Sesijas marķiera nolaupīšana, Infostealer ļaunprātīga programmatūra un globāla sesijas atsaukšana¶

Atklājot, ka uzbrucējs tikko publicēja kriptovalūtas izkrāpšanu no jūsu YouTube, Instagram, Discord vai X konta, izveidoja pārsūtīšanas noteikumus jūsu Gmail vai Microsoft 365 iesūtnē vai piekļuva jūsu uzņēmuma mākoņkonsolei nekad neaktivizējot 2FA kodu tālrunī vai e-pasta brīdinājumu "New Login", ir nepārprotams Cookckinges parakstsS. (Pass-the-Cookie), ko izraisa Infostealer ļaunprātīga programmatūra. Kad piesakāties vietnē un atzīmējat "Saglabāt pierakstīšanos", serveris izdod šifrētu HTTP sesijas sīkfailu vai OAuth nesēja pilnvaru (piemēram, Google SID / SAPISID, Microsoft ESTSAUTHPERSISTENTvai Discord's Authorization marķieris), kas tiek saglabāts jūsu tīmekļa pārlūkprogrammas lokālajā SQLite datubāzē.

Preču informācijas zagļu ļaunprātīgas programmatūras ģimenes, tostarp Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys un Atomic macOS Stealer (AMOS), negaidiet savā datorā kā tradicionālie vīrusi. Bieži vien maskēts kā viltots spēles modifikators, uzlauztas programmatūras instalēšanas programma, viltota PowerShell CAPTCHA uzvedne “ClickFix” vai sponsoru sadarbības PDF fails, informācijas zaglis tiek izpildīts mazāk nekā 4 sekundēs, atšifrējot jūsu Chrome, Edge, Brave vai Firefox. Cookies un Login Data datubāzes atmiņā, saspiež tos kopā ar jūsu darbvirsmas kriptovalūtas maka failiem, augšupielādē arhīvu Telegram vai C2 serverī un izdzēš sevi. Kad uzbrucējs importē jūsu nozagtās sesijas sīkfailus pārlūkprogrammā, kas novērš noteikšanu (Multilogin, Dolphin{anty}, vai Gologin), tīmekļa serveris uzskata, ka uzbrucējs ir jūsu jau autentificētais dators, pilnībā apejot gan jūsu paroli, gan divu faktoru autentifikāciju.

Dariet to tagad¶

1. BEIDZIET mainīt paroles inficētajā datorā, nekavējoties atvienojiet šo datoru vai Mac no Wi-Fi un atvienojiet tā Ethernet kabeli. Šī ir pirmā kļūda, ko pieļauj upuri: viņi pamana, ka viņu Discord, Steam vai Gmail ir nolaupīts, apsēžas pie tā paša inficētā galddatora un pārlūkā Chrome ieraksta pavisam jaunas paroles. Ja šajā datorā joprojām ir aktīvs infostealer noturības ielādētājs vai ieplānotais uzdevums, tas nekavējoties tver jūsu jaunās paroles un svaigos sesijas sīkfailus un nosūtīs tos atpakaļ uzbrucējam. Veiciet 100 procentus paroles maiņas un sesijas atsaukšanas no tīra viedtālruņa (izmantojot mobilos datus vai tīru Wi-Fi) vai atsevišķu, neskartu klēpjdatoru.
2. Saprotiet, ka tikai paroles maiņa NE vienmēr padara nederīgus nozagtos sesijas sīkfailus vai OAuth atsvaidzināšanas pilnvaras, jums ir skaidri jānoklikšķina uz "Izrakstīties no visām sesijām" UN jāatsauc trešās puses OAuth lietotnes. Vairākās platformās (un Google nedokumentētās platformās). MultiLogin / issueToken OAuth galapunktus vai ilgstošas sesijas pilnvaras), vienkārši mainot paroli vai pagriežot 2FA, esošie sekundārie sesijas marķieri vai OAuth darbvirsmas pilnvaras var palikt dzīvas, ja vien neizpildīsit platformai raksturīgās Globālās sesijas un pilnvaru atsaukšanas darbības, kas norādītas tālāk esošajā tabulā.
3. Ja inficētajā datorā ir instalēts programmatūras kriptovalūtas maka paplašinājums (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum), izmantojiet tīru tālruni tūlīt, lai evakuētu savus līdzekļus uz pilnīgi jaunu aparatūras maka sākuma frāzi. Infostealer žurnāli automātiski ievāc šifrētos failus.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMask) kopā ar pārlūkprogrammas saglabātajām parolēm. Pat ja uzbrucējs vēl nav pieskāries jūsu kriptovalūtai, jūsu glabātuves fails jau atrodas tumšā tīkla tirgū un gaida bezsaistes GPU uzlauzēju. Izpildi mūsu kriptovalūtas maka aizplūšana un sēklu frāzes kompromiss nekavējoties ceļvedi.
4. Aizsargājiet savus Apex identitātes kontus (primāro e-pastu, paroļu pārvaldnieku, Apple/Google kontu un uzņēmuma SSO) pirmajās 10 minūtēs. Savā tīrajā viedtālrunī atveriet savu primāro Google/Gmail (myaccount.google.com/device-activity) un Microsoft (mysignins.microsoft.com) vispirms konti. Izrakstieties no visām darbvirsmas sesijām, pagrieziet galveno paroli, atzīmējiet Iestatījumi > Pārsūtīšana un POP/IMAP un Filtri/Noteikumi, lai dzēstu visus slēptos e-pasta pārsūtīšanas noteikumus, ko uzbrucējs izveidojis, lai paslēptu paroles atiestatīšanas e-pastus no citiem pakalpojumiem, un pārbaudītu reģistrētās piekļuves atslēgas un autentifikatora ierīces.
5. Pārbaudiet savu Windows reģistru Run atslēgas, uzdevumu plānotājs un PowerShell vēsture, ja nesen palaidāt viltus CAPTCHA komandu "ClickFix" (Win + R -> Ctrl + V). Viens no mūsdienās visstraujāk augošajiem informācijas zagšanas vektoriem ir viltus Cloudflare vai Google CAPTCHA uznirstošais logs tīmekļa lapā, kas liek jums "Nospiediet Win + R, nospiediet Ctrl + Vun nospiediet Enter lai pārbaudītu, ka esat cilvēks" (kas klusi izpilda slēpto mshta.exe vai powershell -w hidden -enc ... komanda ir kopēta starpliktuvē).
6. Saglabājiet perspektīvu un aizsargājiet fizisko drošību, ja pārkāpums ir saistīts ar korporatīvo infrastruktūru vai izspiešanu. Infostealer žurnāli bieži aktivizē automatizētus izpirkuma maksu vai seksuālu izspiešanas e-pasta ziņojumus, kuros tiek citēta jūsu nozagtā parole. Nekad nemaksājiet izspiedējiem; skatiet mūsu sekstence un tiešsaistes šantāža ceļvedi un, ja kādreiz saskaraties ar fiziskiem draudiem, zvaniet uz vietējo neatliekamās palīdzības numuru (911 ASV un Kanādā, 112 visā Eiropas Savienībā, 999 Apvienotajā Karalistē vai skatiet mūsu neatliekamās palīdzības numuri direktorijs).

Infostealer un sesijas sīkfailu nolaupīšanas incidentu atbildes lēmumu koks¶

flowchart TD
    Root["Aizdomas par sesijas sīkfailu nolaupīšanu vai informācijas zagšanas ļaunprātīgu programmatūru"] --> IsolatePC["1. DARBĪBA. Nekavējoties atvienojiet inficēto datoru/mac datoru no Wi-Fi un Ethernet (NEMAINIET paroles inficētajā datorā)"]

    IsolatePC --> CryptoCheck{"Vai šajā datorā bija kādi kriptogrāfijas maka paplašinājumi (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"Jā"| EvacCrypto["Nekavējoties izmantojiet tīru tālruņa/aparatūras maku, lai notīrītu visus kriptovalūtus līdz pilnīgi jaunai sākuma frāzei"]
    CryptoCheck -->|"Nē"| ApexLock["2. DARBĪBA: tīrā viedtālrunī vispirms bloķējiet primāro e-pastu (Gmail, Outlook, Proton)."]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["3. DARBĪBA: izpildiet globālo sesiju + OAuth pilnvaru + ieejas atslēgas atsaukšanu visos kritiskajos kontos (skatiet tālāk norādīto platformas matricu)"]

    GlobalRevoke --> ExportList["4. DARBĪBA. Bezsaistē inficētā datorā eksportējiet visu saglabāto pārlūkprogrammas paroļu un sīkfailu sarakstu, lai precīzi zinātu, kuri konti tika nozagti"]

    ExportList --> CleanOS["5. DARBĪBA. Dublējiet tikai personiskos dokumentus , > veiciet tīru OS dzēšanu/pārinstalēšanu , > atkārtoti reģistrējiet piekļuves atslēgas un iespējojiet Chrome lietotņu šifrēšanu"]

Izpratne par to, kā Infostealers apiet 2FA un DPAPI / Keychain šifrēšanu¶

Kā 200 kilobaitu programma var nozagt paroles un sesijas sīkfailus, ko Google Chrome, Microsoft Edge un Brave šifrē jūsu cietajā diskā?

1. Windows DPAPI (CryptUnprotectData) un Chrome lietotņu šifrēšana (v20):
2. Operētājsistēmā Windows pārlūkprogrammas, kuru pamatā ir Chromium (Chrome, Edge, Brave, Opera, Vivaldi), saglabā jūsu saglabātās paroles. %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data un jūsu sesijas sīkfailus \Network\Cookies.
3. Šīs SQLite datu bāzes ir šifrētas ar AES-256-GCM galveno atslēgu, kas saglabāta %LOCALAPPDATA%\Google\Chrome\User Data\Local State, ko aizsargā Windows datu aizsardzības API (DPAPI), kas ir saistīta ar jūsu Windows lietotāja kontu, kurā esat pieteicies.
4. Tā kā jūs palaidāt infostealer kā pats pieteicies Windows lietotājs, jebkurš process, kas darbojas jūsu lietotāja kontā, vēsturiski var izsaukt CryptUnprotectData() lai lūgtu Windows atšifrēt atslēgu. Un, lai apietu Chrome 127+ App Bound šifrēšanu (v20 liftu serviss), modernie infozagļi iešļircina tieši bezgalvā chrome.exe atkļūdošanas process (--remote-debugging-port).
5. macOS Keychain un Atomic macOS Stealer (AMOS/PoseStealer):
6. Operētājsistēmā Apple MacOS informācijas zagļi ir slēpti kā .dmg lejupielādes (bieži vien tiek lūgts "Ar peles labo pogu noklikšķiniet -> Atvērt" vai velciet ikonu uz Termināls, lai apietu Apple Gatekeeper) tiek parādīts viltots vietējais macOS dialoglodziņš ar tekstu "Sistēmas preferences vēlas piekļūt jūsu konfidenciālajai informācijai: ievadiet savu Mac pieteikšanās paroli". Tiklīdz šajā uzvednē ierakstāt savu Mac pieteikšanās paroli, skripts tiek atbloķēts -/Library/Keychains/login.keychain-db un kopē Safari/Chrome sīkfailus, Apple Notes un iCloud marķierus.
7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
8. Drošības pētnieki atklāja, ka informācijas zagļi ne tikai zog standarta tīmekļa sīkfailus, bet arī izvelk nedokumentētus oauth_token pakalpojuma marķieri no Chrome Web Data (token_service tabula) SQLite fails. Pat pēc tam, kad upuris vienu reizi ir mainījis savu Google paroli, uzbrucēji iepriekš varēja atkārtoti atskaņot nozagto token_service OAuth pilnvara pret Google iekšējo OAuthLogin beigu punkts, lai mintu pavisam jauns derīgs SID pārlūkprogrammas sīkfaili, ja vien lietotājs nav skaidri izrakstījies no apdraudētās Chrome ierīces sesijas UN neatsaucis trešās puses/OAuth ierīces piekļuvi.

1. darbība: globālās sesijas, sīkfailu, OAuth un piekļuves atslēgu atsaukšanas matrica¶

Izmantojot tīru viedtālruni vai tīru sekundāro datoru, apstrādājiet šo tabulu no augšas uz leju. Pasūtījuma nozīme: vienmēr veiciet A darbību (izrakstieties no visām aktīvajām sesijām/ierīcēm) un B darbību (paroles maiņa) un C darbību (2FA pārbaude/Paroles/OAuth/Pārsūtīšana) kopā, ja maināt tikai savu paroli, nepārtraucot aktīvās sesijas, un uzbrucējs var palikt tiešraidē, pievienojat pārlūkprogrammu, negodīga atkopšanas metode.

2. darbība. Kā uzzināt KATRU kontu, kas tika atklāts inficētajā datorā¶

Kad esat bloķējis savus 10 svarīgākos kontus savā tīrajā tālrunī, jūs saskaraties ar biedējošu jautājumu: "Esmu izmantojis šo datoru četrus gadus. Kā es varu zināt, kuras no manām 250 vietnēm bija saglabājušas paroles vai aktīvos sīkfailus pārlūkā Chrome/Edge, kad darbojās informācijas zaglis?"

Turot inficēto datoru 100% bezsaistē (Wi-Fi IZSLĒGTS, Ethernet ir atvienots), ieslēdziet to un izņemiet precīzu ekspozīcijas inventāru pirms iekārtas tīrīšanas:

1. Eksportējiet savu pārlūkprogrammas saglabāto paroļu sarakstu (CSV):
2. Atveriet pārlūkprogrammu bezsaistē (chrome://password-manager/settings pārlūkā Chrome, edge://wallet/settings Edge vai about:logins pārlūkprogrammā Firefox) un noklikšķiniet uz Eksportēt paroles, lai saglabātu Chrome Passwords.csv tīrā USB zibatmiņas diskā.
3. Kāpēc šis fails ir zelts jūsu atkopšanai: informācijas zaglis nozaga tieši šo datu bāzi. Ņemot Chrome Passwords.csv jūsu priekšā ir pieejams precīzs kontrolsaraksts ar katru vietnes lietotājvārdu un paroli, kas tagad ir uzbrucējam, lai jūs nepalaistu garām vecu nodokļu portālu, aviokompānijas jūdžu kontu vai iepirkšanās vietni ar saglabātu kredītkarti.
4. Pārbaudiet, kurās vietnēs bija aktīvi sesijas sīkfaili (chrome://settings/content/all):
5. Pārlūkā Chrome vai Edge (bezsaistē) dodieties uz chrome://settings/content/all (vai edge://settings/content/all) un kārtojiet pēc Saglabātie dati vai Visvairāk apmeklētie. Jebkura vietne, kurā pieteicāties, neievadot paroli, bija neaizsargāta pret sesijas sīkfailu zādzību, un tās sesija ir jāpārtrauc.
6. Pārbaudiet, vai jūsu savrupais paroļu pārvaldnieks (1Password, Bitwarden, KeePassXC) bija atbloķēts inficēšanās brīdī:
7. Ja jūsu 1Password, Bitwarden vai KeePassXC glabātuve bija BLOĶĒTA, kad darbojās informācijas zaglis: ļaunprogrammatūra varēja satvert tikai šifrēto vietējo krātuves kešatmiņu (data.json vai .kdbx), ko aizsargā PBKDF2-SHA256 / Argon2id + jūsu galvenā parole (un 34 rakstzīmju slepenā atslēga 1 Password). Ja jūsu galvenā parole ir spēcīga, glabātuves saturs joprojām ir drošībā, taču piesardzības nolūkos galvenā parole joprojām ir jāmaina.
8. Ja jūsu paroļu pārvaldnieka pārlūkprogrammas paplašinājums tika ATBLOĶĒTS atmiņā, kad darbojās ļaunprātīga programmatūra (vai ja saglabājāt savu Paroles pārvaldnieka galveno paroli Chrome iebūvētajā automātiskajā aizpildīšanā). Pieņemsim, ka informācijas zaglis ir izmetis jūsu glabātuvi vai tvēris jūsu galveno paroli, un pagrieziet visus svarīgos akreditācijas datus savā glabātavā.

3. darbība. Pirms operētājsistēmas dzēšanas meklējiet un izskaužiet Infostealer noturību¶

Pirms personīgo dokumentu dublēšanas un tīras operētājsistēmas atkārtotas instalēšanas varat pārbaudīt, kā informācijas zaglis iekļuva jūsu sistēmā un vai tas nav izlaidis pastāvīgu sekundāro ielādētāju (piemēram, ieplānoto uzdevumu, reģistru Run atslēga, startēšana .lnk īsceļu vai ļaunprātīgu Chrome paplašinājumu):

1. Palaidiet šo bezsaistes PowerShell noturības auditu (Windows)¶

Bezsaistes datorā atveriet programmu PowerShell (administrators) un veiciet šīs četras tikai lasāmas kriminālistikas pārbaudes:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Kāpēc pēc Infostealer ir ieteicama tīra OS atkārtota instalēšana (izmantojot USB datu nesēju).¶

Palaižot Microsoft Defender bezsaistes skenēšanu un Malwarebytes pēc Defender izņēmumu dzēšanas, tiek noņemti zināmie noturības ielādēji, preču informācijas zagļi bieži apvieno sekundāro RAT (attālās piekļuves Trojas zirgu), SystemBC SOCKS5 starpniekserveri vai klipera ļaunprātīgu programmatūru (kas klusi pārrauga jūsu Windows klipera ļaunprogrammatūru** un kopiju). maka adrese ar hakera adresi). - Kad esat nokopējis savus personīgos dokumentus, fotoattēlus un Chrome Passwords.csv Izslēdzot bezsaistes datoru, veiciet tīru Windows 11 USB pārinstalēšanu (vai macOS dzēst visu saturu un iestatījumus), ievērojot mūsu ļaunprātīgas programmatūras, izspiedējprogrammatūras un spiegprogrammatūras inficēšanās ceļvedis.

3. MacOS un Linux sistēmu pārbaude Infostealer artefaktiem (Atomic macOS Stealer / AMOS, Poseidonun ļaunprātīgas pārlūkprogrammas paplašinājumi)¶

Ja jūsu inficētā iekārta ir Apple MacBook/iMac vai Linux izstrādātāja darbstacija, nevis Windows dators, veiciet šīs bezsaistes termināļa pārbaudes, lai noteiktu un izskaustu noturību:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace un AWS IAM)¶

Ja dators, ko inficējis informācijas zaglis, piederēja programmatūras inženierim, DevOps administratoram vai uzņēmuma darbiniekam, kuram bija aktīvas sesijas Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS vai Cloudflare, vietējās ierīces tīrīšana ir tikai puse no panākumiem. Nekavējoties izpildiet šos mākoņa direktoriju atsaukumus:

• Microsoft Entra ID (Revoke-MgUserSignInSession): noklikšķinot uz "Izrakstīties" vienā pārlūkprogrammā, ne vienmēr tiek atsaukti primārie atsvaidzināšanas marķieri (PRT) vai Azure CLI (az login / .azure/msal_token_cache.bin) marķieri, kas kopēti no diska. Jādarbojas Entra administratoram Revoke-MgUserSignInSession -UserId user@company.com programmā Microsoft Graph PowerShell, lai atiestatītu lietotāja datus signInSessionsValidFromDateTime atribūtu un padarītu nederīgus visus atsvaidzināšanas marķierus visos galapunktos vienlaicīgi.
• AWS CLI un izstrādātāja pilnvaru rotācija (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): preču informācijas zagļi nepārprotami skenē katra lietotāja mājas direktoriju .aws/credentials, .ssh/id_ed25519, .gitconfig, .envun Docker/Kubernetes konfigurācijas faili. Nekavējoties deaktivizējiet un pagrieziet visas AWS IAM piekļuves atslēgas (AKIA...) AWS konsolē atsaukt GitHub personiskās piekļuves pilnvaras (ghp_...) un izdzēsiet atklātās SSH publiskās atslēgas no ražošanas serveriem (-/.ssh/authorized_keys).
• Darbvirsmas ziņojumapmaiņa un VPN klienta marķiera tīrīšana (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): ne tikai tīmekļa pārlūkprogrammas, bet arī informācijas zagšanas moduļi īpaši kopē %APPDATA%\Telegram Desktop\tdata direktoriju (kas ļauj uzbrucējam klonēt visu jūsu Telegram kontu savā datorā bez SMS koda), %APPDATA%\Slack\storageun saglabāts OpenVPN (.ovpn) / WireGuard (.conf) korporatīvie VPN profili. Tālrunī atveriet Telegram (Iestatījumi> Ierīces -> Pārtraukt visas citas sesijas), izrakstieties no visām Slack darbvietām (slack.com/account/settings -> Izrakstieties no visām pārējām sesijām) un lūdziet tīkla administratoram atsaukt un atkārtoti izsniegt jūsu uzņēmuma VPN klienta sertifikātu.

Profilakse: kā padarīt jūsu pārlūkprogrammu un kontus izturīgus pret Infostealers¶

Kad jūsu sistēma ir tīra un jūsu konti ir atkopti, ieviesiet šīs piecas aizsardzības metodes, lai informācijas zaglis vairs nekad nevarētu nolaupīt jūsu digitālo dzīvi:

• NEKAD nesaglabājiet paroles tīmekļa pārlūkprogrammas iebūvētajā paroļu pārvaldniekā (Chrome/Edge/Brave/Firefox Automātiskā aizpilde) bez aparatūras/galvenās atslēgas: katrs Zemes preču informācijas zaglis ir paredzēts pārlūkam Chrome. Login Data Vispirms SQLite tabula. Ieslēdziet iestatījumu IZSLĒGTS "Piedāvāt saglabāt paroles" chrome://password-manager/settings un glabājiet savas paroles speciālā paroļu pārvaldniekā bez zināšanām (1Password, Bitwarden, Proton Pass vai KeePassXC), kas konfigurēts Automātiskajai bloķēšanai tūlīt pēc sistēmas bloķēšanas vai pēc 5 minūtēm dīkstāves.
• Iespējojiet "Ierīces sesijas akreditācijas datus (DBSC)" un "Lietotnes šifrēšanu" pārlūkprogrammā Chrome 127+: pārliecinieties, vai pārlūks Google Chrome vai Edge ir atjaunināts uz jaunāko versiju un instalēts noklusējuma sistēmas direktorijā (C:\Program Files\Google\Chrome\Application) tātad GoogleChromeElevationService var saistīt sīkfailu šifrēšanu ar sistēmas privilēģiju līmeņiem un TPM aparatūras atslēgām, izmantojot Device-Bound Session Credentials (DBSC).
• Atspējojiet Windows palaišanas lodziņu (Win + R) vai mshta.exe lai bloķētu "ClickFix" viltus CAPTCHA uzbrukumus: nekad nespiediet Win + R -> Ctrl + V -> Enter ja vietnes CAPTCHA, viltus Cloudflare ekrāns vai uznirstošais logs “Labot mikrofonu/Labot fontu” tiek lūgts ielīmēt komandu palaišanas dialoglodziņā vai terminālī, neviena likumīga vietne uz Zemes nekad nepārbauda cilvēci, aicinot ielīmēt kodu Win + R vai macOS terminālis.
• Izmantojiet aparatūras drošības atslēgas (YubiKey) vai ieejas atslēgas + pieprasīt atkārtotu autentifikāciju sensitīvām darbībām: kamēr nozagtie sesijas sīkfaili apiet sākotnējās pieteikšanās uzvednes, galvenās platformas (Google, GitHub, Cloudflare, AWS, Coinbase) ievieš fizisku FIStep-Up režīma prasību**. YubiKey pieskāriena vai piekļuves atslēgas biometriskā pārbaude, pirms atļaujat ikvienam, kam ir sesijas sīkfails, mainīt jūsu paroli, eksportēt datus vai pievienot izņemšanas adresi.
• Pārbaudiet, vai jūsu e-pasts vai zagšanas žurnāls ir parādījies Darknet uzraudzības datu bāzēs: Apmeklējiet haveibeenpwned.com (kas tagad indeksē miljoniem zagļu žurnālu upuru e-pasta adrešu un uzlauztu domēnu) un iespējo bezmaksas paziņojumus par tumšā tīkla pārkāpumiem jūsu e-pasta adresēm.
• Izolējiet neuzticamas lejupielādes, spēļu modifikācijas un trešo pušu skriptus virtuālajā mašīnā vai Windows smilškastē: nekad nepalaidiet nepārbaudītu .exe, .msi, .dmg, .batvai Python pip / Mezgls npm pēcinstalēšanas skripti tieši resursdatora operētājsistēmā, kurā ir jūsu autentificētās tīmekļa pārlūkprogrammas sesijas un finanšu pieteikšanās. Iespējojiet Windows Sandbox (iebūvēta operētājsistēmās Windows 10/11 Pro un Enterprise, izmantojot opciju Ieslēdziet vai izslēdziet Windows funkcijas > Windows Sandbox) vai izmantojiet izolētu virtuālo mašīnu, kurā nav saglabāti pārlūkprogrammas sīkfaili, testējot trešās puses utilītas.

Bieži uzdotie jautājumi¶

Saistītie ceļveži¶

• Ļaunprātīgas programmatūras, izspiedējprogrammatūras un spiegprogrammatūras infekcija
• MFA pikšķerēšana un pretinieka vidū (AiTM) apiešana
• MFA bloķēšana: kā atgūt bloķētos kontus
• Uzlauzts e-pasta konts, pārsūtīšanas noteikumi un atkopšana
• Kriptovalūtas maka aizplūšana un sēklu frāzes kompromiss
• Paroļu pārvaldnieka bloķēšana un ārkārtas glabātuves atkopšana
• Avārijas numuru katalogs

Pārbaudīti avoti¶

• Kiberdrošības un infrastruktūras drošības aģentūra (CISA) un FIB (Amerikas Savienotās Valstis): Kopīgie kiberdrošības padomi par Infostealer ļaunprātīgu programmatūru (LummaC2, RedLine, Rhadamanthys) un marķiera/sesijas zādzības mazināšanu (CSAE24 / MITER ATT&CK T1539:5alok Web S0:15aloks. Web sesijas sīkfails).
• Nacionālais standartu un tehnoloģiju institūts (NIST) (Amerikas Savienotās Valstis): NIST SP 800-63B: Digitālās identitātes vadlīnijas: sesiju pārvaldība, atkārtota autentifikācija un marķieru saistīšana.
• World Wide Web Consortium (W3C) un Google Chromium drošības arhitektūra: Ierīcei piesaistīto sesijas akreditācijas datu (DBSC) specifikācija un Chrome lietotnei piesaistīta šifrēšana (v20 DPAPI pacēluma) tehniskā dokumentācija.
• Nacionālais kiberdrošības centrs (NCSC) (Apvienotā Karaliste): Ļaunprātīgas programmatūras, informācijas zagšanas un sesiju nolaupīšanas mazināšana uzņēmumu un patērētāju vidē.
• Atvērts vispasaules lietojumprogrammu drošības projekts (OWASP): sesiju pārvaldības apkrāptu lapa un OAuth 2.0 pilnvaru atsaukšanas (RFC 7009) standarti.