सेशन टोकन हायजॅकिंग, इन्फोस्टीलर मालवेअर आणि ग्लोबल सेशन रिव्होकेशन¶

आक्रमणकर्त्याने तुमच्या YouTube, Instagram, Discord किंवा X खात्यातून क्रिप्टोकरन्सी घोटाळे पोस्ट केले आहेत, तुमच्या Gmail किंवा Microsoft 365 इनबॉक्समध्ये फॉरवर्डिंग नियम तयार केले आहेत किंवा तुमच्या कॉर्पोरेट क्लाउड कन्सोलमध्ये प्रवेश केला आहे तुमच्या फोनवर 2FA कोड किंवा "नवीन लॉगिन" ईमेल अलर्ट ** कधीही ट्रिगर न करता किंवा "नवीन लॉगिन" ईमेल ॲलर्ट ** हे लक्षात येण्यासारखे आहे की स्वाक्षरी / सह्या करणे योग्य आहे. (पास-द-कुकी) इन्फोस्टीलर मालवेअर मुळे. जेव्हा तुम्ही वेबसाइटवर लॉग इन करता आणि "मला साइन इन केलेले ठेवा" तपासता, तेव्हा सर्व्हर एनक्रिप्टेड HTTP सत्र कुकी किंवा OAuth बेअरर टोकन जारी करतो (जसे की Google चे SID / SAPISID, मायक्रोसॉफ्टचे ESTSAUTHPERSISTENT, किंवा Discord च्या Authorization टोकन) तुमच्या वेब ब्राउझरच्या स्थानिक SQLite डेटाबेसमध्ये संग्रहित आहे.

Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys आणि Atomic macOS Stealer (AMOS) सह कमोडिटी इन्फोस्टीलर मालवेअर कुटुंबे, पारंपारिक व्हायरसप्रमाणे तुमच्या संगणकावर थांबू नका. अनेकदा बनावट गेम मोड, क्रॅक केलेले सॉफ्टवेअर इंस्टॉलर, बनावट "क्लिकफिक्स" पॉवरशेल कॅप्चा प्रॉम्प्ट, किंवा प्रायोजक सहयोग PDF, इन्फोस्टीलर 4 सेकंदांपेक्षा कमी मध्ये कार्यान्वित करते, तुमचे Chrome, Edge, Brave किंवा Firefox डिक्रिप्ट करते Cookies आणि Login Data मेमरीमधील डेटाबेस, त्यांना तुमच्या डेस्कटॉप क्रिप्टोकरन्सी वॉलेट फायलींसह झिप करते, टेलीग्राम किंवा C2 सर्व्हरवर संग्रहण अपलोड करते आणि स्वतःला हटवते. जेव्हा आक्रमणकर्ता तुमच्या चोरलेल्या सत्र कुकीज अँटी-डिटेक्ट ब्राउझरमध्ये आयात करतो (Multilogin, Dolphin{anty}, किंवा Gologin), वेब सर्व्हरला असे वाटते की आक्रमणकर्ता *तुमचा आधीच-प्रमाणीकृत संगणक आहे, तुमचा पासवर्ड आणि तुमचे द्वि-घटक प्रमाणीकरण दोन्ही पूर्णपणे बायपास करून.

आता हे करा¶

1. **संक्रमित संगणकावर तुमचे पासवर्ड बदलणे थांबवा, तो PC किंवा Mac वाय-फाय वरून ताबडतोब डिस्कनेक्ट करा आणि त्याची इथरनेट केबल अनप्लग करा. ** ही #1 चूक पीडितांनी केली आहे: त्यांना लक्षात येते की त्यांचे Discord, Steam किंवा Gmail हायजॅक झाले आहे, त्याच संक्रमित डेस्कटॉप पीसीवर बसा आणि Chrome मध्ये अगदी नवीन पासवर्ड टाइप करा. त्या मशीनवर इन्फोस्टीलर पर्सिस्टन्स लोडर किंवा शेड्यूल केलेले कार्य अद्याप सक्रिय असल्यास, ते त्वरित तुमचे नवीन पासवर्ड आणि नवीन सत्र कुकीज कॅप्चर करेल आणि आक्रमणकर्त्याला परत पाठवेल. स्वच्छ स्मार्टफोन (सेल्युलर डेटा किंवा स्वच्छ वाय-फाय वर) किंवा वेगळ्या, अनटच न केलेल्या लॅपटॉप वरून तुमचे 100 टक्के पासवर्ड बदला आणि सत्र रद्द करा.
2. हे समजून घ्या की केवळ पासवर्ड बदलल्याने चोरी झालेल्या सत्र कुकीज किंवा OAuth रीफ्रेश टोकन्स नेहमी अवैध होत नाहीत, तुम्ही स्पष्टपणे "सर्व सत्रांमधून साइन आउट करा" वर क्लिक केले पाहिजे आणि तृतीय-पक्ष OAuth ॲप्स रद्द केले पाहिजेत. अनेक प्लॅटफॉर्मवर (आणि Google च्या कागदपत्र नसलेल्या) MultiLogin / issueToken OAuth एंडपॉइंट्स किंवा दीर्घकालीन सत्र टोकन), फक्त तुमचा पासवर्ड बदलणे किंवा 2FA फिरवणे विद्यमान दुय्यम सत्र टोकन किंवा OAuth डेस्कटॉप टोकन जिवंत राहू शकतात जोपर्यंत तुम्ही खालील सारणीतील प्लॅटफॉर्म-विशिष्ट ग्लोबल सेशन आणि टोकन रिव्होकेशन चरणांची अंमलबजावणी करत नाही.
3. **संक्रमित संगणकावर तुमच्याकडे सॉफ्टवेअर क्रिप्टोकरन्सी वॉलेट विस्तार (मेटामास्क, फँटम, रॅबी, ट्रस्ट वॉलेट, कॉइनबेस वॉलेट, एक्सोडस, इलेक्ट्रम) स्थापित केले असल्यास, तुमचा निधी नवीन हार्डवेअर वॉलेट सीड वाक्यांशासाठी रिकामी करण्यासाठी आत्ताच स्वच्छ फोन वापरा.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMask साठी) तुमच्या ब्राउझरच्या सोबत सेव्ह केलेले पासवर्ड. जरी आक्रमणकर्त्याने अद्याप तुमच्या क्रिप्टोला स्पर्श केला नसला तरीही, तुमची व्हॉल्ट फाइल आधीपासूनच एका गडदनेट मार्केटमध्ये ऑफलाइन GPU क्रॅकरची वाट पाहत आहे. आमच्या कार्यान्वित करा क्रिप्टोकरन्सी वॉलेट ड्रेन आणि सीड वाक्यांश तडजोड त्वरित मार्गदर्शन करा.
4. तुमची "Apex Identity Accounts" (प्राथमिक ईमेल, पासवर्ड मॅनेजर, Apple/Google खाते आणि कॉर्पोरेट SSO) पहिल्या 10 मिनिटांत सुरक्षित करा. तुमच्या स्वच्छ स्मार्टफोनवर, तुमचे प्राथमिक Google/Gmail (myaccount.google.com/device-activity) आणि मायक्रोसॉफ्ट (mysignins.microsoft.com) प्रथम खाती. सर्व डेस्कटॉप सत्रातून साइन आउट करा, मास्टर पासवर्ड फिरवा, इतर सेवांमधून पासवर्ड-रीसेट ईमेल लपवण्यासाठी आक्रमणकर्त्याने तयार केलेले कोणतेही छुपे ईमेल फॉरवर्डिंग नियम हटवण्यासाठी सेटिंग्ज > फॉरवर्डिंग आणि POP/IMAP आणि फिल्टर्स/नियम तपासा आणि नोंदणीकृत पासकी आणि ऑथेंटिकेटर डिव्हाइस तपासा.
5. तुमच्या विंडोज रजिस्ट्रीचे ऑडिट करा Run की, टास्क शेड्युलर आणि पॉवरशेल इतिहास जर तुम्ही अलीकडे "क्लिकफिक्स" बनावट कॅप्चा कमांड चालवला असेल (Win + R -> Ctrl + V). आज सर्वात जलद वाढणाऱ्या इन्फोस्टीलर वेक्टर्सपैकी एक म्हणजे बनावट क्लाउडफ्लेअर किंवा वेबपृष्ठावरील Google कॅप्चा पॉपअप आहे जे तुम्हाला "प्रेस करण्याची सूचना देते. Win + R, दाबा Ctrl + V, आणि दाबा Enter आपण मनुष्य आहात हे सत्यापित करण्यासाठी" (जे शांतपणे लपविलेले कार्यान्वित करते mshta.exe किंवा powershell -w hidden -enc ... कमांड तुमच्या क्लिपबोर्डवर कॉपी केली आहे).
6. परिप्रेक्ष्य राखा आणि जर उल्लंघनामध्ये कॉर्पोरेट पायाभूत सुविधा किंवा खंडणीचा समावेश असेल तर भौतिक सुरक्षिततेचे रक्षण करा. इन्फोस्टीलर लॉग वारंवार स्वयंचलित खंडणी किंवा तुमचा चोरीला गेलेला पासवर्ड उद्धृत करणारे सेक्सटोर्शन ईमेल ट्रिगर करतात. खंडणीखोरांना कधीही पैसे देऊ नका; आमचे पहा लैंगिक शोषण आणि ऑनलाइन ब्लॅकमेल मार्गदर्शक, आणि तुम्हाला कधीही शारीरिक धोका असल्यास, तुमच्या स्थानिक आपत्कालीन क्रमांकावर कॉल करा (युनायटेड स्टेट्स आणि कॅनडामध्ये 911, युरोपियन युनियनमध्ये 112, युनायटेड किंगडममध्ये 999, किंवा आमच्या आपत्कालीन क्रमांक निर्देशिका).

इन्फोस्टीलर आणि सत्र कुकी अपहरण घटना प्रतिसाद निर्णय ट्री¶

flowchart TD
    Root["संशयित सत्र कुकी हायजॅकिंग किंवा इन्फोस्टीलर मालवेअर संसर्ग"] --> IsolatePC["पायरी 1: वाय-फाय आणि इथरनेटवरून संक्रमित PC/Mac ताबडतोब डिस्कनेक्ट करा (संक्रमित PC वर पासवर्ड बदलू नका)"]

    IsolatePC --> CryptoCheck{"त्या पीसीवर कोणतेही क्रिप्टो वॉलेट विस्तार (मेटामास्क, फँटम, एक्सोडस) होते का?"}
    CryptoCheck -->|"होय"| EvacCrypto["सर्व क्रिप्टो मालमत्ता ब्रँड-नवीन सीड फ्रेझमध्ये स्वीप करण्यासाठी ताबडतोब स्वच्छ फोन/हार्डवेअर वॉलेट वापरा"]
    CryptoCheck -->|"नाही"| ApexLock["पायरी 2: स्वच्छ स्मार्टफोनवर, प्रथम प्राथमिक ईमेल (Gmail, Outlook, Proton) लॉक करा"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["पायरी 3: सर्व गंभीर खात्यांवर जागतिक सत्र + OAuth टोकन + पासकी निरस्तीकरण कार्यान्वित करा (खाली प्लॅटफॉर्म मॅट्रिक्स पहा)"]

    GlobalRevoke --> ExportList["पायरी 4: ऑफलाइन संक्रमित पीसीवर, कोणती खाती चोरीला गेली हे जाणून घेण्यासाठी सर्व जतन केलेले ब्राउझर पासवर्ड आणि कुकीजची सूची निर्यात करा"]

    ExportList --> CleanOS["पायरी 5: केवळ वैयक्तिक दस्तऐवजांचा बॅकअप घ्या -> क्लीन OS वाइप करा/पुन्हा स्थापित करा -> पासकी पुन्हा-नोंदणी करा आणि Chrome ॲप-बाउंड एन्क्रिप्शन सक्षम करा"]

इन्फोस्टीलर्स 2FA आणि DPAPI / कीचेन एन्क्रिप्शन कसे बायपास करतात हे समजून घेणे¶

200-किलोबाइट प्रोग्राम आपल्या हार्ड ड्राइव्हवर Google Chrome, Microsoft Edge आणि Brave कूटबद्ध केलेले पासवर्ड आणि सत्र कुकीज कसे चोरू शकतो?

1. विंडोज डीपीएपीआय (CryptUnprotectData) आणि Chrome ॲप-बाउंड एन्क्रिप्शन (v20):
2. Windows वर, Chromium-आधारित ब्राउझर (Chrome, Edge, Brave, Opera, Vivaldi) तुमचे सेव्ह केलेले पासवर्ड आत साठवतात %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data आणि तुमच्या सत्राच्या कुकीज आत \Network\Cookies.
3. हे SQLite डेटाबेस AES-256-GCM मास्टर की सह कूटबद्ध केले आहेत. %LOCALAPPDATA%\Google\Chrome\User Data\Local State, जे तुमच्या लॉग-इन केलेल्या Windows वापरकर्त्याच्या खात्याशी जोडलेले Windows Data Protection API (DPAPI) द्वारे संरक्षित आहे.
4. तुम्ही इन्फोस्टीलर तुमचा स्वतःचा लॉग-इन केलेला विंडोज वापरकर्ता म्हणून चालवल्यामुळे, तुमच्या वापरकर्ता खात्याखाली चालणारी कोणतीही प्रक्रिया ऐतिहासिकदृष्ट्या कॉल करू शकते CryptUnprotectData() विंडोजला की डिक्रिप्ट करण्यास सांगण्यासाठी. आणि बायपास करण्यासाठी Chrome 127+ ॲप-बाउंड एन्क्रिप्शन (v20 लिफ्ट सेवा), आधुनिक इन्फोस्टीलर्स थेट हेडलेसमध्ये इंजेक्शन देतात chrome.exe डिबगिंग प्रक्रिया (--remote-debugging-port) किंवा Chrome ला सर्व लाइव्ह डिक्रिप्टेड कुकीज डंप करण्यास सांगण्यासाठी COM एलिव्हेशन वापरा.
5. मॅकओएस कीचेन आणि ॲटोमिक मॅकओएस स्टीलर (एएमओएस / पोजस्टीलर):
6. Apple macOS वर, इन्फोस्टीलर्सच्या वेशात .dmg डाउनलोड (बर्याचदा तुम्हाला "राइट-क्लिक -> ओपन" करण्यास सांगितले जाते किंवा Apple गेटकीपरला बायपास करण्यासाठी आयकॉन टर्मिनल वर ड्रॅग करा) एक बनावट मूळ मॅकओएस डायलॉग बॉक्स पॉप अप करा "सिस्टम प्राधान्ये तुमची गोपनीय माहिती ऍक्सेस करू इच्छित आहेत: तुमचा Mac लॉगिन पासवर्ड प्रविष्ट करा". त्या प्रॉम्प्टमध्ये तुम्ही तुमचा Mac लॉगिन पासवर्ड टाईप करताच, स्क्रिप्ट अनलॉक होते -/Library/Keychains/login.keychain-db आणि Safari/Chrome कुकीज, Apple Notes आणि iCloud टोकन्सच्या प्रती.
7. गुगल MultiLogin / OAuthLogin टोकन पुनर्जन्म शोषण:
8. सुरक्षा संशोधकांनी उघड केले की इन्फोस्टीलर्स केवळ मानक वेब कुकीज चोरत नाहीत तर ते कागदपत्र नसलेल्या ** देखील काढतात.oauth_token Chrome च्या ** वरून सेवा टोकनWeb Data (token_service टेबल) SQLite फाइल. पीडितेने एकदा त्यांचा Google पासवर्ड बदलल्यानंतरही, हल्लेखोर पूर्वी चोरीला पुन्हा प्ले करू शकत होते token_service Google च्या अंतर्गत विरुद्ध OAuth टोकन OAuthLogin एंडपॉइंट टू मिंट ब्रँड-न्यू वैध SID ब्राउझर कुकीज जोपर्यंत वापरकर्त्याने स्पष्टपणे तडजोड केलेल्या Chrome डिव्हाइस सत्रातून साइन आउट केले नाही आणि तृतीय-पक्ष/OAuth डिव्हाइस प्रवेश रद्द केला नाही.

पायरी 1: ग्लोबल सेशन, कुकी, OAuth आणि पासकी रिव्होकेशन मॅट्रिक्स¶

स्वच्छ स्मार्टफोन किंवा स्वच्छ दुय्यम संगणक वापरून, या अचूक सारणीवर वरपासून खालपर्यंत काम करा. ऑर्डरच्या बाबी: नेहमी करा स्टेप A (सर्व सक्रिय सेशन्स/डिव्हाइसेस साइन आउट करा) आणि स्टेप बी (पासवर्ड बदला) आणि स्टेप C (ऑडिट 2FA/पासकीज/OAuth/फॉरवर्डिंग) एकत्र, तुम्ही सक्रिय सेशन्स संपुष्टात न आणता फक्त तुमचा पासवर्ड बदलल्यास, हल्लेखोर तुम्ही लाइव्ह लॉग टॅब किंवा ब्राउझरमध्ये लॉग इन करू शकता. पुनर्प्राप्ती पद्धत.

पायरी 2: तुमच्या संक्रमित संगणकावर उघड झालेले प्रत्येक खाते कसे शोधायचे¶

तुम्ही तुमच्या क्लीन फोनवर तुमची टॉप 10 गंभीर खाती लॉक केल्यानंतर, तुम्हाला एक कठीण प्रश्नाचा सामना करावा लागतो: "मी तो संगणक चार वर्षांपासून वापरला आहे, जेव्हा इन्फोस्टीलर चालू झाला तेव्हा माझ्या 250 वेबसाइट्सपैकी कोणत्या वेबसाइटने पासवर्ड किंवा सक्रिय कुकीज Chrome/Edge मध्ये सेव्ह केल्या होत्या हे मला कसे कळेल?"

संक्रमित संगणक 100 टक्के ऑफलाइन (वाय-फाय बंद, इथरनेट अनप्लग्ड) ठेवताना, तो चालू करा आणि मशीन पुसण्यापूर्वी तुमची अचूक एक्सपोजर इन्व्हेंटरी काढा:

1. तुमची ब्राउझर सेव्ह केलेल्या पासवर्ड्सची यादी निर्यात करा (CSV):
2. तुमचा ब्राउझर ऑफलाइन उघडा (chrome://password-manager/settings Chrome मध्ये, edge://wallet/settings एज मध्ये, किंवा about:logins Firefox मध्ये) आणि जतन करण्यासाठी निर्यात पासवर्ड वर क्लिक करा Chrome Passwords.csv स्वच्छ USB फ्लॅश ड्राइव्हवर.
3. तुमच्या पुनर्प्राप्तीसाठी ही फाइल सोन्याची का आहे: इन्फोस्टीलरने हा अचूक डेटाबेस चोरला. असणे Chrome Passwords.csv तुमच्या समोर तुम्हाला आता आक्रमणकर्त्याकडे असलेल्या प्रत्येक वेबसाइट वापरकर्तानाव आणि पासवर्डची अचूक चेकलिस्ट देते, त्यामुळे तुम्ही जुने टॅक्स पोर्टल, एअरलाइन माइल्स खाते किंवा सेव्ह केलेल्या क्रेडिट कार्डसह शॉपिंग साइट गमावणार नाही.
4. कोणत्या वेबसाइटवर सक्रिय सत्र कुकीज होत्या ते तपासा (chrome://settings/content/all):
5. Chrome किंवा Edge मध्ये (ऑफलाइन असताना), ** वर जाchrome://settings/content/all** (किंवा edge://settings/content/all) आणि डेटा संचयित किंवा सर्वाधिक भेट दिलेल्या नुसार क्रमवारी लावा. पासवर्ड टाईप न करता तुम्ही लॉग इन केलेली कोणतीही वेबसाइट सत्र कुकी चोरीला असुरक्षित असते आणि तिचे सत्र संपुष्टात आणणे आवश्यक असते.
6. तुमचा स्टँडअलोन पासवर्ड मॅनेजर (1 पासवर्ड, बिटवर्डन, KeePassXC) संसर्गाच्या क्षणी अनलॉक होता का ते तपासा:
7. तुमचा 1पासवर्ड, बिटवर्डन किंवा KeePassXC वॉल्ट लॉक केलेला असल्यास जेव्हा इन्फोस्टीलर धावला तेव्हा: मालवेअर केवळ एनक्रिप्टेड लोकल व्हॉल्ट कॅशे हस्तगत करू शकतो (data.json किंवा .kdbx), जे PBKDF2-SHA256 / Argon2id + तुमचा मास्टर पासवर्ड (आणि 1 पासवर्डमधील 34-वर्णांची गुप्त की) द्वारे संरक्षित आहे. तुमचा मास्टर पासवर्ड मजबूत असल्यास, तुमची वॉल्ट सामग्री सुरक्षित राहते, तरीही तुम्ही सावधगिरी म्हणून तुमचा मास्टर पासवर्ड फिरवावा.
8. तुमचा पासवर्ड मॅनेजर ब्राउझर एक्स्टेंशन मेमरीमध्ये अनलॉक केलेला असल्यास मालवेअर चालू असताना (किंवा तुम्ही तुमचा पासवर्ड मॅनेजर मास्टर पासवर्ड क्रोमच्या बिल्ट-इन ऑटोफिलमध्ये सेव्ह केला असल्यास.): गृहीत धरा की इन्फोस्टीलरने तुमचा व्हॉल्ट टाकला आहे किंवा तुमचा मास्टर पासवर्ड कॅप्चर केला आहे आणि सर्व गंभीर क्रेडेंशियल तुमच्या आत फिरवा.

पायरी 3: OS पुसण्याआधी इन्फोस्टीलरच्या चिकाटीची शिकार करणे आणि निर्मूलन करणे¶

तुमच्या वैयक्तिक दस्तऐवजांचा बॅकअप घेण्यापूर्वी आणि स्वच्छ OS रीइंस्टॉल करण्यापूर्वी, तुम्ही इन्फोस्टीलरने तुमच्या सिस्टीममध्ये कसे प्रवेश केला आणि तो पर्सिस्टंट सेकंडरी लोडर (जसे की शेड्यूल्ड टास्क, रजिस्ट्री) टाकला की नाही हे तपासू शकता. Run की, स्टार्टअप .lnk शॉर्टकट किंवा दुर्भावनापूर्ण Chrome विस्तार):

1. हे ऑफलाइन पॉवरशेल पर्सिस्टन्स ऑडिट (विंडोज) चालवा¶

ऑफलाइन PC वर PowerShell (Admin) उघडा आणि या चार केवळ-वाचनीय फॉरेन्सिक तपासा चालवा:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. इन्फोस्टीलर नंतर क्लीन ओएस रीइन्स्टॉल (USB मीडियाद्वारे) का शिफारस केली जाते¶

Microsoft Defender Offline Scan आणि Malwarebytes चालवत असताना डिफेंडर एक्सक्लुजन क्लिअर केल्यानंतर ज्ञात पर्सिस्टन्स लोडर्स काढून टाकतात, कमोडिटी इन्फोस्टीलर्स वारंवार दुय्यम RAT (रिमोट ऍक्सेस ट्रोजन), SystemBC SOCKS5 प्रॉक्सी किंवा मॉनीटर मॅनिटर, Windows क्लिपबोर्ड आणि कॉपी केलेला कोणताही बिटकॉइन/इथेरियम वॉलेट पत्ता हॅकरच्या पत्त्यासह बदलतो). - एकदा तुम्ही तुमचे वैयक्तिक दस्तऐवज, फोटो आणि कॉपी केल्यानंतर Chrome Passwords.csv ऑफलाइन पीसी बंद करा, आमचे अनुसरण करून स्वच्छ Windows 11 USB रीइन्स्टॉल (किंवा macOS सर्व सामग्री आणि सेटिंग्ज मिटवा) करा मालवेअर, रॅन्समवेअर आणि स्पायवेअर संसर्ग मार्गदर्शक.

3. इन्फोस्टीलर आर्टिफॅक्ट्ससाठी मॅकओएस आणि लिनक्स सिस्टम्सचे ऑडिटिंग (Atomic macOS Stealer / AMOS, Poseidon, आणि दुर्भावनायुक्त ब्राउझर विस्तार)¶

तुमचे संक्रमित मशीन Windows PC ऐवजी Apple MacBook/iMac किंवा Linux डेव्हलपर वर्कस्टेशन असल्यास, चिकाटी शोधण्यासाठी आणि निर्मूलन करण्यासाठी या ऑफलाइन टर्मिनल तपासा चालवा:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. एंटरप्राइझ आणि क्लाउड ॲडमिन कंटेनमेंट (Microsoft Entra ID, Okta, Google Workspace आणि AWS IAM)¶

इन्फोस्टीलरने संक्रमित केलेला संगणक सॉफ्टवेअर अभियंता, DevOps ॲडमिनिस्ट्रेटर किंवा कॉर्पोरेट कर्मचाऱ्याचा असेल ज्यांनी Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS किंवा Cloudflare मध्ये सक्रिय सत्रे केली असतील, तर स्थानिक डिव्हाइस क्लीनअप ही अर्धी लढाई आहे. ही क्लाउड डिरेक्टरी रद्दबातल त्वरित कार्यान्वित करा:

• **Microsoft Entra ID (Revoke-MgUserSignInSession);az login / .azure/msal_token_cache.bin) टोकन डिस्कवरून कॉपी केले. एंट्रा प्रशासक चालवणे आवश्यक आहे Revoke-MgUserSignInSession -UserId user@company.com वापरकर्त्याचे रीसेट करण्यासाठी मायक्रोसॉफ्ट ग्राफ पॉवरशेलमध्ये signInSessionsValidFromDateTime सर्व रीफ्रेश टोकन एकाच वेळी सर्व एंडपॉइंट्सवर विशेषता आणि अवैध करा.
• AWS CLI आणि विकसक टोकन रोटेशन (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): कमोडिटी इन्फोस्टीलर्स प्रत्येक वापरकर्त्याची होम डिरेक्टरी स्पष्टपणे स्कॅन करतात .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, आणि Docker/Kubernetes कॉन्फिगरेशन फाइल्स. तत्काळ निष्क्रिय करा आणि सर्व AWS IAM ऍक्सेस की फिरवा (AKIA...) AWS कन्सोलमध्ये, GitHub वैयक्तिक प्रवेश टोकन रद्द करा (ghp_...), आणि प्रोडक्शन सर्व्हरवरून उघड केलेल्या SSH सार्वजनिक की हटवा (-/.ssh/authorized_keys).
• डेस्कटॉप मेसेजिंग आणि व्हीपीएन क्लायंट टोकन पर्ज (टेलीग्राम डेस्कटॉप tdata, सिग्नल, स्लॅक, ओपनव्हीपीएन, वायरगार्ड): वेब ब्राउझरच्या पलीकडे, इन्फोस्टीलर मॉड्यूल विशेषतः कॉपी करतात %APPDATA%\Telegram Desktop\tdata निर्देशिका (जे आक्रमणकर्त्याला एसएमएस कोडशिवाय तुमचे संपूर्ण टेलीग्राम खाते त्यांच्या PC वर क्लोन करू देते), %APPDATA%\Slack\storage, आणि सेव्ह केले OpenVPN (.ovpn) / वायरगार्ड (.conf) कॉर्पोरेट VPN प्रोफाइल. तुमच्या फोनवर टेलीग्राम उघडा (सेटिंग्ज> डिव्हाइसेस -> इतर सर्व सत्रे समाप्त करा), सर्व स्लॅक वर्कस्पेसेस साइन आउट करा (slack.com/account/settings -> इतर सर्व सत्रांमधून साइन आउट करा), आणि तुमच्या नेटवर्क प्रशासकाला तुमचे कॉर्पोरेट VPN क्लायंट प्रमाणपत्र रद्द करण्यास आणि पुन्हा जारी करण्यास सांगा.

प्रतिबंध: तुमचा ब्राउझर आणि खाती इन्फोस्टीलर्सना प्रतिरोधक कसे बनवायचे¶

एकदा तुमची प्रणाली स्वच्छ झाली आणि तुमची खाती पुनर्प्राप्त झाली की, या पाच संरक्षणांची अंमलबजावणी करा जेणेकरून इन्फोस्टीलर तुमचे डिजिटल जीवन पुन्हा कधीही हायजॅक करू शकणार नाही:

• हार्डवेअर/मास्टर की शिवाय तुमच्या वेब ब्राउझरच्या अंगभूत पासवर्ड व्यवस्थापक (Chrome / Edge / Brave / Firefox ऑटोफिल) मध्ये पासवर्ड कधीही साठवू नका: पृथ्वीवरील प्रत्येक कमोडिटी इन्फोस्टीलर क्रोमला लक्ष्य करते Login Data प्रथम SQLite टेबल. बंद करा "पासवर्ड सेव्ह करण्याची ऑफर" मध्ये chrome://password-manager/settings आणि तुमचे पासवर्ड एका समर्पित, शून्य-नॉलेज पासवर्ड मॅनेजरमध्ये (1 पासवर्ड, बिटवर्डन, प्रोटॉन पास, किंवा KeePassXC) **सिस्टम लॉक झाल्यावर किंवा 5 मिनिटांच्या निष्क्रिय वेळेनंतर लगेच ऑटो-लॉक करण्यासाठी कॉन्फिगर करा.
• **Chrome 127+ मध्ये "डिव्हाइस-बाउंड सेशन क्रेडेन्शियल (DBSC)" आणि "App-Bound Encryption" सक्षम करा: Google Chrome किंवा Edge नवीनतम आवृत्तीवर अपडेट केले आहे आणि डीफॉल्ट सिस्टम निर्देशिकेत स्थापित केले आहे याची खात्री करा (C:\Program Files\Google\Chrome\Application) त्यामुळे द GoogleChromeElevationService डिव्हाइस-बाउंड सेशन क्रेडेन्शियल्स (DBSC) द्वारे सिस्टम विशेषाधिकार स्तर आणि TPM हार्डवेअर कीशी कुकी एन्क्रिप्शन बाइंड करू शकते.
• विंडोज रन बॉक्स अक्षम करा (Win + R) किंवा mshta.exe "क्लिकफिक्स" बनावट कॅप्चा हल्ले अवरोधित करण्यासाठी: कधीही दाबू नका Win + R -> Ctrl + V -> Enter जेव्हा वेबसाइट कॅप्चा, बनावट क्लाउडफ्लेअर स्क्रीन किंवा "फिक्स मायक्रोफोन / फिक्स फॉन्ट" पॉप-अप तुम्हाला तुमच्या रन डायलॉग किंवा टर्मिनलमध्ये कमांड पेस्ट करण्यास सांगते, तेव्हा पृथ्वीवरील कोणतीही कायदेशीर वेबसाइट तुम्हाला कोड पेस्ट करण्यास सांगून मानवतेची पडताळणी करत नाही. Win + R किंवा macOS टर्मिनल.
• हार्डवेअर सिक्युरिटी की (YubiKey) किंवा पासकीज वापरा + संवेदनशील क्रियांसाठी पुन्हा-प्रमाणीकरण आवश्यक: चोरी झालेल्या सत्राच्या कुकीज प्रारंभिक लॉगिन प्रॉम्प्टला बायपास करत असताना, प्रमुख प्लॅटफॉर्म (Google, GitHub, Cloudflare, AWS, Coinbase) लागू करतात **स्टेप-अप ऑथेंटिकेशन **फिजिकल ऑथेंटिकेशन २) सेशन कुकी असलेल्या कोणालाही तुमचा पासवर्ड बदलण्याची, डेटा एक्सपोर्ट करण्याची किंवा पैसे काढण्याचा पत्ता जोडण्याची परवानगी देण्यापूर्वी YubiKey टॅप करा किंवा पासकी बायोमेट्रिक तपासा.
• डार्कनेट मॉनिटरिंग डेटाबेसवर तुमचा ईमेल किंवा स्टिलर लॉग दिसला आहे का ते तपासा: भेट द्या haveibeenpwned.com (जे आता लाखो चोर लॉग पीडित ईमेल पत्ते आणि तडजोड केलेले डोमेन अनुक्रमित करते) आणि तुमच्या ईमेल पत्त्यांसाठी विनामूल्य डार्कनेट उल्लंघन सूचना सक्षम करा.
• अविश्वसनीय डाउनलोड, गेम मोड आणि तृतीय-पक्ष स्क्रिप्ट व्हर्च्युअल मशीन किंवा विंडोज सँडबॉक्समध्ये अलग करा: कधीही असत्यापित चालवू नका .exe, .msi, .dmg, .bat, किंवा पायथन pip / नोड npm पोस्ट-इंस्टॉल स्क्रिप्ट थेट होस्ट ऑपरेटिंग सिस्टमवर आहेत ज्यात तुमचे प्रमाणीकृत वेब ब्राउझर सत्र आणि आर्थिक लॉगिन आहेत. Windows Sandbox सक्षम करा (Windows वैशिष्ट्ये चालू किंवा बंद करा > Windows Sandbox द्वारे Windows 10/11 Pro आणि Enterprise मध्ये अंगभूत) किंवा तृतीय-पक्ष युटिलिटीजची चाचणी करताना शून्य सेव्ह केलेल्या ब्राउझर कुकीजसह वेगळ्या व्हर्च्युअल मशीनचा वापर करा.

वारंवार विचारले जाणारे प्रश्न¶

संबंधित मार्गदर्शक¶

• मालवेअर, रॅन्समवेअर आणि स्पायवेअर संसर्ग
• MFA फिशिंग आणि ॲडव्हर्सरी-इन-द-मिडल (AiTM) बायपास
• MFA लॉकआउट: लॉक केलेली खाती कशी पुनर्प्राप्त करावी
• ईमेल खाते हॅक, अग्रेषित करण्याचे नियम आणि पुनर्प्राप्ती
• क्रिप्टोकरन्सी वॉलेट ड्रेन आणि सीड वाक्यांश तडजोड
• पासवर्ड व्यवस्थापक लॉकआउट आणि आपत्कालीन व्हॉल्ट पुनर्प्राप्ती
• आणीबाणी क्रमांक निर्देशिका

स्रोत तपासले¶

• सायबरसिक्युरिटी अँड इन्फ्रास्ट्रक्चर सिक्युरिटी एजन्सी (CISA) आणि FBI (युनायटेड स्टेट्स): Infostealer Malware (LummaC2, RedLine, Rhadamanthys) आणि टोकन/सेशन थेफ्ट कमी करणे (CSAE24 / MITER ATT&CK T1539: वेबसाईट 1539: 15050000000000000000000000) वेब सत्र कुकी).
• राष्ट्रीय मानक आणि तंत्रज्ञान संस्था (NIST) (युनायटेड स्टेट्स): NIST SP 800-63B: डिजिटल ओळख मार्गदर्शक तत्त्वे: सत्र व्यवस्थापन, पुन्हा प्रमाणीकरण आणि टोकन बंधन.
• वर्ल्ड वाइड वेब कंसोर्टियम (W3C) आणि Google Chromium सुरक्षा आर्किटेक्चर: डिव्हाइस बाउंड सेशन क्रेडेन्शियल्स (DBSC) स्पेसिफिकेशन आणि Chrome ॲप-बाउंड एन्क्रिप्शन (v20 DPAPI एलिव्हेशन) तांत्रिक दस्तऐवजीकरण.
• नॅशनल सायबर सिक्युरिटी सेंटर (NCSC) (युनायटेड किंगडम): Mitigating Malware, Infostealers, and Session Hijacking in Enterprise and Consumer Environment.
• ओपन वर्ल्डवाइड ॲप्लिकेशन सिक्युरिटी प्रोजेक्ट (OWASP): सेशन मॅनेजमेंट चीट शीट आणि OAuth 2.0 टोकन रिव्होकेशन (RFC 7009) मानक.