Pag-hijack sang Session Token, Infostealer Malware, kag Global Session Revocation¶

Ang pagtukib nga ang isa ka manug-atake nag-post lang sang mga scam sa cryptocurrency gikan sa imo YouTube, Instagram, Discord, ukon X account, naghimo sang mga pagsulundan sa pagpadala sa imo Gmail ukon Microsoft 365 inbox, ukon nag-access sa imo corporate cloud console nga wala gid naga-trigger sang 2FA code sa imo telepono ukon sang "New Login" nga email alert amo ang indi masaypan nga pirma sang Token/Token Pag-hijack (Pass-the-Cookie) nga gintuga sang Infostealer Malware. Kon mag-log in ka sa isa ka website kag tan-awon ang "Keep me signed in", ang server nagahatag sang encrypted HTTP session cookie ukon OAuth bearer token (subong sang Google's SID / SAPISID, Microsoft's ESTSAUTHPERSISTENT, ukon Discord's Authorization token) nga ginatago sa sulod sang lokal nga SQLite database sang imo web browser.

Ang mga pamilya sang malware sang commodity infostealer, lakip ang Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys, kag Atomic macOS Stealer (AMOS), indi maghulat sa imo kompyuter pareho sang tradisyonal nga mga virus. Masami nga ginapakunokuno nga isa ka peke nga game mod, cracked software installer, peke nga "ClickFix" PowerShell CAPTCHA prompt, ukon sponsor collaboration PDF, ang isa ka infostealer naga-execute sa ubos sa 4 segundos, naga-decrypt sang imo Chrome, Edge, Brave, ukon Firefox Cookies kag Login Data mga database sa memorya, gina-zip ini upod sa imo mga file sang desktop cryptocurrency wallet, gina-upload ang archive sa isa ka Telegram ukon C2 server, kag ginadula ang iya kaugalingon. Kon ang manug-atake mag-import sang imo ginkawat nga mga cookies sa sesyon sa isa ka anti-detect browser (Multilogin, Dolphin{anty}, ukon Gologin), ang web server nagahunahuna nga ang manug-atake amo ang imo na-authenticate nga kompyuter, nga bug-os nga nagalikaw sa imo password kag sa imo two-factor authentication.

Himua ini subong¶

1. UNTAT ang pag-ilis sang imo mga password sa natapikan nga kompyuter, gilayon nga i-disconnect ang PC ukon Mac gikan sa Wi-Fi kag i-unplug ang iya Ethernet cable. Amo ini ang #1 nga sayop nga ginahimo sang mga biktima: natalupangdan nila nga ang ila Discord, Steam, ukon Gmail gin-hijack, nagapungko sa eksakto nga pareho nga natapikan nga desktop PC, kag naga-type sang bag-o nga mga password sa Chrome. Kon ang isa ka infostealer persistence loader ukon natalana nga buluhaton aktibo gihapon sa sina nga makina, gilayon sini nga makuha ang imo bag-o nga mga password kag bag-o nga mga cookies sang sesyon kag ipadala ini pabalik sa nag-atake. Himua ang 100 porsyento sang imo mga pagbag-o sang password kag mga pagbawi sang sesyon gikan sa isa ka matinlo nga smartphone (sa cellular data ukon matinlo nga Wi-Fi) ukon isa ka separado, wala matandog nga laptop.
2. Hangpa nga ang pagbag-o sang password lamang INDI pirme naga-invalidate sang kinawat nga mga cookies sang sesyon ukon mga token sang OAuth refresh, KINAHANGLAN mo nga i-klik sing maathag ang "Sign Out of All Sessions" KAG i-revoke ang mga third-party OAuth apps. Sa pila ka mga plataporma (kag upod ang wala ma-dokumento sang Google MultiLogin / issueToken OAuth endpoints ukon long-lived session tokens), ang pagbag-o lang sang imo password ukon pag-rotate sang 2FA mahimo nga magbilin sang nagaluntad nga secondary session tokens ukon OAuth desktop tokens nga buhi luwas kon imo ipatuman ang platform-specific Global Session & Token Revocation nga mga tikang sa lamesa sa idalom.
3. Kon may ara ka sang software cryptocurrency wallet extension (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) nga na-install sa natapikan nga kompyuter, gamita ang isa ka matinlo nga telepono subong para ma-evacuate ang imo mga pundo sa isa ka bag-o nga hardware wallet seed phrase. Infolog stealer awtomatiko nga naga-encrypt (na-encrypt ang mga file sang vault)Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn para sa MetaMask) upod ang mga na-save nga password sang imo browser. Bisan pa nga ang manug-atake wala pa makatandog sang imo crypto, ang imo vault file nagapungko na sa isa ka darknet market nga nagahulat sang isa ka offline GPU cracker. Ipatuman ang amon cryptocurrency wallet drain kag seed phrase compromise giya dayon.
4. I-secure ang imo "Apex Identity Accounts" (Primary Email, Password Manager, Apple/Google Account, kag Corporate SSO) sa una nga 10 minutos. Sa imo matinlo nga smartphone, buksi ang imo primary Google / Gmail (myaccount.google.com/device-activity) kag Microsoft (mysignins.microsoft.com) mga kuwenta una. Mag-sign out sa tanan nga mga sesyon sa desktop, i-rotate ang master password, tan-awa ang Settings > Forwarding kag POP/IMAP kag Filters/Rules sa pagdula sang bisan ano nga natago nga mga pagsulundan sa pagpasa sang email nga ginhimo sang attacker sa pagtago sang mga email nga naga-reset sang password gikan sa iban nga mga serbisyo, kag tan-awa ang mga rehistrado nga Passkeys kag Authenticator devices.
5. I-audit ang imo Windows Registry Run mga yabi, Task Scheduler, kag PowerShell history kon bag-o ka lang nagpadalagan sang "ClickFix" nga peke nga CAPTCHA command (Win + R -> Ctrl + V). Isa sa pinakamadasig nga nagadamo nga infostealer vectors subong amo ang isa ka peke nga Cloudflare ukon Google CAPTCHA popup sa isa ka webpage nga nagasugo sa imo nga "I-press Win + R, i-press Ctrl + V, kag i-press Enter sa pag-verify nga ikaw tawo" (nga hipos nga nagapatuman sang isa ka natago mshta.exe ukon powershell -w hidden -enc ... sugo nga ginkopya sa imo clipboard).
6. Hupti ang panan-awan kag amligan ang pisikal nga kaluwasan kon ang paglapas nagalakip sang imprastraktura sang korporasyon ukon pagpangilkil. Ang mga log sang infostealer masami nga naga-trigger sang automated ransom ukon sextortion emails nga nagakutlo sang imo kinawat nga password. Indi gid magbayad sa mga nagapangilkil; tan-awa ang amon sextortion kag online blackmail giya, kag kon makaatubang ka sang pisikal nga pamahog, tawga ang imo lokal nga numero sang emerhensya (911 sa Estados Unidos kag Canada, 112 sa bug-os nga European Union, 999 sa United Kingdom, ukon tan-awa ang amon mga numero sang emerhensya direktoryo).

Infostealer & session cookie hijacking incident response decision tree¶

flowchart TD
    Root["Ginasuspetsahan nga Session Cookie Hijacking ukon Infostealer Malware Infection"] --> IsolatePC["TIKANG 1: Gilayon nga I-disconnect ang Natapikan nga PC/Mac gikan sa Wi-Fi & Ethernet (INDI Pag-islan ang mga Password sa Natapikan nga PC)"]

    IsolatePC --> CryptoCheck{"May yara bala sang Crypto Wallet Extensions (MetaMask, Phantom, Exodus) sa sina nga PC?"}
    CryptoCheck -->|"Huo"| EvacCrypto["Maggamit sang Matinlo nga Telepono/Hardware Wallet Gilayon sa Pag-sweep sang Tanan nga Crypto Assets sa Isa ka Brand-New Seed Phrase"]
    CryptoCheck -->|"Indi"| ApexLock["TIKANG 2: Sa Isa ka Matinlo nga Smartphone, I-lock Down ang Panguna nga Email (Gmail, Outlook, Proton) Una"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["STEP 3: I-execute ang Global Session + OAuth Token + Passkey Revocation sa Tanan nga Critical Accounts (Tan-awa ang Platform Matrix sa Idalom)"]

    GlobalRevoke --> ExportList["STEP 4: Sa Offline Infected PC, I-export ang Listahan sang Tanan nga Na-save nga mga Password kag Cookies sang Browser agud Mahibaluan Kon Ano nga mga Account ang Ginkawat"]

    ExportList --> CleanOS["STEP 5: Mag-back Up sang Personal nga mga Dokumento Lamang -> Himua ang Clean OS Wipe/Reinstall -> Re-enroll ang mga Passkey kag I-enable ang Chrome App-Bound Encryption"]

Paghangop kon paano ginalikawan sang mga Infostealer ang 2FA kag DPAPI / Keychain encryption¶

Paano makawat sang 200-kilobyte nga programa ang mga password kag session cookies nga gina-encrypt sang Google Chrome, Microsoft Edge, kag Brave sa imo hard drive?

1. Windows DPAPI (CryptUnprotectData) kag Chrome App-Bound Encryption (v20):
2. Sa Windows, ang mga browser nga nakabase sa Chromium (Chrome, Edge, Brave, Opera, Vivaldi) nagatago sang imo mga na-save nga mga password sa sulod %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data kag ang imo mga cookies sa sesyon sa sulod \Network\Cookies.
3. Ining mga database sang SQLite gina-encrypt gamit ang AES-256-GCM master key nga natago sa %LOCALAPPDATA%\Google\Chrome\User Data\Local State, nga ginaamligan sang Windows Data Protection API (DPAPI) nga nahigot sa imo naka-log-in nga Windows user account.
4. Bangod ginpadalagan mo ang infostealer subong imo kaugalingon nga naka-log-in nga user sang Windows, ang bisan ano nga proseso nga nagalakat sa idalom sang imo user account mahimo nga magtawag sa maragtas CryptUnprotectData() sa pagpangabay sa Windows nga i-decrypt ang yabi. Kag sa paglikaw sa Chrome 127+ App-Bound Encryption (v20 serbisyo sa elebeytor), ang moderno nga mga infostealer naga-inject sing direkta sa isa ka wala sing ulo chrome.exe proseso sang pag-debug (--remote-debugging-port) ukon gamita ang COM elevation sa pagpangabay sa Chrome mismo nga i-dump ang tanan nga live decrypted cookies.
5. macOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. Sa Apple macOS, ang mga infostealer nagapakunokuno nga .dmg mga pag-download (masami nga nagapangabay sa imo nga "Right-click -> Open" ukon i-drag ang icon sa Terminal agud ma-bypass ang Apple Gatekeeper) naga-pop up sang isa ka peke nga tumandok nga macOS dialog box nga nagabasa sang "System Preferences gusto nga ma-access ang imo kompidensyal nga impormasyon: Isulod ang imo Mac login password". Sa gilayon nga i-type mo ang imo Mac login password sa sina nga prompt, ang script naga-unlock -/Library/Keychains/login.keychain-db kag nagakopya sang Safari/Chrome cookies, Apple Notes, kag iCloud tokens.
7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
8. Ginbuyagyag sang mga manugpanalawsaw sa seguridad nga ang mga infostealer wala lamang nagapangawat sang kinaandan nga mga web cookies, nagakuha man sila sang wala sing dokumento nga oauth_token mga token sang serbisyo gikan sa Chrome's Web Data (token_service lamesa) SQLite nga file. Bisan pa nga gin-islan sang biktima ang ila Google password sing makaisa, ang mga manug-atake mahimo nga mag-replay sang ginkawat token_service OAuth token batok sa internal sang Google OAuthLogin endpoint sa pag-mint sang bag-o nga balido SID mga cookies sang browser luwas kon ang user maathag nga nag-sign out sa ginkompromiso nga sesyon sang Chrome device KAG ginbawi ang third-party/OAuth device access.

Tikang 1: Global Session, Cookie, OAuth, kag Passkey Revocation Matrix¶

Gamit ang matinlo nga smartphone ukon matinlo nga ikaduha nga kompyuter, obrahon ining eksakto nga lamesa halin sa ibabaw pakadto sa idalom. Importante ang pag-order: himua pirme ang Tikang A (Mag-sign out sang tanan nga aktibo nga mga sesyon/device) kag Tikang B (Ibaylo ang password) kag Tikang C (I-audit ang 2FA/Passkeys/OAuth/Forwarding) sing tingob, kon bag-uhon mo lang ang imo password nga wala ginatapos ang isa ka aktibo nga sesyon, ginasalakay sang livebser ang browser nagapabilin nga naka-log in kag makabantay sa imo ukon makadugang sang isa ka rogue recovery method.

Tikang 2: Paano mahibaluan ang KADA account nga nabuyagyag sa imo natapikan nga kompyuter¶

Pagkatapos mo ma-lock down ang imo top 10 critical accounts sa imo matinlo nga telepono, nagaatubang ka sang isa ka makahaladlok nga pamangkot: "Gingamit ko ina nga kompyuter sa sulod sang apat ka tuig, paano ko mahibaluan kon sin-o sa akon 250 ka mga website ang may na-save nga mga password ukon aktibo nga mga cookies sa sulod sang Chrome/Edge sang nagdalagan ang infostealer?"

Samtang ginahuptan ang natapikan nga kompyuter nga 100 porsyento nga offline (Wi-Fi OFF, Ethernet unplug), i-on ini kag kuhaa ang imo eksakto nga imbentaryo sang exposure antes pahiran ang makina:

1. I-export ang imo Browser Saved Password List (CSV):
2. Buksi ang imo browser offline (chrome://password-manager/settings sa Chrome, edge://wallet/settings sa Edge, ukon about:logins sa Firefox) kag i-klik ang Export password para ma-save Chrome Passwords.csv sa isa ka matinlo nga USB flash drive.
3. Ngaa ini nga file bulawan para sa imo pagbawi: Ginkawat sang infostealer ining eksakto nga database. May Chrome Passwords.csv sa imo atubang nagahatag sa imo sang eksakto nga listahan sang tagsa ka username kag password sang website nga ginapanag-iyahan karon sang manug-atake, gani indi mo malipatan ang isa ka daan nga portal sang buhis, account sang milya sang eroplano, ukon shopping site nga may na-save nga credit card.
4. Usisaa kon ano nga mga website ang may aktibo nga Session Cookies (chrome://settings/content/all):
5. Sa Chrome ukon Edge (samtang offline), kadtui ang chrome://settings/content/all (ukon edge://settings/content/all) kag i-sort suno sa Data nga gintago ukon Pinakamadamo nga ginbisita. Ang bisan ano nga website nga ikaw nagpabilin nga naka-log in nga wala naga-type sang password madali nga mabiktima sang session cookie theft kag kinahanglan nga tapuson ang session sini.
6. Tan-awa kon ang imo Standalone Password Manager (1Password, Bitwarden, KeePassXC) na-unlock sa tion sang Infection:
7. Kon ang imo 1Password, Bitwarden, ukon KeePassXC vault gin-LOCK sang nagdalagan ang infostealer: Ang malware makakuha lamang sang naka-encrypt nga lokal nga vault cache (data.json ukon .kdbx), nga ginaamligan sang PBKDF2-SHA256 / Argon2id + ang imo Master Password (kag 34-character Secret Key sa 1Password). Kon ang imo Master Password mabakod, ang mga kaundan sang imo vault nagapabilin nga luwas, bisan pa nga dapat mo gihapon i-rotate ang imo Master Password bilang paghalong.
8. Kon ang imo password manager browser extension gin-UNLOCK sa memorya sang nagdalagan ang malware (ukon kon gin-save mo ang imo Password Manager Master Password sa sulod sang built-in autofill sang Chrome.): Ibutang ta nga gin-dump sang infostealer ang imo vault ukon ginkuha ang imo Master Password, kag i-rotate ang tanan nga importante nga mga kredensyal sa sulod sang imo vault.

Tikang 3: Pag-ayam kag pagdula sang pagpadayon sang Infostealer antes panason ang OS¶

Antes mag-backup sang imo personal nga mga dokumento kag maghimo sang isa ka matinlo nga OS reinstall, mahimo mo usisaon kon paano ang infostealer nagsulod sa imo sistema kag kon bala ini naghulog sang isa ka nagapadayon nga ikaduha nga loader (subong sang isa ka Scheduled Task, Registry Run yabi, Pagsugod .lnk shortcut, ukon malisyoso nga Chrome Extension):

1. Padalagana ini nga Offline PowerShell Persistence Audit (Windows)¶

Buksi ang PowerShell (Admin) sa offline PC kag padalagana ining apat ka read-only forensic checks:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Ngaa ang isa ka matinlo nga OS nga pag-install liwat (paagi sa USB Media) ginarekomendar pagkatapos sang isa ka Infostealer¶

Samtang ginapadalagan ang Microsoft Defender Offline Scan kag Malwarebytes pagkatapos nga ma-clear ang mga exclusion sang Defender nagakuha sang nahibaluan nga mga persistence loader, ang mga commodity infostealers masami nga nagabugkos sang ikaduha nga RAT (Remote Access Trojan), SystemBC SOCKS5 proxy, ukon clipper malware Windows (nagahipos kag nagabantay sang imo clipboard ginabaylo ang bisan ano nga ginkopya nga Bitcoin/Ethereum wallet address sa adres sang hacker). - Kon makopya mo na ang imo personal nga mga dokumento, mga litrato, kag Chrome Passwords.csv sa offline PC, maghimo sang matinlo nga Windows 11 USB Reinstall (ukon macOS Erase All Content and Settings) suno sa amon malware, ransomware, kag spyware infection guide.

3. Pag-audit sang macOS kag Linux Systems para sa Infostealer Artifacts (Atomic macOS Stealer / AMOS, Poseidon, kag Malicious Browser Extensions)¶

Kon ang imo natapikan nga makina isa ka Apple MacBook/iMac ukon isa ka Linux developer workstation sa baylo nga isa ka Windows PC, padalagana ining mga offline terminal checks agud mahibaluan kag madula ang pagpadayon:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace, kag AWS IAM)¶

Kon ang kompyuter nga natapikan sang infostealer iya sang isa ka software engineer, DevOps administrator, ukon empleyado sang korporasyon nga may aktibo nga mga sesyon sa Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, ukon Cloudflare, ang pagtinlo sang lokal nga device katunga lamang sang inaway. I-execute gilayon ining mga pagbawi sang direktoryo sang panganod:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Ang pag-klik sa "Sign out" sa isa ka browser wala pirme nagabawi sang Primary Refresh Tokens (PRTs) ukon Azure CLI (az login / .azure/msal_token_cache.bin) mga token nga ginkopya gikan sa disk. Ang isa ka Entra Administrator dapat magdalagan Revoke-MgUserSignInSession -UserId user@company.com sa Microsoft Graph PowerShell para i-reset ang user signInSessionsValidFromDateTime i-attribute kag i-invalidate ang tanan nga Refresh Tokens sa tanan nga endpoints sing dungan.
• AWS CLI & Developer Token Rotation (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Ang mga infostealer sang mga balaklon maathag nga naga-scan sang direktoryo sang puluy-an sang tagsa ka user para sa .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, kag Docker/Kubernetes config files. Gilayon nga i-deactivate kag i-rotate ang tanan nga AWS IAM Access Keys (AKIA...) sa AWS Console, bawion ang GitHub Personal Access Tokens (ghp_...), kag panason ang nabuyagyag nga SSH public keys gikan sa mga server sang produksyon (-/.ssh/authorized_keys).
• Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Magluwas sa mga web browser, ang mga module sang infostealer partikular nga nagakopya sang %APPDATA%\Telegram Desktop\tdata direktoryo (nga nagapahanugot sa isa ka manug-atake nga i-clone ang imo bug-os nga Telegram account sa ila PC nga wala sing SMS code), %APPDATA%\Slack\storage, kag gin-save ang OpenVPN (.ovpn) / WireGuard (.conf) mga profile sang VPN sang korporasyon. Buksi ang Telegram sa imo telepono (Mga Setting > Mga Device -> Tapuson ang Tanan nga Iban pa nga mga Sesyon), mag-sign out sa tanan nga mga workspace sang Slack (slack.com/account/settings -> Mag-sign out sa tanan nga iban pa nga mga sesyon), kag pangabayon ang imo network administrator nga bawion kag i-reissue ang imo corporate VPN client certificate.

Pagtapna: Paano himuon ang imo browser kag mga account nga resistensyado sa mga Infostealer¶

Kon ang imo sistema matinlo na kag ang imo mga account nabawi na, ipatuman ining lima ka depensa agud ang isa ka infostealer indi na maka-hijack liwat sang imo digital nga kabuhi:

• INDI gid pag-ibutang ang mga password sa sulod sang built-in nga password manager sang imo web browser (Chrome / Edge / Brave / Firefox Autofill) nga wala sing Hardware/Master Key: Ang tagsa ka commodity infostealer sa Duta nagapuntirya sa Chrome's Login Data SQLite nga lamesa una. I-off ang OFF "Offer to save password" sa chrome://password-manager/settings kag ibutang ang imo mga password sa sulod sang isa ka dedikado, zero-knowledge password manager (1Password, Bitwarden, Proton Pass, ukon KeePassXC) nga gin-configure sa Auto-Lock gilayon kon ang sistema mag-lock ukon pagkatapos sang 5 minutos nga idle time.
• I-enable ang "Device-Bound Session Credentials (DBSC)" & "App-Bound Encryption" sa Chrome 127+: Siguraduhon nga ang Google Chrome ukon Edge na-update sa pinakabag-o nga bersyon kag na-install sa default nga direktoryo sang sistema (C:\Program Files\Google\Chrome\Application) gani ang GoogleChromeElevationService mahimo mag-bind sang cookie encryption sa mga lebel sang pribilehiyo sang sistema kag mga yabi sang TPM hardware paagi sa Device-Bound Session Credentials (DBSC).
• I-disable ang Windows Run Box (Win + R) ukon mshta.exe sa pag-block sang "ClickFix" Peke nga mga Pag-atake sa CAPTCHA: Indi gid pag-ipit ang Win + R -> Ctrl + V -> Enter kon ang isa ka website CAPTCHA, peke nga Cloudflare screen, ukon "Fix Microphone / Fix Font" pop-up nagapangabay sa imo nga mag-paste sang isa ka sugo sa imo Run dialog ukon Terminal, wala sing lehitimo nga website sa Duta ang naga-verify sang katawhan paagi sa pagpangabay sa imo nga mag-paste sang code sa Win + R ukon macOS Terminal.
• Gamita ang mga Hardware Security Keys (YubiKey) ukon Passkeys + Kinahanglan ang Re-Authentication para sa Sensitibo nga mga Aksyon: Samtang ang mga kinawat nga session cookies nagalikaw sa una nga mga login prompt, ang mga mayor nga plataporma (Google, GitHub, Cloudflare, AWS, Coinbase) nagapatuman sang SteUp-Authentication (SUp-Authentication) nga nagakinahanglan sang Pag-usisa isa ka pisikal nga FIDO2 YubiKey tap ukon Passkey biometric check antes tugutan ang bisan sin-o nga may session cookie nga mag-ilis sang imo password, mag-export sang data, ukon magdugang sang withdrawal address.
• Tan-awa kon ang imo email ukon stealer log nagguwa sa Darknet Monitoring Databases: Bisitaha ang haveibeenpwned.com (nga karon naga-index sang minilyon ka mga email address sang biktima sang stealer log kag mga nakompromiso nga mga domain) kag gina-enable ang libre nga mga abiso sang paglapas sa darknet para sa imo mga email address.
• Ipain ang mga indi masaligan nga mga pag-download, mga mod sang hampang, kag mga script sang ikatlo nga partido sa sulod sang isa ka Virtual Machine ukon Windows Sandbox: Indi gid magdalagan nga wala ma-verify .exe, .msi, .dmg, .bat, ukon Python pip / Node npm post-install scripts direkta sa host operating system nga nagahupot sang imo authenticated web browser sessions kag financial logins. I-enable ang Windows Sandbox (nga gintukod sa Windows 10/11 Pro kag Enterprise paagi sa I-on ukon i-off ang mga bahin sang Windows > Windows Sandbox) ukon maggamit sang isa ka isolated virtual machine nga wala sing na-save nga browser cookies kon ginatestingan ang mga third-party utilities.

Masami nga ginapamangkot¶

May kaangtanan nga mga giya¶

• Malware, ransomware, kag impeksyon sa spyware
• MFA phishing kag Adversary-in-the-Middle (AiTM) bypass
• MFA lockout: paano mabawi ang mga naka-lock nga mga account
• Na-hack ang email account, mga pagsulundan sa pagpasa, kag pagbawi
• Cryptocurrency wallet drain kag seed phrase compromise
• Password manager lockout kag emergency vault recovery
• Direktoryo sang mga numero sa emerhensya

Gin-usisa ang mga ginhalinan¶

• Cybersecurity and Infrastructure Security Agency (CISA) & FBI (United States): Joint Cybersecurity Advisories on Infostealer Malware (LummaC2, RedLine, Rhadamanthys) kag Mitigating Token/Session Theft (CSAE24 / MITRE ATT&CK T1539: Steal Cookie Web Session & T150500: Webie Session: Cookie).
• National Institute of Standards and Technology (NIST) (United States): NIST SP 800-63B: Digital Identity Guidelines: Session Management, Reauthentication, and Token Binding.
• World Wide Web Consortium (W3C) & Google Chromium Security Architecture: Device Bound Session Credentials (DBSC) Specification kag Chrome App-Bound Encryption (v20 DPAPI Elevation) Teknikal nga Dokumentasyon.
• National Cyber ​​Security Center (NCSC) (United Kingdom): Pagpahaganhagan sang Malware, Infostealers, kag Session Hijacking sa Enterprise kag Consumer Environments.
• Bukas nga Proyekto sa Seguridad sang Aplikasyon sa Bug-os nga Kalibutan (OWASP): Session Management Cheat Sheet & OAuth 2.0 Token Revocation (RFC 7009) Standards.