એક્સ્ટેંશન (મેટામાસ્ક, ફેન્ટમ, રેબી, ટ્રસ્ટ વૉલેટ, કોઈનબેઝ વૉલેટ, એક્ઝોડસ, ઈલેક્ટ્રમ) ઇન્સ્ટોલ કરેલું છે, તો તમારા ભંડોળને તદ્દન નવા હાર્ડવેર વૉલેટ સીડ શબ્દસમૂહમાં ખાલી કરવા માટે હમણાં જ સ્વચ્છ ફોનનો ઉપયોગ કરો.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMask માટે) તમારા બ્રાઉઝર સાચવેલા પાસવર્ડની સાથે. જો હુમલાખોરે હજી સુધી તમારા ક્રિપ્ટોને સ્પર્શ કર્યો ન હોય તો પણ, તમારી વૉલ્ટ ફાઇલ પહેલેથી જ ડાર્કનેટ માર્કેટમાં ઑફલાઇન GPU ક્રેકરની રાહ જોઈને બેઠી છે. અમારા ચલાવો ક્રિપ્ટોકરન્સી વૉલેટ ડ્રેઇન અને બીજ શબ્દસમૂહ સમાધાન તરત જ માર્ગદર્શન આપો.
4. તમારા "Apex Identity Accounts" (પ્રાથમિક ઈમેલ, પાસવર્ડ મેનેજર, Apple/Google એકાઉન્ટ અને કોર્પોરેટ SSO)ને પ્રથમ 10 મિનિટમાં સુરક્ષિત કરો. તમારા સ્વચ્છ સ્માર્ટફોન પર, તમારું પ્રાથમિક Google/Gmail (myaccount.google.com/device-activity) અને માઈક્રોસોફ્ટ (mysignins.microsoft.com) પહેલા એકાઉન્ટ. બધા ડેસ્કટૉપ સત્રોમાંથી સાઇન આઉટ કરો, માસ્ટર પાસવર્ડ ફેરવો, અન્ય સેવાઓમાંથી પાસવર્ડ-રીસેટ ઇમેઇલ્સ છુપાવવા માટે હુમલાખોરે બનાવેલા કોઈપણ છુપાયેલા ઇમેઇલ ફોરવર્ડિંગ નિયમોને કાઢી નાખવા માટે સેટિંગ્સ > ફોરવર્ડિંગ અને POP/IMAP અને ફિલ્ટર્સ/નિયમો તપાસો અને નોંધાયેલ પાસકીઝ અને પ્રમાણકર્તા ઉપકરણો તપાસો.
5. તમારી વિન્ડોઝ રજિસ્ટ્રીનું ઓડિટ કરો Run જો તમે તાજેતરમાં "ક્લિકફિક્સ" નકલી કેપ્ચા આદેશ ચલાવ્યો હોય તો કીઓ, ટાસ્ક શેડ્યૂલર અને પાવરશેલ ઇતિહાસ (Win + R -> Ctrl + V). આજે સૌથી ઝડપથી વિકસતા ઇન્ફોસ્ટીલર વેક્ટરમાંનું એક નકલી Cloudflare અથવા Google CAPTCHA પોપઅપ છે જે વેબપેજ પર છે જે તમને "પ્રેસ કરવા માટે સૂચના આપે છે. Win + R, દબાવો Ctrl + V, અને દબાવો Enter તમે માનવ છો તેની ખાતરી કરવા માટે" mshta.exe અથવા powershell -w hidden -enc ... આદેશ તમારા ક્લિપબોર્ડ પર કૉપિ કર્યો).
6. પરિપ્રેક્ષ્ય જાળવો અને જો ભંગમાં કોર્પોરેટ ઈન્ફ્રાસ્ટ્રક્ચર અથવા ગેરવસૂલીનો સમાવેશ થતો હોય તો ભૌતિક સલામતીનું રક્ષણ કરો. ઈન્ફોસ્ટીલર લોગ્સ વારંવાર તમારા ચોરાયેલા પાસવર્ડને ટાંકીને સ્વયંચાલિત ખંડણી અથવા સેક્સટોર્શન ઈમેલને ટ્રિગર કરે છે. છેડતી કરનારાઓને ક્યારેય ચૂકવણી કરશો નહીં; અમારા જુઓ સેક્સટોર્શન અને ઓનલાઈન બ્લેકમેલ માર્ગદર્શિકા, અને જો તમને ક્યારેય કોઈ ભૌતિક જોખમનો સામનો કરવો પડે, તો તમારા સ્થાનિક ઇમરજન્સી નંબર પર કૉલ કરો (યુનાઇટેડ સ્ટેટ્સ અને કેનેડામાં 911, સમગ્ર યુરોપિયન યુનિયનમાં 112, યુનાઇટેડ કિંગડમમાં 999, અથવા અમારા કટોકટી નંબરો ડિરેક્ટરી).

ઇન્ફોસ્ટીલર અને સત્ર કૂકી હાઇજેકીંગ ઘટના પ્રતિભાવ નિર્ણય વૃક્ષ¶

flowchart TD
    Root["શંકાસ્પદ સત્ર કૂકી હાઇજેકિંગ અથવા ઇન્ફોસ્ટીલર માલવેર ચેપ"] --> IsolatePC["પગલું 1: વાઈ-ફાઈ અને ઈથરનેટથી સંક્રમિત પીસી/મેકને તાત્કાલિક ડિસ્કનેક્ટ કરો (સંક્રમિત પીસી પર પાસવર્ડ બદલશો નહીં)"]

    IsolatePC --> CryptoCheck{"શું તે PC પર કોઈપણ ક્રિપ્ટો વોલેટ એક્સ્ટેન્શન્સ (મેટામાસ્ક, ફેન્ટમ, એક્ઝોડસ) હતા?"}
    CryptoCheck -->|"હા"| EvacCrypto["તમામ ક્રિપ્ટો અસ્કયામતોને તદ્દન નવા સીડ શબ્દસમૂહમાં સ્વીપ કરવા માટે તરત જ સ્વચ્છ ફોન/હાર્ડવેર વૉલેટનો ઉપયોગ કરો"]
    CryptoCheck -->|"ના"| ApexLock["સ્ટેપ 2: સ્વચ્છ સ્માર્ટફોન પર, પ્રાથમિક ઈમેલ (Gmail, Outlook, Proton) ને પહેલા લોક ડાઉન કરો"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["પગલું 3: તમામ જટિલ ખાતાઓમાં વૈશ્વિક સત્ર + OAuth ટોકન + પાસકી રદબાતલ ચલાવો (નીચે પ્લેટફોર્મ મેટ્રિક્સ જુઓ)"]

    GlobalRevoke --> ExportList["સ્ટેપ 4: ઓફલાઈન સંક્રમિત પીસી પર, કયા ખાતા ચોરાઈ ગયા હતા તે જાણવા માટે બધા સાચવેલા બ્રાઉઝર પાસવર્ડ્સ અને કૂકીઝની યાદી નિકાસ કરો"]

    ExportList --> CleanOS["પગલું 5: ફક્ત વ્યક્તિગત દસ્તાવેજોનું જ બેકઅપ લો -> ક્લીન OS વાઇપ/રીઇન્સ્ટોલ કરો -> પાસકીઝની ફરીથી નોંધણી કરો અને Chrome એપ-બાઉન્ડ એન્ક્રિપ્શનને સક્ષમ કરો"]

ઇન્ફોસ્ટીલર્સ 2FA અને DPAPI / કીચેન એન્ક્રિપ્શનને કેવી રીતે બાયપાસ કરે છે તે સમજવું¶

200-કિલોબાઇટ પ્રોગ્રામ પાસવર્ડ અને સેશન કૂકીઝ કેવી રીતે ચોરી શકે છે જે Google Chrome, Microsoft Edge અને Brave તમારી હાર્ડ ડ્રાઇવ પર એન્ક્રિપ્ટ કરે છે?

1. ** વિન્ડોઝ DPAPI (CryptUnprotectData) અને ક્રોમ એપ-બાઉન્ડ એન્ક્રિપ્શન (v20)**:
2. Windows પર, Chromium-આધારિત બ્રાઉઝર્સ (Chrome, Edge, Brave, Opera, Vivaldi) તમારા સાચવેલા પાસવર્ડને અંદર સંગ્રહિત કરે છે. %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data અને અંદર તમારી સત્ર કૂકીઝ \Network\Cookies.
3. આ SQLite ડેટાબેઝ એમાં સંગ્રહિત AES-256-GCM માસ્ટર કી સાથે એન્ક્રિપ્ટેડ છે %LOCALAPPDATA%\Google\Chrome\User Data\Local State, જે Windows Data Protection API (DPAPI) દ્વારા સુરક્ષિત છે જે તમારા લૉગ-ઇન થયેલ Windows વપરાશકર્તા એકાઉન્ટ સાથે જોડાયેલ છે.
4. કારણ કે તમે ઇન્ફોસ્ટીલર તમારા પોતાના લોગ-ઇન વિન્ડોઝ યુઝર તરીકે ચલાવ્યું છે, તમારા વપરાશકર્તા ખાતા હેઠળ ચાલતી કોઈપણ પ્રક્રિયા ઐતિહાસિક રીતે કૉલ કરી શકે છે CryptUnprotectData() વિન્ડોઝને કીને ડિક્રિપ્ટ કરવા માટે પૂછો. અને બાયપાસ કરવા માટે Chrome 127+ એપ-બાઉન્ડ એન્ક્રિપ્શન (v20 એલિવેટર સેવા), આધુનિક ઇન્ફોસ્ટીલર્સ સીધા હેડલેસમાં ઇન્જેક્ટ કરે છે chrome.exe ડિબગીંગ પ્રક્રિયા (--remote-debugging-port) અથવા બધી લાઇવ ડિક્રિપ્ટેડ કૂકીઝને ડમ્પ કરવા માટે Chrome ને જ પૂછવા માટે COM એલિવેશનનો ઉપયોગ કરો.
5. macOS કીચેન અને એટોમિક macOS સ્ટીલર (AMOS / PoseStealer):
6. Apple macOS પર, infostealers તરીકે વેશપલટો .dmg ડાઉનલોડ્સ (ઘણીવાર તમને "રાઇટ-ક્લિક -> ઓપન" કરવા માટે પૂછે છે અથવા Apple ગેટકીપરને બાયપાસ કરવા માટે ટર્મિનલ પર આયકનને ખેંચો) નકલી નેટિવ મેકઓએસ ડાયલોગ બોક્સ પૉપ અપ કરો વાંચન "સિસ્ટમ પસંદગીઓ તમારી ગોપનીય માહિતીને ઍક્સેસ કરવા માંગે છે: તમારો Mac લોગિન પાસવર્ડ દાખલ કરો". તે પ્રોમ્પ્ટમાં તમે તરત જ તમારો Mac લોગિન પાસવર્ડ ટાઇપ કરો, સ્ક્રિપ્ટ અનલૉક થાય છે -/Library/Keychains/login.keychain-db અને Safari/Chrome કૂકીઝ, Apple Notes અને iCloud ટોકન્સની નકલ કરે છે.
7. ગૂગલ MultiLogin / OAuthLogin ટોકન પુનઃજનન શોષણ:
8. સુરક્ષા સંશોધકોએ જાહેર કર્યું કે ઇન્ફોસ્ટીલર્સ માત્ર પ્રમાણભૂત વેબ કૂકીઝની ચોરી કરતા નથી, તેઓ બિનદસ્તાવેજીકૃત ** પણ કાઢે છે.oauth_token Chrome ના ** તરફથી સેવા ટોકન્સWeb Data (token_service કોષ્ટક) SQLite ફાઇલ. પીડિતાએ એકવાર તેમનો Google પાસવર્ડ બદલ્યા પછી પણ, હુમલાખોરો અગાઉ ચોરાયેલો ફરીથી ચલાવી શકતા હતા token_service Google ના આંતરિક સામે OAuth ટોકન OAuthLogin એન્ડપોઇન્ટ ટુ મિન્ટ તદ્દન નવી માન્ય SID બ્રાઉઝર કૂકીઝ સિવાય કે વપરાશકર્તા સ્પષ્ટપણે *ચેડાગ્રસ્ત Chrome ઉપકરણ સત્રમાંથી સાઇન આઉટ કરે અને તૃતીય-પક્ષ/OAuth ઉપકરણ ઍક્સેસને રદ કરે.

પગલું 1: વૈશ્વિક સત્ર, કૂકી, OAuth અને પાસકી રિવોકેશન મેટ્રિક્સ¶

સ્વચ્છ સ્માર્ટફોન અથવા સ્વચ્છ સેકન્ડરી કોમ્પ્યુટર નો ઉપયોગ કરીને, આ ચોક્કસ ટેબલ ઉપરથી નીચે સુધી કામ કરો. ઓર્ડર બાબતો: હંમેશા કરો સ્ટેપ A (બધા સક્રિય સત્રો/ઉપકરણોમાંથી સાઇન આઉટ કરો) અને સ્ટેપ B (પાસવર્ડ બદલો) અને સ્ટેપ C (ઓડિટ 2FA/પાસકી/OAuth/ફોરવર્ડિંગ) એકસાથે, જો તમે સક્રિય સત્રોને સમાપ્ત કર્યા વિના માત્ર તમારો પાસવર્ડ બદલો છો, તો હુમલાખોર લાઇવ ટૅબ અથવા બ્રાઉઝરને જોઈ શકે છે. પુનઃપ્રાપ્તિ પદ્ધતિ.

પગલું 2: તમારા ચેપગ્રસ્ત કમ્પ્યુટર પર ખુલ્લું મૂકાયેલું દરેક એકાઉન્ટ કેવી રીતે શોધવું¶

તમે તમારા ક્લીન ફોન પર તમારા ટોપ 10 ક્રિટિકલ એકાઉન્ટ્સને લૉક ડાઉન કર્યા પછી, તમને એક ભયાવહ પ્રશ્નનો સામનો કરવો પડે છે: "મેં તે કમ્પ્યુટરનો ચાર વર્ષથી ઉપયોગ કર્યો છે, જ્યારે ઇન્ફોસ્ટીલર ચાલી રહ્યું હતું ત્યારે મારી 250 વેબસાઇટ્સમાંથી કઈ 250 વેબસાઇટ્સે પાસવર્ડ્સ અથવા સક્રિય કૂકીઝને Chrome/Edge ની અંદર સાચવી હતી?"

ચેપગ્રસ્ત કમ્પ્યુટરને 100 ટકા ઑફલાઇન (Wi-Fi બંધ, ઇથરનેટ અનપ્લગ્ડ) રાખતી વખતે, તેને ચાલુ કરો અને મશીનને સાફ કરતાં પહેલાં તમારી ચોક્કસ એક્સપોઝર ઇન્વેન્ટરી બહાર કાઢો:

1. તમારા બ્રાઉઝરમાં સાચવેલા પાસવર્ડ્સની યાદી નિકાસ કરો (CSV):
2. તમારું બ્રાઉઝર ઑફલાઇન ખોલો (chrome://password-manager/settings Chrome માં, edge://wallet/settings એજ માં, અથવા about:logins Firefox માં) અને સાચવવા માટે પાસવર્ડ્સ નિકાસ કરો પર ક્લિક કરો Chrome Passwords.csv સ્વચ્છ USB ફ્લેશ ડ્રાઇવ પર.
3. આ ફાઇલ તમારી પુનઃપ્રાપ્તિ માટે શા માટે સોનું છે: ઇન્ફોસ્ટીલરે આ ચોક્કસ ડેટાબેઝની ચોરી કરી છે. કર્યા Chrome Passwords.csv તમારી સામે તમને પ્રત્યેક વેબસાઈટ યુઝરનેમ અને પાસવર્ડની ચોક્કસ ચેકલિસ્ટ આપે છે જે હુમલાખોર પાસે છે, જેથી તમે જૂના ટેક્સ પોર્ટલ, એરલાઈન માઈલ એકાઉન્ટ અથવા સાચવેલા ક્રેડિટ કાર્ડ સાથેની શોપિંગ સાઈટને ચૂકશો નહીં.
4. ** તપાસો કે કઈ વેબસાઈટમાં સક્રિય સત્ર કૂકીઝ હતી (chrome://settings/content/all)**:
5. ક્રોમ અથવા એજમાં (ઑફલાઇન હોવા પર), ** પર જાઓchrome://settings/content/all** (અથવા edge://settings/content/all) અને ડેટા સંગ્રહિત અથવા સૌથી વધુ મુલાકાત લેવાયેલ દ્વારા સૉર્ટ કરો. કોઈપણ વેબસાઈટ કે જ્યાં તમે પાસવર્ડ ટાઈપ કર્યા વિના લોગ ઈન રહેશો તે સત્ર કૂકી ચોરી માટે સંવેદનશીલ છે અને તેનું સત્ર સમાપ્ત કરવાની જરૂર છે.
6. ચેક કરો કે શું તમારો સ્ટેન્ડઅલોન પાસવર્ડ મેનેજર (1પાસવર્ડ, બિટવર્ડન, કીપાસએક્સસી) ચેપની ક્ષણે અનલૉક થયો હતો:
7. જો તમારો 1પાસવર્ડ, બિટવર્ડન અથવા KeePassXC વૉલ્ટ લૉક કરવામાં આવ્યો હતો જ્યારે ઇન્ફોસ્ટીલર દોડ્યો હતો: મૉલવેર ફક્ત એન્ક્રિપ્ટેડ સ્થાનિક વૉલ્ટ કૅશને જ પકડી શકે છે (data.json અથવા .kdbx), જે PBKDF2-SHA256 / Argon2id + તમારા માસ્ટર પાસવર્ડ (અને 1Password માં 34-અક્ષર સિક્રેટ કી) દ્વારા સુરક્ષિત છે. જો તમારો માસ્ટર પાસવર્ડ મજબૂત છે, તો તમારી તિજોરીની સામગ્રી સુરક્ષિત રહે છે, તેમ છતાં તમારે સાવચેતી તરીકે તમારો માસ્ટર પાસવર્ડ ફેરવવો જોઈએ.
8. જો તમારું પાસવર્ડ મેનેજર બ્રાઉઝર એક્સ્ટેંશન મેમરીમાં અનલૉક કરવામાં આવ્યું હતું જ્યારે મૉલવેર ચાલી ગયું હોય (અથવા જો તમે તમારો પાસવર્ડ મેનેજર માસ્ટર પાસવર્ડ ક્રોમના બિલ્ટ-ઇન ઑટોફિલની અંદર સેવ કર્યો હોય.): ધારો કે ઇન્ફોસ્ટીલરે તમારી વૉલ્ટ ડમ્પ કરી દીધી છે અથવા તમારો માસ્ટર પાસવર્ડ કૅપ્ચર કર્યો છે, અને તમારા તમામ મહત્ત્વપૂર્ણ ઓળખપત્રોને તમારા ક્રિડેન્શિયલની અંદર ફેરવો.

પગલું 3: OS ને સાફ કરતા પહેલા ઇન્ફોસ્ટીલરની દ્રઢતાનો શિકાર અને નાબૂદી¶

તમારા અંગત દસ્તાવેજોનો બેકઅપ લેતા પહેલા અને સ્વચ્છ OS પુનઃસ્થાપિત કરતા પહેલા, તમે તપાસ કરી શકો છો કે ઇન્ફોસ્ટીલર તમારી સિસ્ટમમાં કેવી રીતે પ્રવેશ્યું અને શું તે સતત ગૌણ લોડર (જેમ કે શેડ્યુલ્ડ ટાસ્ક, રજિસ્ટ્રી) છોડ્યું કે કેમ Run કી, સ્ટાર્ટઅપ .lnk શૉર્ટકટ, અથવા દૂષિત Chrome એક્સ્ટેંશન):

1. આ ઑફલાઇન પાવરશેલ પર્સિસ્ટન્સ ઑડિટ ચલાવો (વિન્ડોઝ)¶

ઑફલાઇન PC પર PowerShell (એડમિન) ખોલો અને આ ચાર ફક્ત વાંચવા માટે ફોરેન્સિક તપાસો ચલાવો:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. ઇન્ફોસ્ટીલર પછી ક્લીન ઓએસ રીઇન્સ્ટોલ (યુએસબી મીડિયા દ્વારા) શા માટે ભલામણ કરવામાં આવે છે¶

Microsoft Defender Offline Scan અને Malwarebytes ચલાવતી વખતે ડિફેન્ડર એક્સક્લુઝનને સાફ કર્યા પછી જાણીતા પર્સિસ્ટન્સ લોડરને દૂર કરે છે, કોમોડિટી ઇન્ફોસ્ટીલર્સ વારંવાર સેકન્ડરી RAT (રિમોટ એક્સેસ ટ્રોજન), SystemBC SOCKS5 પ્રોક્સી અથવા મોનિટર **, વિન્ડોઝ ક્લિપબોર્ડ અને કોઈપણ કોપી કરેલ બિટકોઈન/ઈથેરિયમ વોલેટ એડ્રેસને હેકરના એડ્રેસ સાથે સ્વેપ કરે છે). - એકવાર તમે તમારા અંગત દસ્તાવેજો, ફોટા અને નકલ કરી લો Chrome Passwords.csv ઑફલાઇન પીસીની બહાર, અમારા અનુસરીને સ્વચ્છ Windows 11 USB રીઇન્સ્ટોલ (અથવા macOS એરેઝ બધી સામગ્રી અને સેટિંગ્સ) કરો માલવેર, રેન્સમવેર અને સ્પાયવેર ચેપ માર્ગદર્શિકા.

3. ઇન્ફોસ્ટીલર આર્ટિફેક્ટ્સ માટે મેકોસ અને લિનક્સ સિસ્ટમ્સનું ઓડિટીંગ (Atomic macOS Stealer / AMOS, Poseidon, અને દૂષિત બ્રાઉઝર એક્સ્ટેન્શન્સ)¶

જો તમારું સંક્રમિત મશીન Windows PCને બદલે Apple MacBook/iMac અથવા Linux ડેવલપર વર્કસ્ટેશન છે, તો દ્રઢતાને શોધવા અને નાબૂદ કરવા માટે આ ઑફલાઇન ટર્મિનલ તપાસો ચલાવો:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. એન્ટરપ્રાઇઝ અને ક્લાઉડ એડમિન કન્ટેઈનમેન્ટ (Microsoft Entra ID, Okta, Google Workspace અને AWS IAM)¶

જો ઇન્ફોસ્ટીલર દ્વારા સંક્રમિત થયેલ કમ્પ્યુટર સોફ્ટવેર એન્જિનિયર, DevOps એડમિનિસ્ટ્રેટર અથવા કોર્પોરેટ કર્મચારીનું હોય કે જેમણે Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS અથવા Cloudflare માં સક્રિય સત્રો કર્યા હોય, તો સ્થાનિક ઉપકરણની સફાઈ માત્ર અડધી લડાઈ છે. આ ક્લાઉડ ડાયરેક્ટરી રદબાતલ તરત જ ચલાવો:

• માઈક્રોસોફ્ટ એન્ટ્રા આઈડી (Revoke-MgUserSignInSession): એક જ બ્રાઉઝરમાં "સાઇન આઉટ" પર ક્લિક કરવાથી હંમેશા પ્રાથમિક રિફ્રેશ ટોકન્સ (PRTs) અથવા Azure CLI (az login / .azure/msal_token_cache.bin) ડિસ્કમાંથી ટોકન્સની નકલ કરી. એન્ટ્રા એડમિનિસ્ટ્રેટર ચલાવવું આવશ્યક છે Revoke-MgUserSignInSession -UserId user@company.com માઈક્રોસોફ્ટ ગ્રાફ પાવરશેલમાં વપરાશકર્તાને રીસેટ કરવા માટે signInSessionsValidFromDateTime એકસાથે તમામ એન્ડપોઇન્ટ પર બધા રિફ્રેશ ટોકન્સને એટ્રિબ્યુટ કરો અને અમાન્ય કરો.
• AWS CLI અને ડેવલપર ટોકન રોટેશન (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): કોમોડિટી ઇન્ફોસ્ટીલર્સ દરેક વપરાશકર્તાની હોમ ડિરેક્ટરી માટે સ્પષ્ટપણે સ્કેન કરે છે .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, અને Docker/Kubernetes રૂપરેખા ફાઇલો. તમામ AWS IAM એક્સેસ કીને તાત્કાલિક નિષ્ક્રિય કરો અને ફેરવો (AKIA...) AWS કન્સોલમાં, GitHub પર્સનલ એક્સેસ ટોકન્સ રદ કરો (ghp_...), અને પ્રોડક્શન સર્વર્સમાંથી ખુલ્લી SSH સાર્વજનિક કીઓ કાઢી નાખો (-/.ssh/authorized_keys).
• ડેસ્કટૉપ મેસેજિંગ અને VPN ક્લાયન્ટ ટોકન પર્જ (ટેલિગ્રામ ડેસ્કટોપ tdata, સિગ્નલ, સ્લેક, ઓપનવીપીએન, વાયરગાર્ડ): વેબ બ્રાઉઝર્સથી આગળ, ઇન્ફોસ્ટીલર મોડ્યુલ્સ ખાસ કરીને %APPDATA%\Telegram Desktop\tdata ડિરેક્ટરી (જે હુમલાખોરને SMS કોડ વિના તમારા આખા ટેલિગ્રામ એકાઉન્ટને તેમના PC પર ક્લોન કરવાની મંજૂરી આપે છે), %APPDATA%\Slack\storage, અને સાચવેલ OpenVPN (.ovpn) / વાયરગાર્ડ (.conf) કોર્પોરેટ VPN પ્રોફાઇલ્સ. તમારા ફોન પર ટેલિગ્રામ ખોલો (સેટિંગ્સ > ઉપકરણો -> અન્ય તમામ સત્રો સમાપ્ત કરો), તમામ સ્લેક વર્કસ્પેસને સાઇન આઉટ કરો (slack.com/account/settings -> અન્ય તમામ સત્રોમાંથી સાઇન આઉટ કરો), અને તમારા નેટવર્ક એડમિનિસ્ટ્રેટરને તમારું કોર્પોરેટ VPN ક્લાયંટ પ્રમાણપત્ર રદ કરવા અને ફરીથી જારી કરવા માટે કહો.

નિવારણ: તમારા બ્રાઉઝર અને એકાઉન્ટ્સને ઇન્ફોસ્ટીલર્સ સામે પ્રતિરોધક કેવી રીતે બનાવવું¶

એકવાર તમારી સિસ્ટમ સ્વચ્છ થઈ જાય અને તમારા એકાઉન્ટ્સ પુનઃપ્રાપ્ત થઈ જાય, આ પાંચ સંરક્ષણનો અમલ કરો જેથી કરીને ઈન્ફોસ્ટીલર તમારા ડિજિટલ જીવનને ફરી ક્યારેય હાઈજેક ન કરી શકે:

• હાર્ડવેર/માસ્ટર કી વિના તમારા વેબ બ્રાઉઝરના બિલ્ટ-ઇન પાસવર્ડ મેનેજર (ક્રોમ/એજ/બ્રેવ/ફાયરફોક્સ ઓટોફિલ) ની અંદર પાસવર્ડ્સ ક્યારેય સ્ટોર કરશો નહીં: પૃથ્વી પરના દરેક કોમોડિટી ઇન્ફોસ્ટીલર ક્રોમને લક્ષ્ય બનાવે છે. Login Data SQLite ટેબલ પ્રથમ. ઓફ કરો "પાસવર્ડ સાચવવાની ઑફર" માં chrome://password-manager/settings અને તમારા પાસવર્ડ્સને સમર્પિત, શૂન્ય-જ્ઞાન પાસવર્ડ મેનેજર (1પાસવર્ડ, બિટવર્ડન, પ્રોટોન પાસ, અથવા KeePassXC) ની અંદર **સિસ્ટમ લૉક થાય ત્યારે અથવા નિષ્ક્રિય સમયની 5 મિનિટ પછી તરત જ ઑટો-લૉક કરવા માટે ગોઠવેલ છે.
• **ક્રોમ 127+**માં "ડિવાઈસ-બાઉન્ડ સેશન પ્રમાણપત્રો (DBSC)" અને "એપ-બાઉન્ડ એન્ક્રિપ્શન" સક્ષમ કરો: ખાતરી કરો કે Google Chrome અથવા Edge નવીનતમ સંસ્કરણ પર અપડેટ થયેલ છે અને ડિફોલ્ટ સિસ્ટમ ડિરેક્ટરીમાં ઇન્સ્ટોલ કરેલું છે (C:\Program Files\Google\Chrome\Application) તેથી ધ GoogleChromeElevationService કૂકી એન્ક્રિપ્શનને સિસ્ટમ વિશેષાધિકાર સ્તરો અને TPM હાર્ડવેર કી સાથે ડિવાઈસ-બાઉન્ડ સેશન ઓળખપત્ર (DBSC) દ્વારા બાંધી શકે છે.
• **વિન્ડોઝ રન બોક્સને અક્ષમ કરો (Win + R) અથવા mshta.exe "ક્લિકફિક્સ" નકલી કેપ્ચા હુમલાઓને અવરોધિત કરવા **: ક્યારેય દબાવો નહીં Win + R -> Ctrl + V -> Enter જ્યારે વેબસાઇટ કેપ્ચા, નકલી Cloudflare સ્ક્રીન, અથવા "ફિક્સ માઇક્રોફોન / ફિક્સ ફોન્ટ" પોપ-અપ તમને તમારા રન ડાયલોગ અથવા ટર્મિનલમાં આદેશ પેસ્ટ કરવાનું કહે છે, ત્યારે પૃથ્વી પરની કોઈપણ કાયદેસરની વેબસાઇટ તમને કોડ પેસ્ટ કરવાનું કહીને ક્યારેય માનવતાની ચકાસણી કરતી નથી. Win + R અથવા macOS ટર્મિનલ.
• હાર્ડવેર સુરક્ષા કી (YubiKey) અથવા પાસકીનો ઉપયોગ કરો + સંવેદનશીલ ક્રિયાઓ માટે ફરીથી પ્રમાણીકરણની જરૂર છે: જ્યારે ચોરેલી સત્ર કૂકીઝ પ્રારંભિક લોગિન પ્રોમ્પ્ટ્સને બાયપાસ કરે છે, ત્યારે મુખ્ય પ્લેટફોર્મ્સ (Google, GitHub, Cloudflare, AWS, Coinbase) લાગુ કરે છે **સ્ટેપ-અપ ઓથેન્ટિકેશન **એફઆઈ 2 ફિઝિકલ ઓથેન્ટિકેશનની પુનઃપ્રાપ્તિ સેશન કૂકી ધરાવતા કોઈપણ વ્યક્તિને તમારો પાસવર્ડ બદલવા, ડેટા નિકાસ કરવા અથવા ઉપાડનું સરનામું ઉમેરવાની મંજૂરી આપતા પહેલા YubiKey ટૅપ કરો અથવા પાસકી બાયોમેટ્રિક ચેક કરો.
• તમારો ઈમેલ અથવા ચોરી કરનાર લોગ ડાર્કનેટ મોનિટરિંગ ડેટાબેસેસ પર દેખાયો છે કે કેમ તે તપાસો: મુલાકાત લો haveibeenpwned.com (જે હવે લાખો સ્ટીલર લોગ પીડિત ઈમેઈલ એડ્રેસ અને ચેડા કરેલા ડોમેન્સને ઈન્ડેક્સ કરે છે) અને તમારા ઈમેલ એડ્રેસ માટે ફ્રી ડાર્કનેટ બ્રીચ નોટિફિકેશન્સ સક્ષમ કરે છે.
• અવિશ્વસનીય ડાઉનલોડ્સ, ગેમ મોડ્સ અને તૃતીય-પક્ષ સ્ક્રિપ્ટ્સને વર્ચ્યુઅલ મશીન અથવા વિન્ડોઝ સેન્ડબોક્સની અંદર અલગ કરો: ક્યારેય ચકાસ્યા વિના ચલાવશો નહીં .exe, .msi, .dmg, .bat, અથવા પાયથોન pip / નોડ npm પોસ્ટ-ઇન્સ્ટોલ સ્ક્રિપ્ટો સીધી હોસ્ટ ઓપરેટિંગ સિસ્ટમ પર છે જે તમારા અધિકૃત વેબ બ્રાઉઝર સત્રો અને નાણાકીય લૉગિન ધરાવે છે. Windows Sandbox સક્ષમ કરો (Windows સુવિધાઓ ચાલુ અથવા બંધ કરો > Windows Sandbox દ્વારા Windows 10/11 Pro અને Enterprise માં બિલ્ટ) અથવા તૃતીય-પક્ષ ઉપયોગિતાઓનું પરીક્ષણ કરતી વખતે શૂન્ય સાચવેલ બ્રાઉઝર કૂકીઝ સાથે અલગ વર્ચ્યુઅલ મશીનનો ઉપયોગ કરો.

વારંવાર પૂછાતા પ્રશ્નો¶

સંબંધિત માર્ગદર્શિકાઓ¶

• માલવેર, રેન્સમવેર અને સ્પાયવેર ચેપ
• MFA ફિશિંગ અને એડવર્સરી-ઇન-ધ-મિડલ (AiTM) બાયપાસ
• MFA લોકઆઉટ: લૉક કરેલા એકાઉન્ટ્સ કેવી રીતે પુનઃપ્રાપ્ત કરવા
• ઇમેઇલ એકાઉન્ટ હેક, ફોરવર્ડિંગ નિયમો અને પુનઃપ્રાપ્તિ
• ક્રિપ્ટોકરન્સી વૉલેટ ડ્રેઇન અને બીજ શબ્દસમૂહ સમાધાન
• પાસવર્ડ મેનેજર લોકઆઉટ અને ઇમરજન્સી વૉલ્ટ પુનઃપ્રાપ્તિ
• ઇમરજન્સી નંબર ડિરેક્ટરી

સૂત્રોએ તપાસ કરી¶

• સાયબરસિક્યોરિટી એન્ડ ઈન્ફ્રાસ્ટ્રક્ચર સિક્યુરિટી એજન્સી (CISA) અને FBI (યુનાઈટેડ સ્ટેટ્સ): ઈન્ફોસ્ટીલર માલવેર (LummaC2, RedLine, Rhadamanthys) અને મિટિગેટિંગ ટોકન/સેશન થેફ્ટ (CSAE24 / MITER ATT&CK T1539: વેબસાઈટ 1539: 15050000 Steokal Co. વેબ સત્ર કૂકી).
• નેશનલ ઇન્સ્ટિટ્યૂટ ઓફ સ્ટાન્ડર્ડ્સ એન્ડ ટેક્નોલોજી (NIST) (યુનાઇટેડ સ્ટેટ્સ): NIST SP 800-63B: ડિજિટલ ઓળખ માર્ગદર્શિકા: સત્ર વ્યવસ્થાપન, પુનઃપ્રમાણીકરણ અને ટોકન બંધન.
• વર્લ્ડ વાઈડ વેબ કન્સોર્ટિયમ (W3C) અને Google Chromium સુરક્ષા આર્કિટેક્ચર: ડિવાઈસ બાઉન્ડ સેશન ઓળખપત્ર (DBSC) સ્પષ્ટીકરણ અને ક્રોમ એપ-બાઉન્ડ એન્ક્રિપ્શન (v20 DPAPI એલિવેશન) ટેકનિકલ દસ્તાવેજીકરણ.
• નેશનલ સાયબર સિક્યોરિટી સેન્ટર (NCSC) (યુનાઇટેડ કિંગડમ): એન્ટરપ્રાઇઝ અને કન્ઝ્યુમર એન્વાયર્નમેન્ટ્સમાં માલવેર, ઇન્ફોસ્ટીલર્સ અને સત્ર હાઇજેકિંગને ઓછું કરવું.
• ઓપન વર્લ્ડવાઈડ એપ્લિકેશન સિક્યુરિટી પ્રોજેક્ટ (OWASP): સેશન મેનેજમેન્ટ ચીટ શીટ અને OAuth 2.0 ટોકન રિવોકેશન (RFC 7009) ધોરણો.