Munkamenet-token eltérítés, Infostealer rosszindulatú programok és globális munkamenet-visszavonás¶

Ha felfedezi, hogy egy támadó kriptovaluta-csalásokat tett közzé az Ön YouTube-, Instagram-, Discord- vagy X-fiókjából, átirányítási szabályokat hozott létre a Gmail vagy Microsoft 365 postaládájában, vagy hozzáfért a vállalati felhőkonzoljához anélkül, hogy 2FA kódot váltana ki a telefonján, vagy egy "Új bejelentkezés" e-mail riasztást, ez a Cookie összetéveszthetetlen aláírásaS / (Pass-the-Cookie) Infostealer Malware okozta. Amikor bejelentkezik egy webhelyre, és bejelöli a "Maradjon bejelentkezve" jelölőnégyzetet, a szerver titkosított HTTP-munkamenet cookie-t vagy OAuth-hordozó tokent bocsát ki (például a Google SID / SAPISID, Microsoft ESTSAUTHPERSISTENT, vagy a Discord-é Authorization token) a webböngésző helyi SQLite adatbázisában tárolva.

Az árucikk-információlopó rosszindulatú programcsaládok, köztük a Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys és Atomic macOS Stealer (AMOS), nem várakoznak a számítógépen, mint a hagyományos vírusok. A gyakran hamis játékmódnak, feltört szoftvertelepítőnek, hamis "ClickFix" PowerShell CAPTCHA promptnak vagy szponzori együttműködési PDF-nek álcázott infolopó 4 másodpercen belül lefut, dekódolja a Chrome-ot, az Edge-et, a Brave-ot vagy a Firefoxot. Cookies és Login Data adatbázisokat a memóriában, tömöríti őket az asztali kriptovaluta pénztárca fájljaival, feltölti az archívumot egy Telegram vagy C2 szerverre, és törli magát. Amikor a támadó importálja az ellopott munkamenet-sütiket egy észlelésgátló böngészőbe (Multilogin, Dolphin{anty}, vagy Gologin), a webszerver úgy gondolja, hogy a támadó *az Ön már hitelesített számítógépe, teljesen megkerülve jelszavát és kétfaktoros hitelesítését.

Tedd ezt most¶

1. HAGYJA MEG A fertőzött számítógépen a jelszavak módosítását, azonnal válassza le a PC-t vagy a Mac-et a Wi-Fi-ről, és húzza ki az Ethernet-kábelt. Ez az első számú hiba, amelyet az áldozatok elkövetnek: észreveszik, hogy a Discord-, a Steam- vagy a Gmail-jüket eltérítették, leülnek ugyanahhoz a fertőzött asztali számítógéphez, és vadonatúj jelszavakat írnak be a Chrome-ba. Ha egy infostealer perzisztencia betöltő vagy ütemezett feladat továbbra is aktív a gépen, azonnal rögzíti az új jelszavakat és a friss munkamenet-cookie-kat, és visszaküldi azokat a támadónak. A jelszómódosítások és a munkamenetek visszavonásának 100 százalékát egy tiszta okostelefonról (mobiladat- vagy tiszta Wi-Fi-ről) vagy egy különálló, érintetlen laptopról végezze el.
2. Ne feledje, hogy a jelszó megváltoztatása önmagában NEM mindig érvényteleníti az ellopott munkamenet-cookeneket vagy OAuth-frissítési tokeneket, kifejezetten rá kell kattintania a „Kijelentkezés minden munkamenetből” lehetőségre, ÉS visszavonja a harmadik féltől származó OAuth-alkalmazásokat. Számos platformon (és a Google nem dokumentált platformjain) MultiLogin / issueToken OAuth-végpontok vagy hosszú élettartamú munkamenet-tokenek), a jelszó egyszerű megváltoztatása vagy a 2FA elforgatása életben hagyhatja a meglévő másodlagos munkamenet-tokeneket vagy az asztali OAuth-tokeneket, hacsak nem hajtja végre az alábbi táblázatban szereplő platformspecifikus Globális munkamenet és jogkivonat visszavonása lépéseit.
3. Ha szoftveres kriptovaluta pénztárca-bővítmény (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) van telepítve a fertőzött számítógépre, azonnal használjon tiszta telefont, hogy a pénzét egy vadonatúj hardveres pénztárca kezdő kifejezésre ürítse ki. Az Infostealer naplói automatikusan begyűjtik a titkosított fájlokat.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn a MetaMask számára) a böngésző mentett jelszavai mellett. Még akkor is, ha a támadó még nem érintette meg a kriptográfiai adatait, a tárolófájlja már a darknet piacon ül, és egy offline GPU feltörésére vár. Hajtsa végre a mi kriptovaluta pénztárca leürítés és magfrázis kompromisszum azonnal irányítani.
4. ** Biztosítsa "Apex Identity-fiókjait" (elsődleges e-mail-cím, jelszókezelő, Apple/Google-fiók és vállalati egyszeri bejelentkezés) az első 10 percben.** Tiszta okostelefonján nyissa meg elsődleges Google/Gmail-fiókját (myaccount.google.com/device-activity) és Microsoft (mysignins.microsoft.com) fiókok először. Jelentkezzen ki az összes asztali munkamenetből, forgassa el a fő jelszót, jelölje be a Beállítások > Továbbítás és POP/IMAP és Szűrők/Szabályok lehetőséget, hogy törölje a rejtett e-mail-továbbítási szabályokat, amelyeket a támadó hozott létre, hogy elrejtse a jelszó-visszaállító e-maileket más szolgáltatásoktól, és ellenőrizze a regisztrált jelszavakat és a hitelesítő eszközöket.
5. A Windows rendszerleíró adatbázisának ellenőrzése Run kulcsokat, Feladatütemezőt és PowerShell-előzményeket, ha nemrégiben "ClickFix" hamis CAPTCHA parancsot futtatott (Win + R -> Ctrl + V). Napjaink egyik leggyorsabban növekvő információlopó vektora egy hamis Cloudflare vagy Google CAPTCHA előugró ablak egy weboldalon, amely arra utasítja, hogy "Nyomja meg Win + R, nyomja meg Ctrl + V, és nyomja meg Enter igazolni, hogy ember vagy" (ami csendben végrehajt egy rejtett mshta.exe vagy powershell -w hidden -enc ... parancsot a vágólapra másolta).
6. Fenntartja a perspektívát és védje a fizikai biztonságot, ha a jogsértés vállalati infrastruktúrát vagy zsarolást foglal magában. Az Infostealer naplói gyakran indítanak automatikus váltságdíjat vagy szextorziós e-maileket, amelyekben az Ön ellopott jelszavát idézik. Soha ne fizessen a zsarolóknak; lásd a miénket szextorzítás és online zsarolás útmutatót, és ha valaha is fizikai fenyegetéssel szembesül, hívja a helyi segélyhívó számot (911 az Egyesült Államokban és Kanadában, 112 az Európai Unió egész területén, 999 az Egyesült Királyságban, vagy tekintse meg segélyhívó számok címtár).

Infostealer és munkamenet-cookie-eltérítés incidensre adott válaszdöntési fa¶

flowchart TD
    Root["Feltételezett munkamenet-cookie-eltérítés vagy Infostealer rosszindulatú programfertőzés"] --> IsolatePC["1. LÉPÉS: Azonnal válassza le a fertőzött PC/Mac számítógépet a Wi-Fi-ről és az Ethernetről (NE módosítsa a jelszavakat a fertőzött számítógépen)"]

    IsolatePC --> CryptoCheck{"Volt kriptotárca-kiterjesztés (MetaMask, Phantom, Exodus) ezen a számítógépen?"}
    CryptoCheck -->|"Igen"| EvacCrypto["Azonnal használjon tiszta telefont/hardvertárcát, hogy az összes kriptoeszközt vadonatúj kezdőkifejezésre söpörje"]
    CryptoCheck -->|"Nem"| ApexLock["2. LÉPÉS: Tiszta okostelefonon először zárja le az elsődleges e-mailt (Gmail, Outlook, Proton)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["3. LÉPÉS: Globális munkamenet + OAuth-token + jelszó visszavonás végrehajtása az összes kritikus fiókban (lásd alább a platformmátrixot)"]

    GlobalRevoke --> ExportList["4. LÉPÉS: Offline fertőzött számítógépen exportálja az összes mentett böngészőjelszót és cookie-t, hogy pontosan tudja, mely fiókokat lopták el"]

    ExportList --> CleanOS["5. LÉPÉS: Csak személyes dokumentumokról készítsen biztonsági másolatot -> Végezze el az operációs rendszer tiszta törlését/újratelepítését -> Regisztrálja újra a jelszót és engedélyezze a Chrome alkalmazáshoz kötött titkosítást"]

Annak megértése, hogy az Infostealers hogyan kerüli meg a 2FA és a DPAPI / kulcstartó titkosítást¶

Hogyan lophat el egy 200 kilobájtos program jelszavakat és munkamenet-cookie-kat, amelyeket a Google Chrome, a Microsoft Edge és a Brave titkosít a merevlemezén?

1. Windows DPAPI (CryptUnprotectData) és a Chrome App-Bound Encryption (v20):
2. Windows rendszeren a Chromium-alapú böngészők (Chrome, Edge, Brave, Opera, Vivaldi) tárolják a mentett jelszavakat. %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data és a munkamenet cookie-jait \Network\Cookies.
3. Ezek az SQLite adatbázisok egy AES-256-GCM mesterkulccsal vannak titkosítva %LOCALAPPDATA%\Google\Chrome\User Data\Local State, amelyet a Windows Data Protection API (DPAPI) véd, amely a bejelentkezett Windows felhasználói fiókjához kapcsolódik.
4. Mivel az infostealert saját bejelentkezett Windows-felhasználójaként futtatta, a felhasználói fiókja alatt futó bármely folyamat történelmileg CryptUnprotectData() hogy megkérje a Windowst a kulcs visszafejtésére. És a Chrome 127+ alkalmazáshoz kötött titkosítás megkerüléséhez (v20 felvonószerviz), a modern infostealerek közvetlenül a fej nélkülibe fecskendeznek chrome.exe hibakeresési folyamat (--remote-debugging-port), vagy használja a COM elevációt, hogy megkérje magát a Chrome-ot, hogy törölje ki az összes élő, dekódolt cookie-t.
5. macOS kulcstartó és Atomic macOS Stealer (AMOS / PoseStealer):
6. Az Apple macOS rendszeren az információlopók úgy álcázták magukat .dmg letöltések (gyakran arra kérik, hogy "Kattintson jobb gombbal -> Megnyitás", vagy húzza az ikont a Terminal elemre az Apple Gatekeeper megkerüléséhez) egy hamis natív macOS párbeszédpanel jelenik meg a következővel: "A System Preferences hozzá szeretne férni a bizalmas információihoz: Adja meg Mac bejelentkezési jelszavát". Amint beírja a Mac bejelentkezési jelszavát a promptba, a szkript feloldódik -/Library/Keychains/login.keychain-db és másolja a Safari/Chrome cookie-kat, az Apple Notes-okat és az iCloud-tokeneket.
7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
8. Biztonsági kutatók felfedték, hogy az infolopók nem csak szabványos webes sütiket lopnak, hanem dokumentálatlanokat is kivonnak oauth_token szolgáltatási tokenek a Chrome-ból Web Data (token_service táblázat) SQLite fájl. Még azután is, hogy az áldozat egyszer megváltoztatta a Google jelszavát, a támadók korábban újra lejátszhatták az ellopott anyagot token_service A Google belső OAuth-tokenje OAuthLogin végpont a mint vadonatúj érvényes SID böngésző cookie-jait, kivéve, ha a felhasználó kifejezetten kijelentkezett a feltört Chrome-eszköz-munkamenetből ÉS visszavonta a harmadik fél/OAuth-eszköz hozzáférését.

1. lépés: Globális munkamenet, cookie, OAuth és jelszó visszavonási mátrix¶

Egy tiszta okostelefonnal vagy tiszta másodlagos számítógéppel dolgozza le pontosan ezt a táblázatot fentről lefelé. A sorrend számít: mindig hajtsa végre az A lépést (az összes aktív munkamenet/eszköz kijelentkezése) és B. lépés (Jelszó módosítása) és C lépés (2FA audit/Jelszók/OAuth/Forwarding) együtt, ha csak jelszavát változtatja meg anélkül, hogy megszakítaná az aktív munkameneteket, vagy hozzáadhat egy támadó oldalt élőben. szélhámos helyreállítási módszer.

2. lépés: Hogyan lehet megtudni MINDEN olyan fiókot, amely ki volt téve a fertőzött számítógépén¶

Miután lezárta a 10 legfontosabb fiókját tiszta telefonján, egy ijesztő kérdéssel kell szembenéznie: "Négy éve használtam ezt a számítógépet, honnan tudhatom meg, hogy a 250 webhelyem közül melyik mentett el jelszavakat vagy aktív cookie-kat a Chrome/Edge-ben, amikor az infostealer futott?"

Miközben a fertőzött számítógépet 100 százalékosan offline állapotban tartja (Wi-Fi KI, Ethernet nincs csatlakoztatva), kapcsolja be, és vegye ki a pontos expozíciós leltárt, mielőtt törölné a gépet:

1. ** Exportálja a böngésző mentett jelszavak listáját (CSV)**:
2. Nyissa meg böngészőjét offline (chrome://password-manager/settings Chrome-ban, edge://wallet/settings az Edge-ben, ill about:logins Firefoxban), majd a mentéshez kattintson a Jelszavak exportálása lehetőségre Chrome Passwords.csv tiszta USB flash meghajtóra.
3. Miért aranynak számít ez a fájl a helyreállítás szempontjából: Az infostealer pontosan ezt az adatbázist lopta el. Miután Chrome Passwords.csv előtted megadja a pontos ellenőrzőlistát minden egyes webhely felhasználónevéről és jelszaváról, amivel a támadó most rendelkezik, így nem marad le egy régi adóportálról, légitársaság mérföldszámlájáról vagy bevásárlóoldaláról egy mentett hitelkártyával.
4. Vizsgálja meg, hogy mely webhelyek tartalmaztak aktív munkamenet-cookie-kat (chrome://settings/content/all):
5. Chrome-ban vagy Edge-ben (offline állapotban) lépjen a chrome://settings/content/all (vagy edge://settings/content/all), és rendezze a Tárolt adatok vagy a Leggyakrabban látogatott szerint. Minden olyan webhely, amelyen jelszó beírása nélkül bejelentkezett, ki volt téve a munkamenet-cookie-lopásnak, és meg kell szakítani a munkamenetet.
6. Ellenőrizze, hogy az Önálló jelszókezelője (1Password, Bitwarden, KeePassXC) feloldva volt-e a fertőzés pillanatában:
7. Ha az 1Password-, Bitwarden- vagy KeePassXC-tárolója ZÁRVA volt, amikor az infostealer futott: A rosszindulatú program csak a titkosított helyi tároló-gyorsítótárat tudta megragadni (data.json vagy .kdbx), amelyet a PBKDF2-SHA256 / Argon2id + az Ön fő jelszava (és 34 karakteres titkos kulcs az 1Password-ban) véd. Ha a fő jelszó erős, a tároló tartalma továbbra is biztonságban marad, bár elővigyázatosságból továbbra is változtassa meg a fő jelszót.
8. Ha a jelszókezelő böngészőbővítmény FELOLDVA volt a memóriájában a rosszindulatú program futtatásakor (vagy ha a Jelszókezelő főjelszót a Chrome beépített automatikus kitöltési funkciójába mentette.): Tegyük fel, hogy az infolopó kiírta a tárolót, vagy elvette a főjelszót, és forgassa el az összes kritikus hitelesítő adatot a tárolóban.

3. lépés: Az Infostealer kitartásának levadászása és felszámolása az operációs rendszer törlése előtt¶

Mielőtt biztonsági másolatot készítene személyes dokumentumairól és tiszta operációs rendszer újratelepítést hajtana végre, megtekintheti, hogy az infostealer hogyan lépett be a rendszerébe, és hogy nem dobott-e le egy állandó másodlagos betöltőt (például ütemezett feladatot, rendszerleíró adatbázist). Run kulcs, Indítás .lnk parancsikon vagy rosszindulatú Chrome-bővítmény):

1. Futtassa ezt az Offline PowerShell Persistence Audit (Windows)¶

Nyissa meg a PowerShell (Admin) alkalmazást az offline számítógépen, és futtassa ezt a négy írásvédett kriminalisztikai ellenőrzést:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Miért ajánlott az operációs rendszer tiszta újratelepítése (USB-n keresztül) egy Infostealer után¶

Miközben a Microsoft Defender Offline Scan és a Malwarebytes futtatása után a Defender-kizárások törlése eltávolítja az ismert tartós betöltőket, az árucikkekkel foglalkozó információlopók gyakran egy másodlagos RAT-t (Remote Access Trojan), SystemBC SOCKS5 proxyt vagy Clipper rosszindulatú programokat vagy Clipper rosszindulatú programokat kísérelnek meg (amelyek csendben figyelik a Windows vágólapját). pénztárca címe a hacker címével). - Miután lemásolta személyes dokumentumait, fényképeit és Chrome Passwords.csv offline számítógépről, hajtson végre egy tiszta Windows 11 USB újratelepítést (vagy macOS Erase All Content and Settings) a következő utasításokat követve. rosszindulatú programokkal, zsarolóprogramokkal és spyware fertőzésekkel kapcsolatos útmutató.

3. A macOS és Linux rendszerek auditálása Infostealer-termékekre (Atomic macOS Stealer / AMOS, Poseidonés rosszindulatú böngészőbővítmények)¶

Ha a fertőzött gépe egy Apple MacBook/iMac vagy egy Linux fejlesztői munkaállomás, nem pedig Windows PC, futtassa az alábbi offline terminálellenőrzéseket a perzisztencia észleléséhez és felszámolásához:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace és AWS IAM)¶

Ha az információlopó által megfertőzött számítógép olyan szoftvermérnökhöz, DevOps-rendszergazdához vagy vállalati alkalmazotthoz tartozott, aki aktív munkamenetekkel rendelkezett a Microsoft Entra ID (Azure AD), az Okta, a Google Workspace, az AWS vagy a Cloudflare szolgáltatásban, a helyi eszköztisztítás csak a siker fele. Azonnal hajtsa végre ezeket a felhőalapú címtár-visszavonásokat:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Ha egyetlen böngészőben a „Kijelentkezés” gombra kattint, nem mindig vonja vissza az elsődleges frissítési tokeneket (PRT) vagy az Azure CLI-t (az login / .azure/msal_token_cache.bin) tokenek a lemezről másolva. Entra adminisztrátornak kell futnia Revoke-MgUserSignInSession -UserId user@company.com a Microsoft Graph PowerShellben a felhasználó visszaállításához signInSessionsValidFromDateTime attribútumot, és egyszerre érvénytelenítse az összes frissítési tokent az összes végponton.
• AWS CLI és fejlesztői token rotáció (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Az árucikkek információlopói kifejezetten minden felhasználó kezdőkönyvtárát keresik .aws/credentials, .ssh/id_ed25519, .gitconfig, .envés a Docker/Kubernetes konfigurációs fájlokat. Azonnal inaktiválja és forgassa el az összes AWS IAM hozzáférési kulcsot (AKIA...) az AWS-konzolban vonja vissza a GitHub személyes hozzáférési tokeneket (ghp_...), és törölje a nyilvános SSH-kulcsokat az éles szerverekről (-/.ssh/authorized_keys).
• Asztali üzenetküldés és VPN-kliens token törlése (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): A webböngészőkön túl az infostealer modulok kifejezetten másolják a %APPDATA%\Telegram Desktop\tdata könyvtár (amely lehetővé teszi a támadó számára, hogy SMS-kód nélkül klónozza a teljes Telegram-fiókját a számítógépére), %APPDATA%\Slack\storage, és elmentve OpenVPN (.ovpn) / WireGuard (.conf) vállalati VPN-profilok. Nyissa meg a Telegram alkalmazást a telefonján (** Beállítások > Eszközök -> Minden más munkamenet leállítása**), jelentkezzen ki az összes Slack munkaterületből (slack.com/account/settings -> Jelentkezzen ki az összes többi munkamenetből), és kérje meg hálózati rendszergazdáját, hogy vonja vissza és adja ki újra a vállalati VPN-kliens tanúsítványát.

Megelőzés: Hogyan lehet böngészőjét és fiókjait ellenállóvá tenni az Infostealers ellen¶

Ha a rendszere tiszta, és a fiókjai helyreálltak, hajtsa végre ezt az öt védelmet, hogy egy infolopó soha többé ne tudja eltéríteni digitális életét:

• SOHA ne tároljon jelszavakat a webböngésző beépített jelszókezelőjében (Chrome / Edge / Brave / Firefox Automatikus kitöltés) hardver/főkulcs nélkül: A Földön minden árucikk-lopó a Chrome-ot célozza meg. Login Data Először SQLite tábla. Kapcsolja be a KI „Jelszavak mentésének felajánlása” beállítást chrome://password-manager/settings és tárolja jelszavait egy dedikált, nulla tudású jelszókezelőben (1Password, Bitwarden, Proton Pass vagy KeePassXC), amely Azonnali automatikus zárolásra van beállítva, ha a rendszer zárol, vagy 5 perc tétlenség után.
• Engedélyezze az „Eszközhöz kötött munkamenet hitelesítő adatait (DBSC)” és az „Alkalmazáshoz kötött titkosítást” a Chrome 127+-ban: Győződjön meg arról, hogy a Google Chrome vagy az Edge frissítve van a legújabb verzióra, és telepítve van az alapértelmezett rendszerkönyvtárban (C:\Program Files\Google\Chrome\Application) tehát a GoogleChromeElevationService Eszközhöz kötött munkamenet hitelesítő adatain (DBSC) keresztül tudja kötni a cookie-titkosítást a rendszerjogosultsági szintekhez és a TPM hardverkulcsokhoz.
• A Windows Run Box letiltása (Win + R) vagy mshta.exe a "ClickFix" hamis CAPTCHA támadások blokkolása: Soha ne nyomja meg a Win + R -> Ctrl + V -> Enter amikor egy webhely CAPTCHA, hamis Cloudflare képernyő vagy "Mikrofon javítása/Betűtípus javítása" előugró ablak arra kéri, hogy illesszen be egy parancsot a Futtatás párbeszédpanelbe vagy a Terminálba, a Földön egyetlen legitim webhely sem ellenőrzi az emberiséget oly módon, hogy arra kéri, hogy illesszen be kódot Win + R vagy macOS terminál.
• Használjon hardveres biztonsági hardverkulcsokat (YubiKey) vagy jelkulcsokat + érzékeny műveletekhez újbóli hitelesítés szükséges: Míg az ellopott munkamenet-cookie-k megkerülik a kezdeti bejelentkezési utasításokat, a főbb platformok (Google, GitHub, Cloudflare, AWS, Coinbase) kikényszerítik a Step-Up Mode (FIGYELÉS KÉSZÍTÉSE) A YubiKey koppintás vagy a Passkey biometrikus ellenőrzése, mielőtt bárki, aki rendelkezik munkamenet-cookie-val, módosítsa jelszavát, exportálja az adatokat, vagy hozzáadjon egy visszavonási címet.
• Ellenőrizze, hogy e-mailje vagy lopási naplója megjelent-e a Darknet Monitoring Adatbázisokban: Látogassa meg a haveibeenpwned.com (amely immár több millió lopási napló áldozatának e-mail címét és feltört domainjét indexeli), és ingyenes darknet-megsértési értesítéseket tesz lehetővé e-mail címei számára.
• A nem megbízható letöltések, játékmódosítások és harmadik féltől származó szkriptek elkülönítése virtuális gépen vagy Windows Sandboxon belül: Soha ne futtasson ellenőrizetlenül .exe, .msi, .dmg, .bat, vagy Python pip / Csomópont npm telepítés utáni szkriptek közvetlenül a gazdagép operációs rendszeren, amely tartalmazza a hitelesített webböngésző-munkameneteket és a pénzügyi bejelentkezéseket. Engedélyezze a Windows Sandbox szolgáltatást (amely a Windows 10/11 Pro és Enterprise rendszerbe beépül a Windows-szolgáltatások be- és kikapcsolása > Windows Sandbox ponton keresztül), vagy használjon elszigetelt virtuális gépet nulla mentett böngésző cookie-val a harmadik féltől származó segédprogramok tesztelésekor.

Gyakran ismételt kérdések¶

Kapcsolódó útmutatók¶

• Rosszindulatú programok, zsarolóprogramok és spyware fertőzések
• MFA adathalászat és ellenséges ellenfél (AiTM) megkerülése
• MFA zárolás: hogyan lehet visszaállítani a zárolt fiókokat
• E-mail fiók feltörve, továbbítási szabályok és helyreállítás
• A kriptovaluta pénztárca kiürítése és a magfrakció kompromisszuma
• Jelszókezelő zárolás és vészhelyzeti trezor helyreállítás
• Segélyhívó számok telefonkönyv

A források ellenőrizve¶

• Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) és FBI (Egyesült Államok): Közös kiberbiztonsági tanácsok az Infostealer rosszindulatú programokkal (LummaC2, RedLine, Rhadamanthys) és a Token/Session Theft enyhítésével (CSAE24 / MITER ATT&CK T1539:450alok Webs00:150al) Webes munkamenet Cookie).
• National Institute of Standards and Technology (NIST) (Egyesült Államok): NIST SP 800-63B: Digitális identitás irányelvei: Munkamenetkezelés, újrahitelesítés és tokenkötés.
• World Wide Web Consortium (W3C) és Google Chromium biztonsági architektúra: Eszközhöz kötött munkamenet hitelesítő adatok (DBSC) specifikáció és Chrome alkalmazáshoz kötött titkosítás (v20 DPAPI Elevation) Műszaki dokumentáció.
• National Cyber ​​Security Center (NCSC) (Egyesült Királyság): A rosszindulatú programok, az információlopók és a munkamenet-eltérítés visszaszorítása vállalati és fogyasztói környezetben.
• Open Worldwide Application Security Project (OWASP): Session Management Cheat Sheet és OAuth 2.0 Token Revocation (RFC 7009) szabványok.