Seanso prieigos rakto užgrobimas, Infostealer kenkėjiška programa ir visuotinis seanso atšaukimas¶

Sužinojęs, kad užpuolikas ką tik paskelbė kriptovaliutų sukčiavimą iš jūsų „YouTube“, „Instagram“, „Discord“ ar X paskyros, sukūrė persiuntimo taisykles jūsų „Gmail“ arba „Microsoft 365“ gautuosiuose arba pasiekė jūsų įmonės debesies pultą niekada nesuaktyvindamas 2FA kodo jūsų telefone arba „Naujo prisijungimo“ el. įspėjimo yra neabejotinas „Hiojacking“ parašasS. (Pass-the-Cookie) sukėlė Infostealer kenkėjiška programa. Kai prisijungiate prie svetainės ir pažymėsite "Laikykite mane prisijungusį", serveris išduoda užšifruotą HTTP seanso slapuką arba OAuth nešiklio prieigos raktą (pvz., Google SID / SAPISID, Microsoft ESTSAUTHPERSISTENT, arba Discord's Authorization prieigos raktas), saugomas jūsų žiniatinklio naršyklės vietinėje SQLite duomenų bazėje.

Prekių informacijos vagysčių kenkėjiškų programų šeimos, įskaitant Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys ir Atomic macOS Stealer (AMOS), nelaukite savo kompiuteryje kaip tradiciniai virusai. Dažnai užmaskuotas kaip netikras žaidimo modifikavimas, nulaužta programinės įrangos diegimo programa, netikras "ClickFix" PowerShell CAPTCHA raginimas arba rėmėjo bendradarbiavimo PDF, informacijos vagystė paleidžiama per mažiau nei 4 sekundes, iššifruoja jūsų Chrome, Edge, Brave arba Firefox. Cookies ir Login Data duomenų bazes atmintyje, suglaudina jas su darbalaukio kriptovaliutų piniginės failais, įkelia archyvą į Telegram arba C2 serverį ir ištrina save. Kai užpuolikas importuoja pavogtus seanso slapukus į neaptikimo naršyklę (Multilogin, Dolphin{anty}, arba Gologin), žiniatinklio serveris mano, kad užpuolikas yra jūsų jau autentifikuotas kompiuteris, visiškai apeinant jūsų slaptažodį ir dviejų veiksnių autentifikavimą.

Padarykite tai dabar¶

1. NEKEISITE slaptažodžių užkrėstame kompiuteryje, nedelsdami atjunkite tą asmeninį arba „Mac“ kompiuterį nuo „Wi-Fi“ ir atjunkite eterneto kabelį. Tai yra pirmoji klaida, kurią daro aukos: jie pastebi, kad jų „Discord“, „Steam“ arba „Gmail“ buvo užgrobti, atsisėda prie to paties užkrėsto stalinio kompiuterio ir įveda naujus slaptažodžius į „Chrome“. Jei tame kompiuteryje vis dar aktyvi infostealer nuolatinio įkėlimo programa arba suplanuota užduotis, ji nedelsdama užfiksuos naujus slaptažodžius ir naujus seanso slapukus ir išsiųs juos atgal užpuolikui. Atlikite 100 procentų slaptažodžio keitimo ir seansų atšaukimo naudodami švarų išmanųjį telefoną (naudojant mobiliojo ryšio duomenis arba švarų „Wi-Fi“) arba atskirą, nepaliestą nešiojamąjį kompiuterį.
2. Supraskite, kad vien tik slaptažodžio pakeitimas NE visada padaro negaliojančiais pavogtų seansų slapukų arba OAuth atnaujinimo prieigos raktų, PRIVALOTE aiškiai spustelėti „Atsijungti iš visų seansų“ IR atšaukti trečiųjų šalių „OAuth“ programas. Keliose platformose (ir „Google“ nepatvirtintose dokumentuose) MultiLogin / issueToken „OAuth“ galutiniai taškai arba ilgalaikiai seanso prieigos raktai), tiesiog pakeitus slaptažodį arba pakeitus 2FA, esami antriniai seanso prieigos raktai arba „OAuth“ darbalaukio prieigos raktai gali likti gyvi, nebent atliksite konkrečios platformos Visuotinio seanso ir prieigos rakto panaikinimo veiksmus toliau pateiktoje lentelėje.
3. Jei užkrėstame kompiuteryje įdiegtas programinės įrangos kriptovaliutos piniginės plėtinys („MetaMask“, „Phantom“, „Rabby“, „Trust Wallet“, „Coinbase Wallet“, „Exodus“, „Electrum“), dabar naudokite švarų telefoną, kad lėšos būtų įtrauktos į visiškai naują aparatinės įrangos piniginės pradinę frazę. „Infostealer“ žurnalai automatiškai surenka šifruotus failus.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn „MetaMask“) kartu su naršyklės išsaugotais slaptažodžiais. Net jei užpuolikas dar nepalietė jūsų kriptovaliutos, jūsų saugyklos failas jau yra „darknet“ rinkoje ir laukia neprisijungusio GPU krekerio. Vykdykite mūsų kriptovaliutų piniginės nutekėjimas ir pradinės frazės kompromisas vadovas nedelsiant.
4. Apsaugokite „Apex Identity“ paskyras (pagrindinį el. pašto adresą, slaptažodžių tvarkyklę, „Apple“ / „Google“ paskyrą ir įmonės SSO) per pirmąsias 10 minučių. Švariame išmaniajame telefone atidarykite pagrindinę Google / Gmail (myaccount.google.com/device-activity) ir Microsoft (mysignins.microsoft.com) pirmiausia sąskaitos. Atsijunkite nuo visų darbalaukio seansų, pasukite pagrindinį slaptažodį, pažymėkite Nustatymai > Persiuntimas ir POP/IMAP ir Filtrai / taisyklės, kad ištrintumėte visas paslėptas el. laiškų persiuntimo taisykles, kurias sukūrė užpuolikas, kad paslėptų slaptažodžio nustatymo iš naujo el. laiškus iš kitų paslaugų, ir patikrinkite registruotus slaptažodžius ir autentifikavimo įrenginius.
5. Tikrinti „Windows“ registrą Run klavišus, užduočių planuoklį ir „PowerShell“ istoriją, jei neseniai vykdėte netikrą CAPTCHA komandą „ClickFix“ (Win + R -> Ctrl + V). Vienas iš sparčiausiai populiarėjančių informacijos vagysčių vektorių šiandien yra netikras Cloudflare arba Google CAPTCHA iššokantis langas tinklalapyje, kuriame nurodoma "Paspauskite Win + R, paspauskite Ctrl + V, ir paspauskite Enter patvirtinti, kad esate žmogus" (kuris tyliai įvykdo paslėptą mshta.exe arba powershell -w hidden -enc ... komanda nukopijuota į mainų sritį).
6. Išsaugokite perspektyvą ir apsaugokite fizinį saugumą, jei pažeidimas susijęs su įmonės infrastruktūra arba turto prievartavimu. „Infostealer“ žurnalai dažnai suaktyvina automatinius išpirkos ar sekstoriaus el. laiškus, kuriuose nurodomas pavogtas slaptažodis. Niekada nemokėkite turto prievartautojams; pamatyti mūsų sekreciją ir internetinį šantažą vadovą ir, jei kada nors susidursite su fizine grėsme, skambinkite vietiniu pagalbos numeriu (911 Jungtinėse Amerikos Valstijose ir Kanadoje, 112 visoje Europos Sąjungoje, 999 Jungtinėje Karalystėje arba žr. pagalbos numeriai katalogas).

Infostealer ir seanso slapukų užgrobimo incidento atsako sprendimų medis¶

flowchart TD
    Root["Įtariamas seanso slapukų užgrobimas arba „Infostealer“ kenkėjiškų programų užkrėtimas"] --> IsolatePC["1 ŽINGSNIS: Nedelsdami atjunkite užkrėstą kompiuterį / „Mac“ nuo „Wi-Fi“ ir „Ethernet“ (NEKEISKITE slaptažodžių užkrėstame kompiuteryje)"]

    IsolatePC --> CryptoCheck{"Ar tame kompiuteryje buvo kriptovaliutų piniginės plėtinių (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"Taip"| EvacCrypto["Nedelsdami naudokite švarų telefoną / aparatinės įrangos piniginę, kad išvalytumėte visą kriptografinį turtą į visiškai naują pradinę frazę"]
    CryptoCheck -->|"Nr"| ApexLock["2 ŽINGSNIS: švariame išmaniajame telefone pirmiausia užrakinkite pagrindinį el. paštą („Gmail“, „Outlook“, „Proton“)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["3 ŽINGSNIS: Vykdykite visuotinę sesiją + OAuth prieigos raktą + slaptažodžio atšaukimą visose svarbiose paskyrose (žr. toliau pateiktą platformos matricą)"]

    GlobalRevoke --> ExportList["4 ŽINGSNIS: Neprisijungus užkrėstame kompiuteryje eksportuokite visų išsaugotų naršyklės slaptažodžių ir slapukų sąrašą, kad tiksliai žinotumėte, kurios paskyros buvo pavogtos"]

    ExportList --> CleanOS["5 ŢINGSNIS: Kurkite tik asmeninių dokumentų atsargines kopijas -> Atlikite švarų OS nuvalymą / iš naujo įdiegimą -> Iš naujo užregistruokite slaptažodžius ir įgalinkite „Chrome App-Bound“ šifravimą"]

Supratimas, kaip Infostealers apeina 2FA ir DPAPI / Keychain šifravimą¶

Kaip 200 kilobaitų programa gali pavogti slaptažodžius ir seanso slapukus, kuriuos „Google Chrome“, „Microsoft Edge“ ir „Brave“ užšifruoja jūsų standžiajame diske?

1. ** Windows DPAPI (CryptUnprotectData) ir „Chrome App-Bound Encryption“ (v20)**:
2. „Windows“ sistemoje „Chromium“ pagrįstos naršyklės („Chrome“, „Edge“, „Brave“, „Opera“, „Vivaldi“) saugo išsaugotus slaptažodžius viduje %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data ir seanso slapukai viduje \Network\Cookies.
3. Šios SQLite duomenų bazės yra užšifruotos naudojant AES-256-GCM pagrindinį raktą, saugomą %LOCALAPPDATA%\Google\Chrome\User Data\Local State, kuri yra apsaugota Windows duomenų apsaugos API (DPAPI), susieta su jūsų prisijungusio Windows vartotojo paskyra.
4. Kadangi paleidote infostealer kaip savo prisijungęs „Windows“ vartotojas, bet koks jūsų vartotojo abonemente vykdomas procesas istoriškai gali CryptUnprotectData() paprašyti Windows iššifruoti raktą. Ir apeiti „Chrome 127+“ programoms susietą šifravimą (v20 elevator service), šiuolaikiniai infostealers suleidžia tiesiai į begalvį chrome.exe derinimo procesas (--remote-debugging-port) arba naudokite COM paaukštinimą, kad paprašytumėte pačios „Chrome“ pašalinti visus tiesioginius iššifruotus slapukus.
5. MacOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. „Apple macOS“ informacinių stealerių užmaskuoti kaip .dmg atsisiuntimai (dažnai prašomi "Dešiniuoju pelės mygtuku spustelėkite -> Atidaryti" arba vilkite piktogramą į Terminalas, kad apeitumėte "Apple Gatekeeper") pasirodo netikras vietinis "MacOS" dialogo langas su užrašu "System Preferences nori pasiekti jūsų konfidencialią informaciją: įveskite savo Mac prisijungimo slaptažodį". Kai tik įvedate savo „Mac“ prisijungimo slaptažodį į tą raginimą, scenarijus atrakinamas -/Library/Keychains/login.keychain-db ir kopijuoja „Safari“ / „Chrome“ slapukus, „Apple Notes“ ir „iCloud“ prieigos raktus.
7. ** Google MultiLogin / OAuthLogin Token Regeneration Exploit**:
8. Saugumo tyrinėtojai atskleidė, kad informacijos vagystės ne tik vagia standartinius žiniatinklio slapukus, bet ir išgauna nedokumentuotus oauth_token paslaugų prieigos raktai iš „Chrome“ Web Data (token_service lentelė) SQLite failas. Net po to, kai auka vieną kartą pakeitė savo „Google“ slaptažodį, užpuolikai anksčiau galėjo atkurti pavogtą informaciją token_service „OAuth“ prieigos raktas prieš „Google“ vidinį OAuthLogin galutinis taškas iki visiškai naujas galioja SID naršyklės slapukus, nebent naudotojas aiškiai atsijungė nuo pažeisto „Chrome“ įrenginio seanso IR atšaukė trečiosios šalies / „OAuth“ įrenginio prieigą.

1 veiksmas: visuotinė sesija, slapukas, „OAuth“ ir slaptažodžio atšaukimo matrica¶

Naudodami švarų išmanųjį telefoną arba švarų antrinį kompiuterį, apibrėžkite šią lentelę nuo viršaus iki apačios. Svarbu užsakymas: visada atlikite A veiksmą (atsijunkite nuo visų aktyvių seansų / įrenginių) ir B veiksmą (slaptažodžio keitimas) ir C veiksmą (2FA auditas / slaptažodžiai / OAuth / persiuntimas) kartu, jei pakeisite slaptažodį tik nenutraukdami aktyvių seansų, o užpuolikas gali likti tiesioginis prisijungęs, galite pridėti naršyklę. nesąžiningas atkūrimo metodas.

2 veiksmas: kaip sužinoti KIEKVIENĄ paskyrą, kuri buvo atskleista jūsų užkrėstame kompiuteryje¶

Užrakinus 10 svarbiausių paskyrų švariame telefone, kyla bauginantis klausimas: „Naudoju tą kompiuterį ketverius metus. Kaip sužinoti, kurios iš mano 250 svetainių išsaugojo slaptažodžius arba aktyvius slapukus „Chrome“ / „Edge“, kai paleido informacijos stealer?

Laikydami užkrėstą kompiuterį 100 procentų neprisijungusį („Wi-Fi“ IŠJUNGTAS, „Ethernet“ atjungtas), prieš valydami įrenginį įjunkite jį ir ištraukite tikslią ekspozicijos inventorių:

1. Eksportuokite savo naršyklėje išsaugotų slaptažodžių sąrašą (CSV):
2. Atidarykite naršyklę neprisijungę (chrome://password-manager/settings „Chrome“, edge://wallet/settings Edge arba about:logins „Firefox“) ir spustelėkite Eksportuoti slaptažodžius, kad išsaugotumėte Chrome Passwords.csv į švarią USB atmintinę.
3. Kodėl šis failas yra auksinis jūsų atkūrimui: informacijos vagystė pavogė būtent šią duomenų bazę. Turėdamas Chrome Passwords.csv priešais jus pateikia tikslų kiekvienos svetainės naudotojo vardo ir slaptažodžio, kurį dabar turi užpuolikas, kontrolinį sąrašą, kad nepraleistumėte seno mokesčių portalo, aviakompanijos mylių paskyros ar apsipirkimo svetainės su išsaugota kredito kortele.
4. Patikrinkite, kuriose svetainėse buvo aktyvūs seanso slapukai (chrome://settings/content/all):
5. Naudodami „Chrome“ arba „Edge“ (kai neprisijungę), eikite į chrome://settings/content/all (arba edge://settings/content/all) ir rūšiuoti pagal Saugomi duomenys arba Labiausiai lankomi. Bet kuri svetainė, kurioje likote prisijungę neįvedę slaptažodžio, buvo pažeidžiama seanso slapukų vagyste, todėl jos seansas turi būti nutrauktas.
6. Patikrinkite, ar jūsų atskira slaptažodžių tvarkyklė (1Password, Bitwarden, KeePassXC) buvo atrakinta užsikrėtimo momentu:
7. Jei jūsų 1Password, Bitwarden arba KeePassXC saugykla buvo UŽRAKINTA, kai paleido informacijos vagystę: kenkėjiška programa galėjo patraukti tik užšifruotą vietinę saugyklos talpyklą (data.json arba .kdbx), kuris yra apsaugotas PBKDF2-SHA256 / Argon2id + jūsų pagrindiniu slaptažodžiu (ir 34 simbolių slaptuoju raktu 1 slaptažodžiu). Jei jūsų pagrindinis slaptažodis yra stiprus, saugyklos turinys išlieka saugus, tačiau atsargumo sumetimais vis tiek turėtumėte pakeisti pagrindinį slaptažodį.
8. Jei slaptažodžių tvarkytuvės naršyklės plėtinys buvo ATRAKINTAS atmintyje, kai paleido kenkėjišką programą (arba jei išsaugojote pagrindinį slaptažodžių tvarkytuvės slaptažodį „Chrome“ įtaisytajame automatiniame pildyme.): Tarkime, kad informacijos vagystė išmetė saugyklą arba užfiksavo pagrindinį slaptažodį, ir pasukite visus svarbius kredencialus saugykloje.

3 veiksmas: sumedžiokite ir išnaikinkite Infostealer atkaklumą prieš nuvalydami OS¶

Prieš kurdami savo asmeninių dokumentų atsargines kopijas ir atlikdami švarų OS iš naujo įdiegimą, galite patikrinti, kaip infostealer pateko į jūsų sistemą ir ar jis nepametė nuolatinio antrinio įkėlimo programos (pvz., suplanuotos užduoties, registro). Run raktas, paleidimas .lnk spartusis klavišas arba kenkėjiškas „Chrome“ plėtinys):

1. Paleiskite šį neprisijungus pasiekiamą „PowerShell“ patvarumo auditą („Windows“)¶

Atidarykite PowerShell (administratorius) neprisijungusiame kompiuteryje ir atlikite šiuos keturis tik skaitomus teismo ekspertizes:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Kodėl po Infostealer rekomenduojamas iš naujo įdiegti švarų OS (per USB laikmeną).¶

Kai veikia Microsoft Defender neprisijungus nuskaitymas ir Malwarebytes, išvalius Defender išskyrimus, pašalinami žinomi nuolatiniai įkrovikliai, prekių informacijos vagystės dažnai susieja antrinį RAT (nuotolinės prieigos Trojos arklys), SystemBC SOCKS5 tarpinį serverį arba kirpimo programinę įrangą ir „Bitcoin“ kenkėjiškas programas** (kurios tyliai stebi „Windows“ kirpimo plokštę). piniginės adresą su įsilaužėlio adresu). - Nukopijavę asmeninius dokumentus, nuotraukas ir Chrome Passwords.csv neprisijungę prie kompiuterio, atlikite švarų Windows 11 USB pakartotinį diegimą (arba MacOS Erase All Content and Settings) vadovaudamiesi kenkėjiškų programų, išpirkos reikalaujančių programų ir šnipinėjimo programų vadovas.

3. „MacOS“ ir „Linux“ sistemų auditas, siekiant nustatyti „Infostealer“ artefaktus (Atomic macOS Stealer / AMOS, Poseidonir kenkėjiškų naršyklių plėtiniai)¶

Jei jūsų užkrėstas įrenginys yra „Apple MacBook“ / „iMac“ arba „Linux“ kūrėjo darbo stotis, o ne „Windows“ kompiuteris, atlikite šiuos neprisijungus veikiančio terminalo patikras, kad aptiktumėte ir pašalintumėte patvarumą:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace ir AWS IAM)¶

Jei informacijos vagystės užkrėstas kompiuteris priklausė programinės įrangos inžinieriui, „DevOps“ administratoriui arba įmonės darbuotojui, kuris aktyviai naudojosi Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS arba Cloudflare, vietinio įrenginio išvalymas yra tik pusė darbo. Nedelsdami atlikite šiuos debesies katalogo atšaukimus:

• Microsoft Entra ID (Revoke-MgUserSignInSession): spustelėjus „Atsijungti“ vienoje naršyklėje, ne visada atšaukiami pirminiai atnaujinimo prieigos raktai (PRT) arba Azure CLI (az login / .azure/msal_token_cache.bin) žetonai, nukopijuoti iš disko. Turi paleisti „Entra“ administratorius Revoke-MgUserSignInSession -UserId user@company.com programoje Microsoft Graph PowerShell, kad iš naujo nustatytumėte vartotojo signInSessionsValidFromDateTime atributas ir panaikinti visus Refresh Tokens visuose galutiniuose taškuose vienu metu.
• AWS CLI ir kūrėjo prieigos rakto rotacija (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): prekių informacijos vagystės aiškiai nuskaito kiekvieno vartotojo namų katalogą .aws/credentials, .ssh/id_ed25519, .gitconfig, .envir „Docker“ / „Kubernetes“ konfigūracijos failus. Nedelsdami išjunkite ir pasukite visus AWS IAM prieigos raktus (AKIA...) AWS konsolėje atšaukti GitHub asmeninės prieigos prieigos raktus (ghp_...) ir ištrinkite atvirus SSH viešuosius raktus iš gamybos serverių (-/.ssh/authorized_keys).
• Stalinio kompiuterio pranešimų siuntimas ir VPN kliento prieigos rakto išvalymas („Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): be žiniatinklio naršyklių, infostealer moduliai konkrečiai kopijuoja %APPDATA%\Telegram Desktop\tdata katalogas (kuris leidžia užpuolikui klonuoti visą jūsų „Telegram“ paskyrą į savo kompiuterį be SMS kodo), %APPDATA%\Slack\storage, ir išsaugotas OpenVPN (.ovpn) / WireGuard (.conf) įmonių VPN profiliai. Telefone atidarykite „Telegram“ (Nustatymai > Įrenginiai -> Nutraukti visas kitas sesijas), atsijunkite nuo visų „Slack“ darbo sričių (slack.com/account/settings -> Atsijunkite nuo visų kitų seansų) ir paprašykite tinklo administratoriaus atšaukti ir iš naujo išduoti įmonės VPN kliento sertifikatą.

Prevencija: kaip padaryti, kad jūsų naršyklė ir paskyros būtų atsparios Infostealers¶

Kai jūsų sistema bus švari ir paskyros bus atkurtos, įgyvendinkite šias penkias apsaugos priemones, kad informacijos vagystė daugiau niekada negalėtų užgrobti jūsų skaitmeninio gyvenimo:

• NIEKADA nesaugokite slaptažodžių savo žiniatinklio naršyklės integruotoje slaptažodžių tvarkyklėje („Chrome“ / „Edge“ / „Brave“ / „Firefox“ automatinis pildymas) be aparatinės įrangos / pagrindinio rakto: kiekvienas prekių informacijos vagystė Žemėje taikoma „Chrome“ Login Data Pirmiausia SQLite lentelė. Įjunkite parinktį IŠJUNGTA „Siūlyti išsaugoti slaptažodžius“ chrome://password-manager/settings ir saugokite slaptažodžius tam skirtoje, nulinių žinių neturinčioje slaptažodžių tvarkyklėje (1Password, Bitwarden, Proton Pass arba KeePassXC), sukonfigūruota taip, kad Automatinis užraktas iškart, kai sistema užrakinama arba po 5 minučių neveikimo laiko.
• Įgalinkite „Įrenginiu susietus seanso kredencialus (DBSC)“ ir „programos šifravimą“ 127 ir naujesnėse versijose „Chrome“: įsitikinkite, kad „Google Chrome“ arba „Edge“ atnaujinta į naujausią versiją ir įdiegta numatytame sistemos kataloge (C:\Program Files\Google\Chrome\Application) taigi GoogleChromeElevationService gali susieti slapukų šifravimą su sistemos privilegijų lygiais ir TPM aparatinės įrangos raktais per Įrenginio susietos sesijos kredencialus (DBSC).
• ** Išjunkite „Windows Run Box“ (Win + R) arba mshta.exe Norėdami užblokuoti netikras „ClickFix“ CAPTCHA atakas**: niekada nespauskite Win + R -> Ctrl + V -> Enter kai svetainės CAPTCHA, netikras Cloudflare ekranas arba iššokantis langas „Pataisyti mikrofoną / Pataisyti šriftą“ prašo įklijuoti komandą į dialogo langą Vykdyti arba terminalą, jokia teisėta svetainė Žemėje niekada nepatvirtina žmonijos, prašydama įklijuoti kodą Win + R arba „MacOS“ terminalas.
• Naudokite aparatinės įrangos saugos raktus („YubiKey“) arba prieigos raktus + reikalauti pakartotinio autentifikavimo, kad būtų atlikti jautrūs veiksmai: nors pavogti seanso slapukai apeina pradinius prisijungimo raginimus, pagrindinės platformos („Google“, „GitHub“, „Cloudflare“, AWS, „Coinbase“) vykdo fizinį FIŽT režimo reikalavimą**. „YubiKey tap“ arba „Passkey“ biometrinė patikra, prieš leisdama kiekvienam, turinčiam seanso slapuką, pakeisti slaptažodį, eksportuoti duomenis arba pridėti atsiėmimo adresą.
• Patikrinkite, ar jūsų el. pašto adresas arba stealer žurnalas pasirodė Darknet stebėjimo duomenų bazėse: Apsilankykite haveibeenpwned.com (kuri dabar indeksuoja milijonus vagių žurnalo aukų el. pašto adresų ir pažeistų domenų) ir įgalinkite nemokamus pranešimus apie „darknet“ pažeidimus jūsų el. pašto adresams.
• Atskirkite nepatikimus atsisiuntimus, žaidimų modifikacijas ir trečiųjų šalių scenarijus virtualioje mašinoje arba „Windows Sandbox“: niekada nepaleiskite nepatvirtintos .exe, .msi, .dmg, .bat, arba Python pip / Mazgas npm Scenarijus po įdiegimo tiesiogiai pagrindinėje operacinėje sistemoje, kurioje yra jūsų autentifikuotos žiniatinklio naršyklės sesijos ir finansiniai prisijungimai. Įgalinkite Windows Sandbox (įtaisytą „Windows 10/11 Pro“ ir „Enterprise“ naudodami Įjunkite arba išjunkite „Windows“ funkcijas > „Windows Sandbox“) arba naudokite atskirtą virtualią mašiną, kurioje nėra išsaugotų naršyklės slapukų, kai bandote trečiųjų šalių paslaugų programas.

Dažnai užduodami klausimai¶

Susiję vadovai¶

• Kenkėjiškų programų, išpirkos reikalaujančių programų ir šnipinėjimo programų infekcija
• MFA sukčiavimas ir priešininko viduryje (AiTM) apėjimas
• MFA blokavimas: kaip atkurti užrakintas paskyras
• El. pašto paskyra įsilaužta, persiuntimo taisyklės ir atkūrimas
• Kriptovaliutos piniginės nutekėjimas ir pradinės frazės kompromisas
• Slaptažodžių tvarkyklės užraktas ir avarinis saugyklos atkūrimas
• Pagalbos numerių katalogas

Šaltiniai patikrinti¶

• Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA) ir FTB (Jungtinės Amerikos Valstijos): Bendri kibernetinio saugumo patarimai dėl Infostealer kenkėjiškų programų (LummaC2, RedLine, Rhadamanthys) ir žetonų / seansų vagystės mažinimo (CSAE24 / MITER ATT&CK T1539: T15alok Web Ses0:150 Interneto seanso slapukas).
• Nacionalinis standartų ir technologijų institutas (NIST) (Jungtinės Amerikos Valstijos): NIST SP 800-63B: Skaitmeninės tapatybės gairės: seansų valdymas, pakartotinis autentifikavimas ir žetonų surišimas.
• Pasaulio žiniatinklio konsorciumas (W3C) ir „Google Chromium“ saugos architektūra: * Įrenginio susietų seansų kredencialų (DBSC) specifikacija ir „Chrome App-Bound“ šifruotė (v20 DPAPI aukštis) techninė dokumentacija*.
• Nacionalinis kibernetinio saugumo centras (NCSC) (Jungtinė Karalystė): * Kenkėjiškų programų, informacijos vagysčių ir seansų užgrobimo mažinimas įmonių ir vartotojų aplinkoje*.
• Atviras pasaulinis programų saugos projektas (OWASP): Seansų valdymo cheat Sheet ir OAuth 2.0 prieigos rakto panaikinimo (RFC 7009) standartai.