Сессийн токен хулгайлах, мэдээлэл хулгайлагч хортой программ хангамж, глобал сессийг хүчингүй болгох¶

Халдагчид таны YouTube, Instagram, Discord, X данснаас криптовалютны луйврыг нийтэлж, таны Gmail эсвэл Microsoft 365 ирсэн имэйл хайрцагт дамжуулах дүрэм үүсгэсэн, эсвэл таны байгууллагын үүлэн консол руу нэвтэрч таны утсан дээр 2FA код, "Шинэ нэвтрэх" цахим шуудангийн дохиололгүйгээр нэвтэрсэн болохыг олж мэдсэн нь ie Skenck To-ийн эргэлзээгүй гарын үсэг юм. (Pass-the-Cookie) Infostealer Malware-аас үүдэлтэй. Таныг вэб сайтад нэвтэрч, "Намайг нэвтэрсэн хэвээр үлдээх" гэснийг шалгахад сервер шифрлэгдсэн HTTP сесс күүкиг эсвэл OAuth зөөгч токен (Google-н гэх мэт) гаргадаг. SID / SAPISID, Microsoft-ын ESTSAUTHPERSISTENT, эсвэл Discord Authorization токен) таны вэб хөтчийн локал SQLite мэдээллийн санд хадгалагдана.

Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys, Atomic macOS Stealer (AMOS) зэрэг бараа бүтээгдэхүүний мэдээлэл хулгайлагч хортой програм хангамжийн бүлгүүд уламжлалт вирус шиг компьютер дээрээ хүлээх хэрэггүй. Хуурамч тоглоомын горим, эвдэрсэн програм хангамж суулгагч, хуурамч "ClickFix" PowerShell CAPTCHA сануулга, эсвэл ивээн тэтгэгч хамтын ажиллагааны PDF маягаар далдлагдсан мэдээлэл хулгайлагч нь 4 секундын дотор ажиллаж, таны Chrome, Edge, Brave, эсвэл Firefox-ын кодыг тайлдаг. Cookies болон Login Data санах ой дахь өгөгдлийн сангууд, тэдгээрийг ширээний криптовалютын түрийвчний файлуудтай хавсаргаж, архивыг Telegram эсвэл C2 серверт байршуулж, өөрийгөө устгана. Халдагчид таны хулгайлагдсан сессийн күүкиг илрүүлэлтийн эсрэг хөтөч рүү импортлох үед (Multilogin, Dolphin{anty}, эсвэл Gologin), вэб сервер халдагчийг таны нууц үг болон хоёр хүчин зүйлийн баталгаажуулалтыг бүрэн алгасаж, таны аль хэдийн баталгаажуулсан компьютер гэж бодож байна.

Үүнийг одоо хий¶

1. Халдвартай компьютер дээрх нууц үгээ солихоо больж, тэр компьютер эсвэл Mac-ыг Wi-Fi-аас нэн даруй салгаж, Ethernet кабелийг нь салга. Энэ бол хохирогчдын гаргадаг №1 алдаа юм: тэд Discord, Steam эсвэл Gmail-ээ хулгайлсан болохыг анзаарч, халдвар авсан ширээний компьютер дээрээ суугаад Chrome руу цоо шинэ нууц үгээ бичнэ үү. Хэрэв мэдээлэл хулгайлагчийн тууштай ачаалагч эсвэл хуваарьтай даалгавар тэр машин дээр идэвхтэй хэвээр байвал тэр даруй таны шинэ нууц үг болон шинэ сесс күүкиг олж аваад халдагчид руу шууд илгээх болно. Нууц үгээ 100 хувь өөрчлөх, хүчингүй болгох үйлдлүүдээ цэвэр ухаалаг утас (үүрэн дата эсвэл цэвэр Wi-Fi дээр) эсвэл тусдаа, хөндөгдөөгүй зөөврийн компьютерээс хийнэ үү.
2. Нууц үг солих нь хулгайлагдсан сессийн күүки эсвэл OAuth шинэчлэх токеныг хүчингүй болгохгүй гэдгийг ойлгоорой. Та "Бүх сеансаас гарах" дээр дарж, гуравдагч талын OAuth програмыг хүчингүй болгох ёстой. Хэд хэдэн платформ дээр (мөн Google-ийн баримтжуулаагүй програмууд дээр) MultiLogin / issueToken OAuth төгсгөлийн цэгүүд эсвэл урт хугацааны сессийн токенууд) зүгээр л нууц үгээ солих эсвэл 2FA-г эргүүлэх нь доорх хүснэгтэд байгаа платформд зориулсан Глобал сесс ба Токен хүчингүй болгох алхмуудыг хийхгүй л бол одоо байгаа хоёрдогч сессийн жетон эсвэл OAuth ширээний токенуудыг амьд үлдээх боломжтой.
3. Хэрэв танд халдвар авсан компьютер дээр програм хангамжийн криптовалютын түрийвчний өргөтгөл (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) суулгасан бол яг одоо цэвэр утсаа ашиглан мөнгөө цоо шинэ техник хангамжийн түрийвч рүү шилжүүлээрэй. Infostealer программ хангамжийн программ хангамжийн түрийвчний файлуудыг автоматаар цуглуулдаг (шифрлэгдсэн)Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMask-д зориулсан) хөтчийн хадгалсан нууц үгийн хажууд. Халдагчид таны криптод хараахан хүрч амжаагүй байсан ч таны vault файл аль хэдийн харанхуй сүлжээний зах зээл дээр сууж, офлайн GPU хагаруулагчийг хүлээж байна. Биднийг гүйцэтгэнэ cryptocurrency хэтэвч drain болон үрийн хэллэг буулт нэн даруй чиглүүлэх.
4. Эхний 10 минутын дотор "Apex Identity Accounts"-аа (Үндсэн Имэйл, Нууц үгийн Менежер, Apple/Google Бүртгэл болон Байгууллагын SSO) хамгаалаарай. Цэвэр ухаалаг утсан дээрээ үндсэн Google / Gmail (myaccount.google.com/device-activity) болон Microsoft (mysignins.microsoft.com) эхлээд данс. Ширээний бүх сессээс гарч, үндсэн нууц үгээ эргүүлж, Тохиргоо > Дамжуулах болон POP/IMAP болон Шүүлтүүр/Дүрэм-г шалгана уу, халдагчийн нууц үг шинэчлэх имэйлийг бусад үйлчилгээнээс нуухын тулд үүсгэсэн аливаа далд имэйл дамжуулах дүрмийг устгаж, бүртгэлтэй нэвтрэх түлхүүр болон Authenticator төхөөрөмжүүдийг шалгана уу.
5. ** Windows Бүртгэлээ шалгана уу Run Хэрэв та саяхан "ClickFix" хуурамч CAPTCHA командыг ажиллуулсан бол товчлуурууд, Task Scheduler болон PowerShell түүх (Win + R -> Ctrl + V).** Өнөөдөр хамгийн хурдацтай хөгжиж буй мэдээлэл хулгайлагч векторуудын нэг бол вэб хуудсан дээрх хуурамч Cloudflare эсвэл Google CAPTCHA цонхон цонх бөгөөд танд " дар Win + R, дарна уу Ctrl + V, мөн дарна уу Enter чамайг хүн мөн гэдгийг батлахын тулд" (энэ нь далд mshta.exe эсвэл powershell -w hidden -enc ... командыг санах ой руу хуулсан).
6. Хэрэв зөрчил нь компанийн дэд бүтэц эсвэл дээрэмдэхтэй холбоотой бол хэтийн төлөвийг хадгалж, бие махбодийн аюулгүй байдлыг хамгаална уу. Мэдээллийн хулгайчийн бүртгэл нь таны хулгайлсан нууц үгийг иш татсан автоматаар золиослох эсвэл бэлгийн дарамт шахалт үзүүлэх имэйлийг байнга өдөөдөг. Хулгайчдад хэзээ ч мөнгө төлөхгүй байх; манайхыг үзнэ үү бэлгийн дарамт, онлайн шантааж гарын авлага, хэрэв танд бие махбодын аюул тулгарвал орон нутгийн яаралтай тусламжийн дугаар руу залгах (АНУ болон Канадад 911, Европын Холбоо даяар 112, Их Британид 999 эсвэл манай яаралтай тусламжийн дугаар лавлах).

Мэдээллийн хулгайлагч ба сессийн күүки хулгайлсан тохиолдлын хариу шийдвэрийн мод¶

flowchart TD
    Root["Сеанс күүки хулгайлсан эсвэл мэдээлэл хулгайлагч хортой програмын халдвар"] --> IsolatePC["АЛХАМ 1: Халдвартай компьютер/Mac-г Wi-Fi болон Ethernet-ээс нэн даруй салга (Халдвартай компьютер дээрх нууц үгээ сольж болохгүй)"]

    IsolatePC --> CryptoCheck{"Энэ компьютер дээр Crypto Wallet өргөтгөл (MetaMask, Phantom, Exodus) байсан уу?"}
    CryptoCheck -->|"Тиймээ"| EvacCrypto["Цэвэр утас/техникийн түрийвч ашиглан бүх крипто хөрөнгийг цоо шинэ үг хэллэг болгон шүүрээрэй."]
    CryptoCheck -->|"Үгүй"| ApexLock["АЛХАМ 2: Цэвэр ухаалаг гар утсан дээр эхлээд үндсэн имэйлийг (Gmail, Outlook, Proton) түгжинэ"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["АЛХАМ 3: Глобал сесс + OAuth токен + бүх чухал дансанд нэвтрэх түлхүүрийг хүчингүй болгох (Доорх платформ матрицыг харна уу)"]

    GlobalRevoke --> ExportList["АЛХАМ 4: Халдвар авсан офлайн компьютер дээр хадгалагдсан бүх хөтчийн нууц үг, күүкиний жагсаалтыг экспорт хийж яг аль данс хулгайлагдсаныг мэдэхийн тулд"]

    ExportList --> CleanOS["АЛХАМ 5: Зөвхөн хувийн баримт бичгүүдийг нөөцлөх -> Цэвэр үйлдлийн системийг арчих/дахин суулгах -> нэвтрэх түлхүүрүүдийг дахин бүртгүүлэх, Chrome програмд холбогдсон шифрлэлтийг идэвхжүүлэх"]

Infostealers 2FA болон DPAPI / Түлхүүрийн оосор шифрлэлтийг хэрхэн тойрч гарахыг ойлгох¶

200 килобайт програм нь таны хатуу дискэн дээр Google Chrome, Microsoft Edge, Brave шифрлэдэг нууц үг болон сесс күүкиг хэрхэн хулгайлж чадах вэ?

1. Windows DPAPI (CryptUnprotectData) болон Chrome App-Bound Encryption (v20):
2. Windows дээр Chromium-д суурилсан хөтчүүд (Chrome, Edge, Brave, Opera, Vivaldi) таны хадгалсан нууц үгүүдийг дотроо хадгалдаг. %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data болон дотор нь таны сесс күүкиг \Network\Cookies.
3. Эдгээр SQLite мэдээллийн сангууд нь хадгалагдсан AES-256-GCM мастер түлхүүрээр шифрлэгдсэн байдаг %LOCALAPPDATA%\Google\Chrome\User Data\Local State, энэ нь таны нэвтэрсэн Windows хэрэглэгчийн бүртгэлтэй холбоотой Windows Data Protection API (DPAPI)-ээр хамгаалагдсан.
4. Та мэдээлэл хулгайлагчийг өөрийн нэвтэрсэн Windows хэрэглэгчийн хувьд ажиллуулсан тул таны хэрэглэгчийн бүртгэлээр ажиллаж байгаа аливаа процесс урьд өмнө нь дуудаж болно. CryptUnprotectData() Windows-оос түлхүүрийг тайлахыг хүсэх. Мөн Chrome 127+ App-Bound Encryption (v20 лифтний үйлчилгээ), орчин үеийн мэдээллийн хулгайчид толгойгүй машин руу шууд шахдаг chrome.exe дибаг хийх үйл явц (--remote-debugging-port) эсвэл COM өндөрлөгийг ашиглан Chrome-оос бүх амьд шифрлэгдсэн күүкиг хаяхыг хүс.
5. macOS түлхүүрийн оосор ба атомын macOS хулгайлагч (AMOS / PoseStealer):
6. Apple macOS дээр мэдээллийн хулгайчид дүрээ хувиргадаг .dmg Татаж авах (Apple Gatekeeper-ийг тойрч гарахын тулд "Баруун товч -> Нээх" эсвэл дүрсийг Терминал руу чирнэ үү) "Системийн тохиргоо таны нууц мэдээлэлд хандахыг хүсэж байна: Mac-д нэвтрэх нууц үгээ оруулна уу" гэсэн утгатай хуурамч эх MacOS харилцах цонх гарч ирнэ. Таныг Mac-д нэвтрэх нууц үгээ тэр даруйд оруулахад скрипт нээгдэнэ -/Library/Keychains/login.keychain-db Safari/Chrome күүки, Apple Notes, iCloud жетонуудыг хуулна.
7. Google MultiLogin / OAuthLogin Токен сэргээх ашиглалт:
8. Аюулгүй байдлын судлаачид мэдээлэл хулгайлагчид ердийн вэб күүки хулгайлаад зогсохгүй, мөн бичиг баримтгүй задалдаг болохыг тогтоожээ.oauth_token Chrome-ын ** үйлчилгээний токенуудWeb Data (token_service хүснэгт) SQLite файл. Хохирогч Google-ийн нууц үгээ нэг удаа өөрчилсөн ч халдагчид өмнө нь хулгайлсан нууц үгээ дахин тоглуулах боломжтой token_service Google-ийн дотоод үйлдлийн эсрэг OAuth токен OAuthLogin эцсийн цэг нь цоо шинэ хүчинтэй SID Хэрэглэгч эрхэлсэн Chrome төхөөрөмжийн сешнээс гарч, гуравдагч талын/OAuth төхөөрөмжийн хандалтыг цуцалаагүй л бол хөтчийн күүки.

Алхам 1: Глобал сесс, күүки, OAuth болон нэвтрэх түлхүүрийг хүчингүй болгох матриц¶

Цэвэр ухаалаг гар утас эсвэл цэвэр хоёрдогч компьютер ашиглан яг энэ хүснэгтийг дээрээс нь доошлуул. Захиалга чухал: Алхам А (Бүх идэвхтэй сесс/төхөөрөмжүүдээс гарах) ба Алхам В (Нууц үг солих) болон Алхам С (Аудит 2FA/Нууц үг/OAuth/ Дамжуулах)-ыг хамтад нь хий, хэрэв та зөвхөн нууц үгээ өөрчилсөн бол идэвхтэй сешнүүдийг зогсоохгүйгээр нэвтэрч, халдагчийн табыг шууд үзэх боломжтой. сэргээх арга.

Алхам 2: Халдвар авсан компьютер дээрээ илэрсэн бүртгэл бүрийг хэрхэн олж мэдэх вэ¶

Та өөрийн цэвэр утсан дээрх хамгийн чухал 10 бүртгэлээ түгжсэний дараа танд аймшигтай асуулт тулгарна: "Би энэ компьютерийг дөрвөн жил ашигласан. Мэдээллийн хулгайлагч ажиллаж байх үед миний 250 вэбсайтаас аль нь Chrome/Edge-д нууц үг эсвэл идэвхтэй күүки хадгалсныг би яаж мэдэх вэ?"

Халдвар авсан компьютерийг 100 хувь офлайн (Wi-Fi OFF, Ethernet-ийг салгасан) байлгахын зэрэгцээ машиныг арчихаас өмнө үүнийг асааж, өртөлтийн бүртгэлээ гаргаж аваарай.

1. ** Хөтөчдөө хадгалсан нууц үгийн жагсаалтыг экспортлох (CSV)**:
2. Хөтчөө офлайнаар нээх (chrome://password-manager/settings Chrome дээр, edge://wallet/settings Edge-д, эсвэл about:logins Firefox дээр) аваад Экспорт нууц үг дээр дарж хадгална Chrome Passwords.csv цэвэр USB флаш диск дээр.
3. Яагаад энэ файл таны сэргээхэд алт болдог вэ: Мэдээллийн хулгайч яг энэ мэдээллийн санг хулгайлсан. Байгаа Chrome Passwords.csv Таны өмнө хэрэглэгчийн эзэмшиж буй вэб сайт бүрийн хэрэглэгчийн нэр, нууц үгийн яг шалгах хуудсыг өгөх бөгөөд ингэснээр та хуучин татварын портал, агаарын тээврийн миль данс эсвэл хадгалсан кредит карттай худалдааны сайтыг алдахгүй байх болно.
4. Идэвхтэй сессийн күүки аль вэб сайтад байгааг шалгана уу (chrome://settings/content/all):
5. Chrome эсвэл Edge дээр (офлайн үед) ** руу очно ууchrome://settings/content/all** (эсвэл edge://settings/content/all) болон Хадгалагдсан өгөгдөл эсвэл Хамгийн их зочилсон-аар эрэмбэлэх. Нууц үгээ оруулалгүйгээр нэвтэрсэн ямар ч вэб сайт күүки хулгайд өртөмтгий байсан тул сессийг хаах шаардлагатай.
6. Таны бие даасан нууц үгийн менежер (1Password, Bitwarden, KeePassXC) халдвар авсан үед түгжээг нь тайлсан эсэхийг шалгана уу:
7. Хэрэв мэдээлэл хулгайлагч ажиллаж байх үед таны 1Password, Bitwarden эсвэл KeePassXC хадгалах сан түгжигдсэн бол: Хортой програм нь зөвхөн шифрлэгдсэн дотоод хадгалалтын кэшийг шүүрч авах боломжтой (data.json эсвэл .kdbx), PBKDF2-SHA256 / Argon2id + таны Мастер нууц үгээр хамгаалагдсан (мөн 1Password дахь 34 тэмдэгттэй Нууц Түлхүүр). Хэрэв таны Мастер нууц үг хүчтэй бол таны агуулахын агуулгууд аюулгүй хэвээр байх боловч урьдчилан сэргийлэх үүднээс Мастер нууц үгээ эргүүлэх хэрэгтэй.
8. Хэрэв хорлонтой програм ажиллаж байх үед таны нууц үгийн менежерийн хөтөчийн өргөтгөл санах ойд ТҮГЖЭЭГ тайлсан бол (эсвэл та Нууц үгийн менежерийн мастер нууц үгийг Chrome-ын автоматаар бөглөх хэсэгт хадгалсан бол): Мэдээллийн хулгайлагч таны агуулахыг хаясан эсвэл Мастер нууц үгээ авсан гэж бодоод таны агуулах доторх бүх чухал итгэмжлэлүүдийг эргүүлнэ үү.

Алхам 3: Үйлдлийн системийг арчихаас өмнө Infostealer-ийн тэвчээрийг агнах, устгах¶

Хувийн бичиг баримтаа нөөцөлж, цэвэр үйлдлийн системээ дахин суулгахын өмнө та мэдээлэл хулгайлагч таны системд хэрхэн нэвтэрсэн болон байнгын хоёрдогч ачаалагчийг (Хуваарьт ажил, Бүртгэл гэх мэт) унагасан эсэхийг шалгаж болно. Run түлхүүр, эхлүүлэх .lnk товчлол, эсвэл хортой Chrome өргөтгөл):

1. Энэхүү Offline PowerShell Persistence Audit-г ажиллуулна уу (Windows)¶

Офлайн компьютер дээр PowerShell (Админ)-г нээж, зөвхөн унших боломжтой эдгээр дөрвөн шүүх эмнэлгийн шалгалтыг явуулна уу:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Infostealer програмын дараа яагаад цэвэр үйлдлийн системийг дахин суулгахыг (USB медиагаар) хийхийг зөвлөдөг вэ?¶

Defender-ийн хасалтыг арилгасны дараа Microsoft Defender Offline Scan болон Malwarebytes-г ажиллуулж байх үед мэдэгдэж буй байнгын ачигчийг устгадаг бол барааны мэдээлэл хулгайлагчид хоёрдогч RAT (Алсын зайнаас нэвтрэх троян), SystemBC SOCKS5 прокси, эсвэл таны Windows мониторын хорлонтой программ болон клипперийн мониторуудыг багцалдаг. Bitcoin/Ethereum түрийвчний хаягийг хакерын хаягтай хуулбарласан). - Хувийн бичиг баримт, гэрэл зураг, хуулж авсны дараа Chrome Passwords.csv офлайн компьютерээс салж, бидний зааврыг дагаж цэвэр Windows 11 USB дахин суулгах (эсвэл macOS-ийн бүх контент болон тохиргоог устгах)-г гүйцэтгэнэ үү. хортой програм, ransomware болон spyware халдварын гарын авлага.

3. Infostealer олдворуудад зориулсан macOS болон Linux системийг аудит хийх (Atomic macOS Stealer / AMOS, Poseidon, болон Хортой хөтчийн өргөтгөлүүд)¶

Хэрэв таны халдвар авсан машин нь Windows гэхээсээ илүү Apple MacBook/iMac эсвэл Линукс хөгжүүлэгчийн ажлын станц бол эдгээр офлайн терминалын шалгалтыг хийж, тогтвортой байдлыг илрүүлж, устгана уу:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace, AWS IAM)¶

Мэдээллийн хулгайчаас халдвар авсан компьютер нь Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, эсвэл Cloudflare дээр идэвхтэй сесс хийсэн программ хангамжийн инженер, DevOps администратор эсвэл корпорацийн ажилтных байсан бол дотоод төхөөрөмжийг цэвэрлэх нь тулааны тал хувь юм. Эдгээр үүлэн лавлах хүчингүй болгох үйлдлийг нэн даруй гүйцэтгэнэ үү:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Нэг хөтөч дээр "Гарах" дээр дарснаар анхдагч сэргээх токенууд (PRTs) эсвэл Azure CLI () үргэлж хүчингүй болдоггүй.az login / .azure/msal_token_cache.bin) дискнээс хуулсан токенууд. Entra Administrator ажиллах ёстой Revoke-MgUserSignInSession -UserId user@company.com Microsoft Graph PowerShell дээр хэрэглэгчийн тохиргоог дахин тохируулах signInSessionsValidFromDateTime Бүх төгсгөлийн цэг дээрх бүх Refresh Tokens-ийг нэгэн зэрэг шинжилж, хүчингүй болгоно.
• AWS CLI & Хөгжүүлэгчийн токен эргүүлэх (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Барааны мэдээллийн хулгайчид хэрэглэгч бүрийн гэрийн лавлахыг шууд хайдаг .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, болон Docker/Kubernetes тохиргооны файлууд. Бүх AWS IAM хандалтын түлхүүрүүдийг нэн даруй идэвхгүй болгож, эргүүлнэ үү (AKIA...) AWS консол дээр GitHub хувийн хандалтын токенуудыг хүчингүй болгох (ghp_...), мөн үйлдвэрлэлийн серверүүдээс ил гарсан SSH нийтийн түлхүүрүүдийг устгах (-/.ssh/authorized_keys).
• Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Вэб хөтчөөс гадна мэдээлэл хулгайлах модулиуд нь тусгайлан хуулдаг. %APPDATA%\Telegram Desktop\tdata лавлах (энэ нь халдагчид SMS кодгүйгээр таны Telegram дансыг бүхэлд нь компьютер дээрээ хуулбарлах боломжийг олгодог), %APPDATA%\Slack\storage, мөн хадгалсан OpenVPN (.ovpn) / WireGuard (.conf) корпорацийн VPN профайл. Утсан дээрээ Telegram-г нээнэ үү (Тохиргоо > Төхөөрөмжүүд -> Бусад бүх сессийг дуусгах), бүх Slack ажлын талбараас гарна уу (slack.com/account/settings -> Бусад бүх сешнүүдээс гарах), сүлжээний администратороосоо өөрийн VPN үйлчлүүлэгчийн гэрчилгээг хүчингүй болгож дахин олгохыг хүс.

Урьдчилан сэргийлэх: Хөтөч болон бүртгэлээ Infostealers-д хэрхэн тэсвэртэй болгох вэ¶

Таны систем цэвэр болж, бүртгэлээ сэргээсний дараа мэдээлэл хулгайлагч таны дижитал амьдралыг хэзээ ч булаан авахгүй байхын тулд эдгээр таван хамгаалалтыг хэрэгжүүлээрэй.

• **Тоног төхөөрөмж/Мастер түлхүүргүйгээр вэб хөтчийнхөө нууц үгийн менежер (Chrome/Edge/Brave/Firefox автоматаар бөглөх)-д нууц үгээ ХЭЗЭЭ ч бүү хадгал **: Дэлхий дээрх бараа бүтээгдэхүүний мэдээлэл хулгайлагч бүр Chrome-ын Login Data Эхлээд SQLite хүснэгт. "Нууц үг хадгалахыг санал болгох"-г УНТРААХ-г асаана уу chrome://password-manager/settings Систем түгжигдэх үед эсвэл 5 минут зогссоны дарааууд автоматаар түгжихээр тохируулсан тусгай зориулалтын, тэг мэдлэгтэй нууц үгийн менежер (1Password, Bitwarden, Proton Pass эсвэл KeePassXC) дотор нууц үгээ хадгалаарай.
• Chrome 127+-д "Төхөөрөмжөөс холбосон сессийн итгэмжлэл (DBSC)" болон "Апп-д холбогдсон шифрлэлт"-ийг идэвхжүүлнэ үү: Google Chrome эсвэл Edge-г хамгийн сүүлийн хувилбар болгон шинэчилж, системийн үндсэн лавлахад суулгасан эсэхийг шалгана уу (C:\Program Files\Google\Chrome\Application) тиймээс GoogleChromeElevationService күүки шифрлэлтийг Төхөөрөмжөөс холбосон сессийн итгэмжлэл (DBSC)-ээр дамжуулан системийн давуу эрхийн түвшин болон TPM техник хангамжийн түлхүүрүүдтэй холбох боломжтой.
• Windows Run Box-ийг идэвхгүй болгох (Win + R) эсвэл mshta.exe "ClickFix" хуурамч CAPTCHA халдлагуудыг хаахын тулд: Хэзээ ч бүү дар Win + R -> Ctrl + V -> Enter вэб сайт CAPTCHA, хуурамч Cloudflare дэлгэц, эсвэл "Микрофон засах / Фонт засах" попап цонх нь таныг Run харилцах цонх эсвэл Терминал руу команд оруулахыг хүсэх үед дэлхий дээрх ямар ч хууль ёсны вэбсайт хүн төрөлхтнийг хэзээ ч код оруулахыг хүссэнээр баталгаажуулдаггүй. Win + R эсвэл macOS терминал.
• Тоног төхөөрөмжийн аюулгүй байдлын түлхүүр (YubiKey) эсвэл нэвтрэх түлхүүр ашиглах + эмзэг үйлдэлд дахин баталгаажуулалт шаардах: Хулгайлагдсан сессийн күүки нь анхны нэвтрэх сануулгыг алгасах боловч томоохон платформууд (Google, GitHub, Cloudflare, AWS, Coinbase) **Step-Up Authentication (Suquido2de)-ийг хэрэгжүүлдэг. Сеансын күүкитэй хэн нэгэнд нууц үгээ солих, өгөгдлийг экспортлох эсвэл мөнгө гаргах хаяг нэмэхээс өмнө YubiKey товших эсвэл нэвтрэх түлхүүрийн биометрийг шалгана уу.
• Таны и-мэйл эсвэл хулгайчийн бүртгэл Darknet Monitoring Databases дээр гарч ирсэн эсэхийг шалгана уу: зочилно уу haveibeenpwned.com (энэ нь одоо хулгайчдын бүртгэлийн хохирогчийн сая сая имэйл хаягууд болон нууцлагдсан домэйнүүдийг индексжүүлдэг) болон таны имэйл хаягуудад харанхуй сүлжээний зөрчлийн мэдэгдлийг үнэгүй идэвхжүүлнэ.
• Итгэмжгүй татан авалт, тоглоомын горим болон гуравдагч талын скриптүүдийг Виртуал машин эсвэл Windows Sandbox дотор тусгаарлах: Баталгаажаагүй горимыг хэзээ ч бүү ажиллуул. .exe, .msi, .dmg, .bat, эсвэл Python pip / Зангилаа npm Суулгасны дараах скриптүүдийг таны баталгаажсан вэб хөтчийн сессүүд болон санхүүгийн нэвтрэлтүүдийг агуулсан хост үйлдлийн систем дээр шууд суулгана. Windows Sandbox-г идэвхжүүлэх (Windows 10/11 Pro болон Enterprise-д Windows функцуудыг асаах, унтраах > Windows Sandbox-оор дамжуулан суулгасан) эсвэл гуравдагч талын хэрэглүүрийг туршихдаа хөтчийн күүки-г хадгалахгүй тусгаарлагдсан виртуал машин ашиглана уу.

Байнга асуудаг асуултууд¶

Холбогдох хөтөч¶

• Хортой програм, ransomware, spyware халдвар
• MFA фишинг болон Дундад дайсан (AiTM)-ийг тойрч гарах
• Гадаад харилцааны яамны түгжрэл: түгжигдсэн бүртгэлийг хэрхэн сэргээх вэ
• Имэйл хаягийг хакердсан, дамжуулах дүрэм, сэргээх
• Cryptocurrency хэтэвч drain болон үрийн хэллэг буулт
• Нууц үгийн менежер түгжигдэх ба яаралтай авдарыг сэргээх
• Яаралтай тусламжийн дугаарын лавлах

Эх сурвалжуудыг шалгасан¶

• Кибер аюулгүй байдал, дэд бүтцийн аюулгүй байдлын агентлаг (CISA) ба Холбооны мөрдөх товчоо (АНУ): Мэдээлэл хулгайлагч хортой программ (LummaC2, RedLine, Rhadamanthys) болон Токен/Сессийн хулгайг бууруулах (CSAE24 / MITER ATT39ie)-ийн талаарх кибер аюулгүй байдлын хамтарсан зөвлөмжүүд. T1550.004: Вэб сессийн күүки).
• Үндэсний Стандарт, Технологийн Хүрээлэн (NIST) (Америкийн Нэгдсэн Улс): NIST SP 800-63B: Дижитал таних удирдамж: сессийн удирдлага, дахин баталгаажуулалт, токен холбох.
• World Wide Web Consortium (W3C) & Google Chromium Security Architecture: Device Bound Session Credentials (DBSC) Specifications and Chrome App-Bound Encryption (v20 DPAPI Elevation) Техникийн баримт бичиг.
• Үндэсний кибер аюулгүй байдлын төв (NCSC) (Нэгдсэн Вант Улс): Аж ахуйн нэгж болон хэрэглэгчийн орчинд хортой программ хангамж, мэдээлэл хулгайлагч, сессийг хулгайлах үйлдлийг бууруулах.
• Open Worldwide Application Security Project (OWASP): Session Management Cheat Sheet & OAuth 2.0 Token Revocation (RFC 7009) Стандартууд.