Zlonamjerna proširenja preglednika, otmičari kripto međuspremnika i resetiranje preglednika¶

Primjećujući da adresa novčanika kriptovalute (BTC, ETH, SOL, USDT) ili bankovni IBAN/broj usmjeravanja s kojim ste upravo kopirali Ctrl+C (Cmd+C) magično se promijenila u adresu stranca čim pritisnete Ctrl+V (Cmd+V), otkrivši da je proširenje za Chrome, Edge, Brave ili Firefox koje ste instalirali prije više godina ("PDF Converter", "Volume Booster", "Video Downloader" ili "AI Assistant") potajno prodano sindikatu adwarea i sada ubacuje lažne pridružene veze i skuplja vaše kolačiće sesije ili pronalazi vašu zadanu tražilicu zaključanu na otetu stranicu za preusmjeravanje pod porukom "Vašim preglednikom upravlja vaš organizacija" je ozbiljna hitna krajnja točka. Budući da moderni web-preglednici drže vaše aktivne autentificirane kolačiće sesije za Gmail, Microsoft 365, korporativne konzole u oblaku, upravitelje lozinki i Web3 novčanike, odobreno je jedno lažno proširenje preglednika "Read and change all your data on all websites" (<all_urls> ili *://*/* dopuštenja hosta) zaobilazi višefaktorsku provjeru autentičnosti (MFA) u potpunosti čitajući vaše DOM unose, pritiske tipki i navigator.clipboard međuspremnik u stvarnom vremenu.

Ako je kompromitacija preglednika povezana s aktivnim iznuđivanjem, fizičkim prijetnjama ili pljačkom korporativnog interneta u tijeku, nazovite svoj lokalni broj za hitne slučajeve (911 u Sjedinjenim Državama i Kanadi, 112 diljem Europske unije, 999 u Ujedinjenom Kraljevstvu) ili pogledajte naš imenik međunarodnih hitne brojeve smjesta. Za sve slučajeve zlonamjernih proširenja preglednika, zlonamjernog softvera za kliper kripto međuspremnika ili otmice pravila preglednika, izvršite forenzičko uklanjanje i radni tijek opoziva sesije u nastavku.

Učinite to sada¶

1. PRESTANITE lijepiti osjetljive podatke (Ctrl+V / Cmd+V) i NIKADA ne odobrite transakciju kriptovalute bez provjere prvih 6 I zadnjih 6 znakova na zaslonu hardverskog novčanika: Zlonamjerni softver otimač međuspremnika ("Clippers" / CrypToClipper) koristi regularne izraze (RegEx) za nadzor vašeg operativnog sustava i međuspremnika preglednika svakih 100 milisekundi. Čim kopirate a 0x... Ethereum adresa, bc1... Bitcoin adresa, ili Solana adresa, zamjenjuje sadržaj međuspremnika s adresom nalik na ispraznost u vlasništvu napadača.
2. Odspojite zaraženo računalo s Wi-Fi / Ethernet prije otvaranja chrome://extensions (edge://extensions / about:addons): Mnoga zlonamjerna proširenja prate korisnika koji prelazi na karticu za upravljanje proširenjima i automatski zatvaraju karticu, skrivaju se ili prave konačnu kopiju kolačića vaše otvorene sesije prije nego što kliknete Ukloni. Isključivanjem Wi-Fi-ja prvo se prekida njihovo upravljanje i upravljanje (C2) kanal.
3. ISKLJUČITE "Extensions Sync" na svom Google, Microsoft ili Mozilla računu PRIJE brisanja lažnog proširenja: Ako su omogućene Chrome Sync, Edge Sync ili Firefox Sync, brisanje zlonamjernog proširenja lokalno na jednom prijenosnom računalu često ne uspijeva jer vaš profil u oblaku ili druga prijavljena radna površina automatski ponovno vraća proširenje na vaše računalo nekoliko minuta kasnije. Idi na chrome://settings/syncSetup/advanced (edge://settings/profiles/sync) i prvo prebacite Proširenja na ISKLJUČENO.
4. Zabilježite ID proširenja od 32 znaka (Developer Mode -> ID) i izbrišite ekstenziju I njegovu lokalnu IndexedDB / Local Extension Settings mapu s diska: prije nego što kliknete Ukloni, uključite Razvojni način rada u gornjem desnom kutu chrome://extensions i zapišite ID od 32 slova (na primjer, aeblfdkhhhdcdjpifhhbdiojplfjncoa). Poznavanje tog točnog ID-a omogućuje vam da potvrdite je li proširenje označeno kao zlonamjerni softver i očistite njegovu zaostalu mapu unutar vaše lokalne AppData / Library imenik.
5. Očisti lažna pravila preglednika poduzeća (chrome://policy i edge://policy) koji kažu "Vašim preglednikom upravlja vaša organizacija": Na osobnom kućnom računalu, vidjeti "Upravlja vaša organizacija" znači da je reklamni softver ili trojanac napisao prevaru ExtensionInstallForcelist ili SearchProvider unesite svoj Windows registar (HKLM\SOFTWARE\Policies\Google\Chrome) ili macOS konfiguracijski profili (System Settings -> General -> Device Management) tako da ne možete kliknuti gumb Ukloni.
6. Poništite sve ukradene kolačiće sesije preglednika klikom na "Odjava iz svih sesija" s čistog uređaja: jer zlonamjerno proširenje s <all_urls> dopuštenje ili chrome.cookies access je već kopirao vaše žive tokene za prijavu, jednostavno brisanje proširenja ne izbacuje napadača s vaših računa. Upotrijebite čisti pametni telefon kako biste prisilili globalnu Odjavu sa svih uređaja / opoziv sesija na svojoj e-pošti, bankovnim računima, računima u oblaku i društvenim računima te rotirajte svoje lozinke prema našim odgovor na povredu podataka i vodič za curenje lozinki.

Stablo odlučivanja: izoliranje prijetnji proširenja preglednika, otmičara pravila i klipera OS-a¶

Slijedite ovaj dijagnostički dijagram toka kako biste utvrdili koji je sloj vašeg preglednika ili operativnog sustava ugrožen i iskorijenili mehanizam postojanosti:

flowchart TD
    Start["Otkrivena anomalija preglednika: zamijenjena adresa međuspremnika, preusmjereno pretraživanje, lažni skočni prozori ili ukradena sesija računa"] --> Test{"1. Potpuno zatvorite preglednik i kopirajte/zalijepite kripto adresu u Notepad / TextEdit: mijenja li se?"}
    Test -->|"Da: adresa se mijenja izvan preglednika"| OSClip["MALWARE CLIPPER NA RAZINI OS-a: ukinite lažni proces u upravitelju zadataka, očistite planirane zadatke / pokrenite ključeve i pokrenite izvanmrežno AV skeniranje"]
    Test -->|"Ne: događa se samo unutar preglednika"| PolicyCheck{"2. Otvorite chrome://policy ili edge://policy: Jesu li pravila navedena na vašem kućnom računalu?"}
    PolicyCheck -->|"Da: 'Upravlja vaša organizacija' / ExtensionInstallForcelist"| WipePolicy["Izbrišite lažne ključeve pravila registra sustava Windows (pravila HKLM/HKCU) ili uklonite konfiguracijski profil macOS-a"]
    PolicyCheck -->|"Nisu pronađena pravila"| ExtAudit["3. Onemogućite sinkronizaciju -> Omogućite način rada za razvojne programere u chrome://extensions -> Prepoznajte i uklonite zlonamjerna proširenja"]
    WipePolicy --> ExtAudit
    OSClip --> ExtAudit
    ExtAudit --> DiskWipe["4. Izbrišite zaostale mape proširenja, servisne radnike i predmemoriju IndexedDB iz imenika lokalnog korisničkog profila"]
    DiskWipe --> CookieRevoke["5. S čistog uređaja: opozovite sve aktivne sesije (Google, Microsoft, GitHub, banke) i provjerite kripto odobrenja"]

Kako legitimna proširenja preglednika preko noći postaju zlonamjerna (i 5 vrsta napada)¶

Više od 70 posto žrtava zaraženih zlonamjernim ekstenzijama preglednika nikada nije kliknulo sumnjivu vezu piratskog softvera: instalirale su normalnu, visoko ocijenjenu ekstenziju izravno iz službene Chrome Web Store, Microsoft Edge Add-ons Store ili Firefox Add-ons (AMO) mjesecima ili godinama ranije. Kibernetički kriminalci kompromitiraju proširenja putem dvije metode opskrbnog lanca: 1. Preuzimanje proširenja/monetizacija (gdje napadač nudi neovisnom programeru $5,000 do $50,000 u gotovini za kupnju vlasništva nad popularnim proširenjem od 100,000 korisnika, zatim gura tiho automatsko ažuriranje koje sadrži maskirani zlonamjerni softver koji preglednik svakog postojećeg korisnika automatski preuzima u pozadini); i 2. Developer OAuth Phishing (gdje napadači krađu legitimnog računa razvojnog programera Chrome web trgovine kreatora proširenja, kao što se dogodilo u velikim kršenjima opskrbnog lanca koji utječu na desetke poslovnih i sigurnosnih proširenja).

Faza 1: Kako revidirati, identificirati i očistiti zlonamjerna proširenja iz Chromea, Edgea, Bravea, Firefoxa i Safarija¶

Nemojte samo baciti pogled na ikone pored adresne trake: zlonamjerna proširenja namjerno skrivaju svoju ikonu na alatnoj traci (Action gumb skriven) ili maskenbal koristeći točnu ikonu i naziv Google Docs Offline, Google Translate, uBlock Origin ili Adobe Acrobat.

Korak 1: Pregledajte svoja instalirana proširenja i uhvatite ID od 32 znaka¶

1. Odspojite svoje računalo s Wi-Fi/Etherneta kako nijedno proširenje ne bi moglo prenijeti konačne podatke ili samoažurirati dok ga pregledavate.
2. Otvorite internu konzolu za upravljanje proširenjima preglednika upisivanjem točnog URI-ja u adresnu traku:
3. Google Chrome: chrome://extensions
4. Microsoft Edge: edge://extensions
5. Hrabri preglednik: brave://extensions
6. Mozilla Firefox: about:addons (i također upišite about:debugging#/runtime/this-firefox da vidite privremene/skrivene dodatke)
7. Apple Safari (macOS): Safari -> Settings (Cmd + ,) -> Extensions
8. UKLJUČITE "Način rada za razvojne programere" (prekidač u gornjem desnom kutu Chromea, Edgea i Bravea).
9. Uključivanje Načina rada za razvojne programere otkriva kritične forenzičke detalje na svakoj kartici proširenja:
10. ID: Jedinstveni niz od 32 znaka malim slovima (kao što je cjpalhdlnbpafiamejdnhcphjbkeiagm).
11. Inspect views: service worker / background page: Pokazuje da li proširenje trenutno aktivno pokreće pozadinsku skriptu.
12. Source: Installed by enterprise policy ili Loaded from: C:\Users\... (Raspakirano proširenje): Osim ako niste programer softvera koji je sam napisao proširenje, nijedno legitimno potrošačko proširenje ne bi trebalo reći Loaded from: [Folder Path] (raspakirano proširenje). Autori zlonamjernog softvera učitavaju raspakirana proširenja sa skrivene strane AppData ili ProgramData mape putem izmjene prečaca (chrome.exe --load-extension="C:\...") kako biste u potpunosti zaobišli sigurnosni skener Chrome web-trgovine.
13. Provjerite svako proširenje prema ovim kriterijima za uklanjanje:
14. Kliknite Detalji -> Dozvole (Site access) na svakom pojedinom produžetku. Svako proširenje koje ima On all sites (Read and change all your data on all websites) koji nije duboko pouzdan, provjerljiv sigurnosni alat otvorenog koda (kao što je vaš primarni upravitelj lozinki) treba odmah ukloniti ili mu barem ograničiti Pristup web-mjestu s On all sites do On click.
15. Kliknite Ukloni na bilo kojem PDF konverteru, besplatnom VPN-u, programu za preuzimanje videa/MP3, pojačivaču glasnoće, prilagođenom pokazivaču, prekidaču tamnog načina rada, tražilici kupona, AI bočnoj traci ili proširenju igre koje vam nije nužno potrebno.

Korak 2: Pregledajte proširenja manifest.json i mrežni promet uživo prije uklanjanja (forenzička trijaža)¶

Ako trebate znati je li sumnjivo proširenje doista ukralo vaše korporativne lozinke, kolačiće sesije ili ključeve kriptovalute prije nego što ga izbrišete, odvojite dvije minute da pregledate njegove lokalne izvorne datoteke na disku dok je vaš Wi-Fi još uvijek isključen: 1. Kopirajte 32 znaka ID prikazano na produžnoj kartici u chrome://extensions. 2. Idite na lokalni preglednik Extensions mapu na disku (navedenu u tablici u koraku 4 u nastavku) i otvorite mapu koja odgovara tom ID-u od 32 znaka. 3. Otvori manifest.json datoteku unutar te mape koristeći Windows Notepad ili macOS TextEdit i pregledajte tri polja: - "permissions" i "host_permissions": Potražite dopuštenja visokog rizika uključujući "cookies", "webRequest", "declarativeNetRequest", "clipboardRead", "clipboardWrite", "scripting", "debugger", "proxy", i "<all_urls>". Proširenje koje tvrdi da je jednostavan "Dark Mode Toggle" ili "Volume Booster" koje zahtijeva "cookies" i "<all_urls>" gotovo sigurno prikuplja sesije prijave. - "content_scripts": Prikazuje koje JavaScript datoteke (content.js, inject.js) ubrizgavaju se na svaku web-stranicu koju posjetite, uključujući bankarstvo i portale kripto novčanika. - "background" ("service_worker"): Identificira postojanu pozadinsku skriptu (background.js ili sw.js). Pretraživanje te JavaScript datoteke u Notepadu za nizove poput fetch(, XMLHttpRequest, WebSocket, navigator.clipboard, chrome.cookies.getAll, eth_sendTransaction, ili atob( otkriva napadačevu naredbu i kontrolu (C2) domena i točno pokazuje koji su podaci eksfiltrirani.

Korak 3: Provjerite otmicu cilja prečaca preglednika (--load-extension)¶

Čak i nakon što unutra kliknete Ukloni chrome://extensions, uobičajena trojanska tehnika mijenja ikonu prečaca na radnoj površini i programskoj traci koju kliknete za pokretanje Chromea, Edgea ili Bravea tako da automatski ponovno učitava skriveno zlonamjerno raspakirano proširenje svaki put kada otvorite preglednik. - Na Windowsima: 1. Desnom tipkom miša kliknite svoju ikonu Google Chrome / Microsoft Edge / Brave na radnoj površini (i desnom tipkom miša kliknite ikonu na programskoj traci -> ponovno desnom tipkom miša kliknite naziv preglednika -> kliknite Svojstva). 2. Pogledajte okvir Cilj: ispod kartice Prečac. 3. Čisti ciljni okvir završava strogo s "chrome.exe" ili "msedge.exe": - ČISTO: "C:\Program Files\Google\Chrome\Application\chrome.exe" - OTETO: "C:\Program Files\Google\Chrome\Application\chrome.exe" --load-extension="C:\Users\Public\Documents\ExtUpdater" https://search-hijack.com 4. Nakon toga izbrišite sve chrome.exe" (ili potpuno izbrišite prečac i prikvačite novi prečac izravno iz C:\Program Files\Google\Chrome\Application\chrome.exe).

Korak 4: Izbrišite preostale datoteke ekstenzija i servisne radnike s diska¶

Pronađite direktorij lokalnog profila vašeg preglednika i izbrišite podmapu koja odgovara ID-u od 32 znaka lažnog proširenja, plus obrišite registrirane servisne radnike:

Nakon brisanja mape proširenja otvorite chrome://serviceworker-internals (ili edge://serviceworker-internals) u svom pregledniku i kliknite Odjavi na bilo kojem uslužnom radniku povezanom s uklonjenim proširenjem ili nepoznatim domenama push-obavijesti.

Korak 5: Očistite dopuštenja lažnih push obavijesti, otete tražilice i zlonamjerne proxy/DNS postavke¶

Mnoga adware proširenja i otmičari preglednika ostavljaju za sobom tri sekundarne zamke čak i nakon što se binarna datoteka proširenja izbriše: 1. Opozovi pretplate na zlonamjerne web obavijesti (lažni antivirusni skočni prozori): - Ako se lažna upozorenja o virusima McAfee, Norton ili Windows Defender stalno pojavljuju u donjem desnom kutu vašeg zaslona kad god je preglednik otvoren, to su HTML5 web push obavijesti s lažne web-lokacije kojoj ste slučajno dali dopuštenje za obavijesti. - Otvoreno chrome://settings/content/notifications (ili edge://settings/content/notifications / about:preferences#privacy -> Dopuštenja -> Obavijesti u Firefoxu). - Pomaknite se prema dolje do popisa "Dopušteno slanje obavijesti", kliknite tri točkice pored svake nepoznate ili sumnjive domene i kliknite Ukloni ili Blokiraj. 2. Poništi otetu zadanu tražilicu i početne stranice: - Otvoreno chrome://settings/searchEngines (edge://settings/search) i provjerite pokazuje li vaša zadana tražilica na originalni Google (google.com), DuckDuckGo ili Bing umjesto sličnog URL-a za preusmjeravanje (search.yahoo.com/yhs/... ili find-results.net). Izbrišite sve neprepoznate tražilice na popisu. - Otvoreno chrome://settings/onStartup (edge://settings/onStartup) i označite "Otvori određenu stranicu ili skup stranica": uklonite sve nepoznate početne URL-ove koje je ubacio adware. 3. Provjerite otet sistemski proxy ili sigurni DNS (DoH) Postavke: - Neka zlonamjerna proširenja i instalacijski programi za adware konfiguriraju lokalnu PAC (Proxy Auto-Config) skriptu ili lažni DNS-over-HTTPS (DoH) poslužitelj kako bi mogli nastaviti presretati vaš web promet nakon što ekstenzija nestane. - U Chrome/Edgeu idite na chrome://settings/security -> pomaknite se do Koristi sigurni DNS i provjerite je li postavljen na vašeg trenutnog davatelja usluga ili pouzdani javni razrješivač (Cloudflare 1.1.1.1, Quad9 9.9.9.9, ili Google Public DNS), nije čudan prilagođeni URL. - Zatim otvori chrome://settings/system -> kliknite Otvorite proxy postavke računala i provjerite da su "Koristi skriptu za postavljanje" i "Koristi proxy poslužitelj" ISKLJUČENO (osim ako to ne zahtijeva vaš poslodavac).

Faza 2: Uklanjanje lažnih poslovnih pravila "Upravlja vaša organizacija" (ExtensionInstallForcelist)¶

Ako ste na osobnom kućnom računalu (ne prijenosnom računalu koje izdaje vaš poslodavac ili škola) i ne možete kliknuti gumb Ukloni na sumnjivom proširenju jer pored njega postoji mala ikona uredske zgrade, a Chrome/Edge prikazuje "Vašim preglednikom upravlja vaša organizacija", adware je u vaš operativni sustav ubacio lažna pravila Enterprise Group Policy.

Korak 1: Pregledajte chrome://policy ili edge://policy¶

Tip chrome://policy (ili edge://policy / about:policies u Firefoxu) u vašu adresnu traku. - Potražite nazive pravila kao što su ExtensionInstallForcelist, ExtensionInstallAllowlist, ExtensionSettings, HomepageLocation, RestoreOnStartupURLs, ili DefaultSearchProviderSearchURL. - Stupac Vrijednost pored ExtensionInstallForcelist prikazat će ID proširenja od 32 znaka proširenja zlonamjernog softvera i URL ažuriranja s kojeg se povlači.

Korak 2: Očistite lažna pravila preglednika u sustavu Windows (povišeni naredbeni redak)¶

Na osobnom kućnom računalu sa sustavom Windows 10 ili Windows 11 na koje ne bi trebala biti primijenjena pravila korporativnog preglednika, kliknite izbornik Start, upišite cmd, desnom tipkom miša kliknite Naredbeni redak, odaberite Pokreni kao administrator i izvršite ove naredbe za brisanje lažnih košnica registra pravila Chrome, Edge i Brave i osvježite pravila grupe:

reg delete "HKLM\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKLM\SOFTWARE\Policies\Google\Update" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Update" /f
reg delete "HKLM\SOFTWARE\WOW6432Node\Google\Enrollment" /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKCU\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKLM\SOFTWARE\Policies\BraveSoftware\Brave" /f
reg delete "HKCU\SOFTWARE\Policies\BraveSoftware\Brave" /f
rmdir /s /q "%WinDir%\System32\GroupPolicy"
rmdir /s /q "%WinDir%\System32\GroupPolicyUsers"
gpupdate /force

Nakon pokretanja tih naredbi vratite se na chrome://policy (ili edge://policy) i kliknite gumb Ponovo učitaj pravila u gornjem lijevom kutu. Sve prisilne poslovne politike će odmah nestati, a gumb Ukloni će se pojaviti chrome://extensions će otključati.

Korak 3: Očistite lažna pravila preglednika i konfiguracijske profile na macOS-u¶

Na macOS-u, otmičari preglednika provode lažna pravila poduzeća pomoću dva mehanizma: 1. Profili konfiguracije macOS-a (MDM profile) koje je korisnik na prijevaru instalirao putem lažnog instalacijskog programa za Flash/video player i 2. Upravljano plist datoteke s preferencijama.

1. Provjerite i uklonite zlonamjerne profile konfiguracije macOS-a:
2. Otvorite Apple Menu -> System Settings -> General -> Device Management (na starijim macOS Monterey/Big Sur otvorite System Preferences -> Profiles).
3. Ako ste na osobnom Macu i vidite bilo koji profil naveden pod Device Management/Profiles (često nazvan "Chrome Settings", "SearchConfig", "AdminPrefs" ili "WeKnow"), odaberite ga i kliknite - (Ukloni) gumb na dnu, zatim unesite svoju Mac lozinku da biste je izbrisali.
4. Izbriši upravljani preglednik plist Datoteke putem macOS terminala:
5. Otvorite Terminal (Cmd + Space, tip Terminal) i pokrenite ove naredbe za uklanjanje prisilnog plist datoteke pravila i očistite cfprefsd predmemorija:

sudo rm -f /Library/Managed\ Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/*/com.google.Chrome.plist
sudo rm -f /Library/Preferences/com.google.Chrome.plist
rm -f ~/Library/Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/com.microsoft.Edge.plist
sudo rm -f /Library/Preferences/com.microsoft.Edge.plist
defaults delete com.google.Chrome ExtensionInstallForcelist 2>/dev/null
defaults delete com.google.Chrome HomepageLocation 2>/dev/null
sudo killall cfprefsd

Ponovno pokrenite Chrome/Edge i potvrdite na chrome://policy da nulte police ostaju aktivne.

Faza 3: Otkrivanje i uklanjanje otimača kripto međuspremnika na razini OS-a ("Clippers")¶

Što ako ste uklonili sva proširenja preglednika, potpuno zatvorili preglednik i testirali kopiranje adrese kripto novčanika (0x... ili bc1...) unutar Windows Notepada ili macOS TextEdita, a zalijepljena adresa i dalje mutira u adresu novčanika napadača?

To znači binarni Clipper zlonamjerni softver na razini operativnog sustava (Laplas Clipper, ClipBanker, phemedrone, RedLine, ili lažna skripta Python/Node/AutoIt) radi u pozadini vašeg operativnog sustava i poziva Windows AddClipboardFormatListener / SetClipboardData API (ili macOS NSPasteboard glasačka petlja).

Korak 1: Odredite koji proces trenutno drži ili anketira vaš međuspremnik¶

• U sustavu Windows (PowerShell Live Process & Startup Audit): Otvorite PowerShell kao administrator i pokrenite ovu dijagnostičku naredbu za popis svih ne-Microsoftovih pozadinskih procesa koji izlaze iz direktorija u koje korisnik može pisati (AppData, Temp, ProgramData, Users\Public) gdje živi 99 posto Clipper Trojanaca:

Get-CimInstance Win32_Process | Where-Object {
    $_.ExecutablePath -match "AppData|Temp|ProgramData|Users\\Public"
} | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-List

Provjerite je li izlaz sumnjiv .exe, pythonw.exe, wscript.exe, cscript.exe, powershell.exe, mshta.exe, ili AutoIt3.exe ponestaje procesa %AppData%\Roaming, %LocalAppData%\Temp, ili C:\ProgramData. Obratite pažnju na ProcessId (PID) i ExecutablePath, prekinuti proces s Stop-Process -Id <PID> -Force, i izbrišite binarnu datoteku na disku.

• Revizija lokacija postojanosti sustava Windows (Run Ključevi & Scheduled Tasks): Clippers preživljavaju ponovno pokretanje dodavanjem registra Run ključ, pokretanje .lnk upisati shell:startup, ili planirani zadatak. Pokrenite ove dvije PowerShell provjere da biste ih otkrili:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
Get-ScheduledTask | Where-Object {$_.State -ne "Disabled" -and $_.Author -notmatch "Microsoft"} | Select-Object TaskName, TaskPath, State

Preuzmite Microsoft Sysinternals Autoruns (Autoruns64.exe) od learn.microsoft.com/en-us/sysinternals/downloads/autoruns, pokrenite ga kao administrator, omogućite Opcije -> Mogućnosti skeniranja -> Provjeri potpise koda + Provjerite VirusTotal.com i izbrišite sve crvene/nepotpisane unose u karticama Prijava, Planirani zadaci ili WMI.

• Na macOS-u (LaunchAgents & Background Process Audit): Otvorite Terminal i provjerite sve korisnike i sustav LaunchAgents i LaunchDaemons (gdje su macOS kliperi i Atomic Stealer / Poseidon skrivanje skripti postojanosti):

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons
ps aux | grep -E "osascript|python|node|curl|base64|NSPasteboard"

Pregledajte sve nepoznate .plist upisati -/Library/LaunchAgents korištenjem cat -/Library/LaunchAgents/<filename>.plist, istovarite ga sa launchctl unload -/Library/LaunchAgents/<filename>.plist, i izbrišite oba .plist i binarnu datoteku na koju pokazuje.

Faza 4: Oporavak nakon infekcije (opoziv ukradenih kolačića sesije, OAuth tokena i Web3 odobrenja)¶

Brisanje zlonamjernog proširenja preglednika zaustavlja buduće špijuniranje, ali ne poništava kolačiće sesije, spremljene lozinke ili početne fraze novčanika koje je proširenje već učitalo na napadačev poslužitelj dok je bilo instalirano. Pretpostavimo da je ugrožena svaka kartica koja je bila otvorena i svaka lozinka pohranjena unutar ugrađenog upravitelja lozinkama preglednika:

1. Nametnite globalnu "odjavu sa svih sesija" na svojim kritičnim računima:
2. Jednostavna promjena lozinke ponekad ostavlja postojeće OAuth tokene ili mobilne/web sesije važećima do sat vremena. Prijavite se s čistog uređaja i izričito kliknite Odjava sa svih sesija / Opozovi sve uređaje:
   • Google / Gmail: myaccount.google.com/device-activity -> odaberite svaku nepoznatu ili radnu sesiju -> Odjava. Također provjerite myaccount.google.com/permissions za opoziv OAuth aplikacija trećih strana.
   • Microsoft / Outlook / 365: account.live.com/proofs/manage/additional -> kliknite Odjavi me (prisiljava globalnu odjavu u svim preglednicima unutar 24 sata).
   • GitHub / GitLab / AWS / Cloud Consoles: Idite na github.com/settings/sessions -> Opozovi sve sesije i rotiraj sve osobne pristupne tokene (PATs) ili SSH ključeve.
   • Discord / Slack / Društveni mediji: imajte na umu da zlonamjerna proširenja ciljaju isključivo na Discord Local Storage token za autentifikaciju i Facebook Business Manager kolačiće; promijeniti svoju Discord lozinku (koja automatski regenerira vaš Discord korisnički token) i prekinuti sve aktivne sesije u Facebook/Instagram sigurnosnim postavkama.
3. Migracija bilo kojeg softverskog kripto novčanika (MetaMask, Phantom, Rabby, Keplr) koji je instaliran u istom pregledniku:
4. Ako je zlonamjerno proširenje imalo <all_urls> ili scripting pristup, ili ako je infostealer na razini OS-a pokrenut na vašem računalu, možda je pročitao vašu šifriranu datoteku trezora (ldb datoteke u Local Extension Settings) i uhvatio vašu lozinku za otključavanje novčanika dok ste je upisivali.
5. Nemojte držati sredstva u toj popularnoj frazi o početnoj vrijednosti novčanika. Generirajte potpuno novu početnu frazu novčanika na čistom uređaju ili hardverskom novčaniku (Ledger, Trezor, Keystone), prenesite svoju preostalu imovinu u novi novčanik i opozovite odobrenja visećih tokena na revoke.cash slijedeći naše ispuštanje novčanika za kriptovalute i kompromisni vodič za početni izraz.
6. Izvršite potpuno resetiranje preglednika:
7. Idi na chrome://settings/reset (edge://settings/reset / about:support -> Osvježi Firefox) i kliknite Vrati postavke na izvorne zadane. Time se poništava vaša početna stranica, stranica nove kartice, tražilica i prikvačene kartice, brišu privremeni kolačići i onemogućuju sva preostala proširenja.

Često postavljana pitanja¶

Zašto se proširenje koje sam sigurno koristio 2 godine odjednom pretvorilo u malware ili adware?¶

Proširenja preglednika ažuriraju se automatski i tiho u pozadini bez traženja vašeg dopuštenja osim ako nova verzija ne zahtijeva potpuno novu kategoriju dopuštenja. Skupine kibernetičkog kriminala i sindikati za prijevare oglasa redovito kontaktiraju samostalne programere popularnih, legitimnih proširenja (kao što su PDF alati, pojačivači glasnoće, snimači zaslona ili blokatori oglasa) i nude im tisuće dolara da prodaju svoj račun razvojnog programera u Chrome web-trgovini ili prenesu vlasništvo nad proširenjem. Jednom kada kupac kontrolira popis, gura tiho ažuriranje verzije koje sadrži kod za krađu kolačića ili otimanje podružnica koji inficira svakog postojećeg korisnika preko noći.

Čini li Googleovo ažuriranje Manifest V3 proširenja za Chrome i Edge potpuno sigurnima od zlonamjernog softvera?¶

Ne. Iako Manifest V3 značajno poboljšava sigurnost zabranom ekstenzijama da učitavaju daljinski hostirani izvršni JavaScript kod s vanjskih poslužitelja (prisiljavajući sav kod da bude u paketu unutar paketa ekstenzija poslanih u trgovinu), zlonamjerna proširenja sastavljena pod Manifestom V3 i dalje mogu zlorabiti široka dopuštenja hosta (na svim web-lokacijama), čitati unose DOM obrasca i pritiske tipki, oteti međuspremnik putem skripti sadržaja, ukrasti kolačiće i manipulirati rezultatima pretraživanja putem deklarativnih NetRequest pravila. Ograničavanje proširenja samo na one kojima strogo vjerujete i postavljanje njihove dozvole za pristup web-mjestu na "Na klik" umjesto na "Na svim web-mjestima" i dalje je bitno.

Kako u budućnosti mogu zaštititi svoje prijenose kriptovalute od zlonamjernog softvera otmičara međuspremnika?¶

Prvo, nikada ne provjeravajte samo prva 4 i posljednja 4 znaka zalijepljene adrese novčanika, jer moderni kliper zlonamjerni softver koristi unaprijed izračunate skupove adresa za odabir adrese napadača koja ima iste početne i završne znakove kao i vaš namjeravani primatelj; uvijek provjerite barem prvih 6, srednjih 6 i zadnjih 6 znakova. Drugo, koristite izvanmrežni hardverski novčanik s fizičkim zaslonom (kao što je Ledger, Trezor ili GridPlus) i provjerite punu adresu primatelja na fizičkom zaslonu hardverskog uređaja prije nego što pritisnete tipku za fizičku potvrdu i spremite često korištene adrese primatelja unutar adresara vašeg novčanika na bijelom popisu umjesto da ih kopirate i lijepite iz međuspremnika.

Izvori provjereni¶

• Agencija za kibernetičku sigurnost i sigurnost infrastrukture (CISA, Sjedinjene Države) i Federalni istražni ured (FBI): Zajednički savjeti o kibersigurnosti o zlonamjernom softveru Infostealer, otmici kolačića sesije i zlonamjernim proširenjima preglednika.
• Nacionalni institut za standarde i tehnologiju (NIST, Sjedinjene Države): SP 800-83 Rev. 1, Vodič za sprječavanje incidenata zlonamjernog softvera i rukovanje za stolna i prijenosna računala.
• Google Chrome Enterprise & tim za sigurnost Chromiuma: Popis pravila Chrome Enterprise (ExtensionInstallForcelist), Sigurnosna arhitektura proširenja Manifest V3 i otklanjanje neovlaštenog ubacivanja pravila.
• Microsoftov sigurnosni centar za odgovor (MSRC) & Microsoft Defender Threat Intelligence: Analiza i sanacija CrypToClipper / Upornost registra zlonamjernog softvera otmičara međuspremnika i lažnih pravila preglednika (HKLM\SOFTWARE\Policies\Microsoft\Edge).
• Nacionalni centar za kibernetičku sigurnost (NCSC, Ujedinjeno Kraljevstvo): Sigurnosne smjernice uređaja: Upravljanje ekstenzijama preglednika, kontrolama pravila poduzeća i ublažavanje krađe tokena.

Povezani vodiči¶

• Pražnjenje novčanika kriptovalute, kompromitacija početne fraze i opoziv odobrenja
• Uklanjanje zaraze zlonamjernim softverom, ransomwareom i špijunskim softverom
• MFA phishing, adversary-in-the-middle (AiTM) zaobilaženje i krađa kolačića sesije
• Odgovor na povredu podataka, curenje lozinki i zamrzavanje kredita
• Brojevi hitnih službi po državama