Session Token Hijacking, Infostealer Malware, u Global Session Revoka¶

L-iskoperta li attakkant għadu kif ippublika scams ta’ kripto-munita mill-kont tiegħek YouTube, Instagram, Discord, jew X, ħoloq regoli ta’ trażmissjoni fil-Gmail jew Microsoft 365 inbox tiegħek, jew aċċessa l-console tal-cloud korporattiva tiegħek mingħajr qatt ma qajjem kodiċi 2FA fuq it-telefon tiegħek jew twissija bil-posta elettronika ta’ "Login Ġdid" hija l-firma inequivocabbli ta’ **Session Cookie / Token- Hijacking- Caused by Cookie / Token Infostealer Malware. Meta tidħol f'websajt u tiċċekkja "Żommni ffirmat", is-server joħroġ cookie tas-sessjoni HTTP encrypted jew token bearer OAuth (bħal Google's SID / SAPISID, Microsoft ESTSAUTHPERSISTENT, jew Discord's Authorization token) maħżuna fid-database SQLite lokali tal-web browser tiegħek.

Familji ta’ malware ta’ infostealer tal-komoditajiet, inklużi Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys, u Atomic macOS Stealer (AMOS), ma jistennewx fuq il-kompjuter tiegħek bħal viruses tradizzjonali. Ħafna drabi moħbi bħala mod tal-logħob falz, installatur ta' softwer imxaqqaq, PowerShell CAPTCHA pront "ClickFix" falz, jew PDF ta' kollaborazzjoni ta' sponsorjar, infostealer jesegwixxi f'taħt 4 sekondi, jiddekofra l-Chrome, Edge, Brave, jew Firefox tiegħek. Cookies u Login Data databases fil-memorja, zipshom bil-fajls tal-kartiera tal-kripto-munita tad-desktop tiegħek, ittella’ l-arkivju fuq server Telegram jew C2, u tħassar lilu nnifsu. Meta l-attakkant jimporta l-cookies tas-sessjoni misruqa tiegħek f'browser kontra l-iskoperta (Multilogin, Dolphin{anty}, jew Gologin), is-server tal-web jaħseb li l-attakkant huwa il-kompjuter diġà awtentikat tiegħek, billi jinjora kompletament kemm il-password tiegħek kif ukoll l-awtentikazzjoni b'żewġ fatturi tiegħek.

Agħmel dan issa¶

1. ** WAQQAF tibdel il-passwords tiegħek fuq il-kompjuter infettat, skonnettja immedjatament dak il-PC jew Mac mill-Wi-Fi u aqla 'l-kejbil Ethernet tiegħu.** Dan huwa l-iżball #1 li jagħmlu l-vittmi: jinnutaw li Discord, Steam, jew Gmail tagħhom ġie maħtuf, joqogħdu bilqegħda eżatt fuq l-istess desktop PC infettat, u ikteb passwords ġodda fjamanti fil-Chrome. Jekk infostealer persistenza loader jew kompitu skedat għadu attiv fuq dik il-magna, immedjatament jaqbad il-passwords il-ġodda tiegħek u l-cookies tas-sessjoni ġodda u jibgħathom lura lill-attakkant. Agħmel 100 fil-mija tal-bidliet fil-password tiegħek u r-revoki tas-sessjoni minn smartphone nadif (fuq dejta ċellulari jew Wi-Fi nadif) jew laptop separat u mhux mimsus.
2. Ifhem li t-tibdil ta' password waħdu MHUX dejjem jinvalida l-cookies tas-sessjoni misruqa jew it-tokens ta' aġġornament OAuth, GĦANDEK tikklikkja espliċitament "Oħroġ mis-Sessjonijiet Kollha" U tirrevoka apps OAuth ta' partijiet terzi. Fuq diversi pjattaformi (u b'Google mhux dokumentat) MultiLogin / issueToken OAuth endpoints jew tokens ta’ sessjoni ta’ ħajja twila), sempliċiment li tbiddel il-password tiegħek jew iddawwar 2FA tista’ tħalli tokens ta’ sessjoni sekondarja eżistenti jew tokens tad-desktop OAuth ħajjin sakemm ma tesegwixxix il-passi speċifiċi għall-pjattaforma Sessjoni Globali & Revoka tat-Token fit-tabella hawn taħt.
3. **Jekk għandek estensjoni tal-kartiera tal-kripto-munita tas-softwer (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) installata fuq il-kompjuter infettat, uża telefon nadif issa biex tevakwa l-fondi tiegħek għal frażi taż-żerriegħa tal-kartiera tal-ħardwer ġdida fjamanta.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn għal MetaMask) flimkien mal-passwords salvati tal-browser tiegħek. Anke jekk l-attakkant għadu ma messx il-kripto tiegħek, il-fajl tal-kaxxa-forti tiegħek diġà qiegħed fuq suq darknet jistenna għal cracker GPU offline. Tesegwixxi tagħna cryptocurrency kartiera drain u żerriegħa frażi kompromess jiggwida immedjatament.
4. Iżgura l-"Kontijiet ta' l-Identità Apex" tiegħek (Email Primarja, Maniġer tal-Password, Kont Apple/Google, u SSO Korporattiv) fl-ewwel 10 minuti. Fuq l-ismartphone nadif tiegħek, iftaħ Google/Gmail primarju tiegħek (myaccount.google.com/device-activity) u Microsoft (mysignins.microsoft.com) kontijiet l-ewwel. Iċċekkja s-sessjonijiet kollha tad-desktop, dawwar il-password prinċipali, iċċekkja Settings > Forwarding u POP/IMAP u Filtri/Regoli biex tħassar kwalunkwe regola moħbija ta' twassil ta' email li l-attakkant ħoloq biex jaħbi emails ta' reset password minn servizzi oħra, u ċċekkja Passkeys u apparati Awtentikatur irreġistrati.
5. Awditja r-Reġistru tal-Windows tiegħek Run ċwievet, Task Scheduler, u l-istorja PowerShell jekk dan l-aħħar ħadt kmand CAPTCHA falz "ClickFix" (Win + R -> Ctrl + V). Wieħed mill-vettori ta' infostealer li qed jikber bl-aktar mod mgħaġġel illum huwa popup falz ta' Cloudflare jew Google CAPTCHA fuq paġna web li tagħtik struzzjonijiet biex "Agħfas Win + R, agħfas Ctrl + V, u agħfas Enter biex tivverifika li int bniedem" (li skiet tesegwixxi moħbi mshta.exe jew powershell -w hidden -enc ... kmand ikkupjat fil-clipboard tiegħek).
6. ** Żomm perspettiva u ħares is-sigurtà fiżika jekk il-ksur jinvolvi infrastruttura korporattiva jew estorsjoni.** Infostealer logs spiss iqanqlu emails awtomatizzati ta' fidwa jew sextortion li jikkwotaw il-password misruqa tiegħek. Qatt ma tħallas estorsjonisti; ara tagħna sextortion u rikatt onlajn gwida, u jekk qatt tiffaċċja theddida fiżika, ċempel in-numru ta’ emerġenza lokali tiegħek (911 fl-Istati Uniti u l-Kanada, 112 madwar l-Unjoni Ewropea, 999 fir-Renju Unit, jew ara tagħna numri ta' emerġenza direttorju).

Infostealer u siġra tad-deċiżjoni ta' rispons għall-inċidenti tal-ħtif tal-cookie tas-sessjoni¶

flowchart TD
    Root["Suspettata Sessjoni Cookie Ħtif jew Infostealer Malware Infezzjoni"] --> IsolatePC["PASS 1: Skonnettja minnufih PC/Mac Infettat minn Wi-Fi u Ethernet (TIBIDX IL-Passwords fuq PC Infettat)"]

    IsolatePC --> CryptoCheck{"Kienu xi Estensjonijiet tal-Kartiera Crypto (MetaMask, Phantom, Exodus) fuq Dak il-PC?"}
    CryptoCheck -->|"Iva"| EvacCrypto["Uża Kartiera tat-Telefon/Hardware Nadif Immedjatament biex Tiknes l-Assi Kripto kollha għal Frażi Żerriegħa Ġdida Fjamanta"]
    CryptoCheck -->|"Nru"| ApexLock["PASS 2: Fuq Smartphone Nadif, Lock Down Email Primarja (Gmail, Outlook, Proton) L-ewwel"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["PASS 3: Eżegwixxi Sessjoni Globali + Token OAuth + Revoka tal-Passkey madwar il-Kontijiet Kritiċi Kollha (Ara l-Matriċi tal-Pjattaforma Hawn taħt)"]

    GlobalRevoke --> ExportList["PASS 4: Fuq PC Infettat Offline, Esportazzjoni Lista tal-Passwords u Cookies kollha tal-Browser Issejvjati biex Tkun Taf Eżattament Liema Kontijiet Insterqu"]

    ExportList --> CleanOS["PASS 5: Agħmel Backup ta' Dokumenti Personali biss -> Wettaq Clean OS Imsaħ/Installa mill-ġdid -> Erġa' irreġistra l-Passikeys u Ippermetti l-Encryption ta' Chrome App-Bound"]

Nifhmu kif Infostealers jevitaw l-encryption 2FA u DPAPI / Keychain¶

Kif jista' programm ta' 200 kilobyte jisraq il-passwords u l-cookies tas-sessjoni li Google Chrome, Microsoft Edge u Brave jikkriptaw fuq il-hard drive tiegħek?

1. Windows DPAPI (CryptUnprotectData) u Chrome App-Bound Encryption (v20):
2. Fuq il-Windows, browsers ibbażati fuq il-Kromju (Chrome, Edge, Brave, Opera, Vivaldi) jaħżnu l-passwords salvati tiegħek ġewwa %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data u l-cookies tas-sessjoni tiegħek ġewwa \Network\Cookies.
3. Dawn id-databases SQLite huma encrypted b'ċavetta prinċipali AES-256-GCM maħżuna fiha %LOCALAPPDATA%\Google\Chrome\User Data\Local State, li hija protetta mill-Windows Data Protection API (DPAPI) marbuta mal-kont tal-utent tal-Windows li tkun illoggjat.
4. Minħabba li ħadt l-infostealer bħala l-utent tal-Windows li illoggja tiegħek, kwalunkwe proċess li jaħdem taħt il-kont tal-utent tiegħek jista' storikament isejjaħ CryptUnprotectData() biex titlob lill-Windows biex jiddekofra ċ-ċavetta. U biex tevita Chrome 127+ App-Bound Encryption (v20 servizz tal-liftijiet), infostealers moderni jinjettaw direttament fi bla ras chrome.exe proċess ta' debugging (--remote-debugging-port) jew uża l-elevazzjoni COM biex titlob lil Chrome innifsu biex iwarrab il-cookies kollha decrypted ħajjin.
5. MacOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. Fuq Apple macOS, infostealers moħbija bħala .dmg downloads (spiss jitolbuk biex "Ikklikkja bil-lemin -> Iftaħ" jew drag l-ikona għal Terminal biex tevita Apple Gatekeeper) pop up kaxxa ta 'dialog macOS nattiva falza qari "Preferenzi tas-Sistema trid taċċessa l-informazzjoni kunfidenzjali tiegħek: Daħħal il-password tal-login tal-Mac tiegħek". Fil-mument li ttajpja l-password tal-login tal-Mac tiegħek f'dak il-pront, l-iskrittura tinfetaħ -/Library/Keychains/login.keychain-db u tikkopja cookies Safari/Chrome, Apple Notes, u tokens iCloud.
7. Google MultiLogin / OAuthLogin Sfruttament tar-Riġenerazzjoni tat-Token:
8. Riċerkaturi tas-sigurtà żvelaw li infostealers mhux biss jisirqu cookies standard tal-web, huma wkoll estratt mhux dokumentati oauth_token tokens tas-servizz minn Chrome's Web Data (token_service tabella) Fajl SQLite. Anke wara li vittma tbiddel il-password tal-Google tagħha darba, l-attakkanti setgħu jerġgħu jilagħbu qabel il-misruqa token_service OAuth token kontra Google intern OAuthLogin endpoint għal mint ġdid fjamant validu SID cookies tal-browser sakemm l-utent b'mod espliċitu ** iffirma s-sessjoni kompromessa tal-apparat Chrome U irrevoka aċċess għal tagħmir OAuth ta' partijiet terzi**.

Pass 1: Matriċi ta' Revoka ta' Sessjoni Globali, Cookie, OAuth, u Passkey¶

Billi tuża smartphone nadif jew kompjuter sekondarju nadif, aħdem 'l isfel minn din it-tabella eżatta minn fuq għal isfel. Ordna kwistjonijiet: dejjem agħmel Pass A (Iċċekja s-sessjonijiet/apparati attivi kollha) u Pass B (Ibdel il-password) u Pass Ċ (Verifika 2FA/Passkeys/OAuth/Trasmissjoni) flimkien, jekk tibdel il-password tiegħek biss mingħajr ma ttemm is-sessjonijiet attivi, l-attakkant jista’ jerġa’ jilloggja jew iżżid il-browser metodu.

Pass 2: Kif issir taf KULL kont li kien espost fuq il-kompjuter infettat tiegħek¶

Wara li tkun ssakkart l-aqwa 10 kontijiet kritiċi tiegħek fuq it-telefon nadif tiegħek, tiffaċċja mistoqsija skoraġġanti: "Jien użajt dak il-kompjuter għal erba' snin, kif inkun naf liema mill-250 websajt tiegħi kienet issejvjat passwords jew cookies attivi ġewwa Chrome/Edge meta dam l-infostealer?"

Waqt li żżomm il-kompjuter infettat 100 fil-mija offline (Wi-Fi OFF, Ethernet mhux ipplaggjat), ixgħel u iġbed l-inventarju eżatt tal-espożizzjoni tiegħek qabel timsaħ il-magna:

1. Esporta l-Lista tal-Password Issejvjati tal-Browser tiegħek (CSV):
2. Iftaħ il-browser tiegħek offline (chrome://password-manager/settings fi Chrome, edge://wallet/settings fi Xifer, jew about:logins fil-Firefox) u kklikkja Esport passwords biex issalva Chrome Passwords.csv fuq USB flash drive nadif.
3. Għaliex dan il-fajl huwa deheb għall-irkupru tiegħek: L-infostealer seraq din id-database eżatta. Wara li Chrome Passwords.csv quddiemek jagħtik il-lista ta' kontroll eżatta ta' kull username u password tal-websajt li l-attakkant issa jippossjedi, sabiex ma titlifx portal tat-taxxa antik, kont tal-mili tal-ajru jew sit tax-xiri b'karta ta' kreditu salvata.
4. Spezzjona liema websajts kellhom Session Cookies attivi (chrome://settings/content/all):
5. Fi Chrome jew Edge (meta tkun offline), mur chrome://settings/content/all (jew edge://settings/content/all) u agħżel skont Data maħżuna jew L-aktar miżjura. Kwalunkwe websajt fejn bqajt illoggjat mingħajr ma dtajt password kienet vulnerabbli għas-serq tal-cookie tas-sessjoni u jeħtieġ li s-sessjoni tagħha tintemm.
6. Iċċekkja jekk il-Maniġer tal-Password Standalone tiegħek (1Password, Bitwarden, KeePassXC) kienx Infetaħ fil-Mument tal-Infezzjoni:
7. Jekk il-kaxxa-forti tiegħek 1Password, Bitwarden, jew KeePassXC kienet IMSAKKATA meta dam l-infostealer: Il-malware seta' jaqbad biss il-cache tal-kaxxa-forti lokali encrypted (data.json jew .kdbx), li hija protetta minn PBKDF2-SHA256 / Argon2id + Master Password tiegħek (u Ċavetta Sigrieta ta' 34 karattru f'1Password). Jekk il-Master Password tiegħek hija b'saħħitha, il-kontenut tal-kaxxa-forti tiegħek jibqa' sigur, għalkemm xorta għandek iddawwar il-Master Password tiegħek bħala prekawzjoni.
8. Jekk l-estensjoni tal-browser tal-manager tal-password tiegħek ġiet NIXXELKA fil-memorja meta dam il-malware (jew jekk issejvjajt il-Password Master tal-Maniġer tal-Password tiegħek ġewwa l-autofill integrat ta' Chrome.): Assumi li l-infostealer tefa' l-kaxxa-forti tiegħek jew qabad il-Password Master tiegħek, u dawwar il-kredenzjali kritiċi kollha ġewwa l-kaxxa-forti tiegħek.

Pass 3: Kaċċa u eradikazzjoni persistenza Infostealer qabel timsaħ l-OS¶

Qabel ma tagħmel backup tad-dokumenti personali tiegħek u twettaq mill-ġdid OS nadif, tista’ tispezzjona kif l-infostealer daħal fis-sistema tiegħek u jekk waqax loader sekondarju persistenti (bħal Task Skedat, Reġistru Run ċavetta, Istartjar .lnk shortcut, jew Estensjoni Chrome malizzjuża):

1. Mexxi din il-Verifika tal-Persistenza PowerShell Offline (Windows)¶

Iftaħ PowerShell (Amministratur) fuq il-PC offline u agħmel dawn l-erba' kontrolli forensiċi li jinqraw biss:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Għaliex a Clean OS Reinstall (permezz tal-USB Media) hija Rakkomandata Wara Infostealer¶

Waqt li tkun qed taħdem Microsoft Defender Offline Scan u Malwarebytes wara li tikklerja l-esklużjonijiet tad-Difensuri tneħħi l-loaders tal-persistenza magħrufa, l-infostealers tal-komoditajiet spiss jgħaqqdu RAT (Remote Access Trojan), SystemBC SOCKS5 proxy, jew clipper malware (li jimmonitorjaw il-klippboard tiegħek fis-skiet). indirizz tal-hacker). - Ladarba tkun ikkupjat id-dokumenti personali tiegħek, ritratti, u Chrome Passwords.csv barra mill-PC offline, wettaq Windows 11 USB Reinstall nadif (jew macOS Ħassar il-Kontenut u l-Issettjar Kollha) wara tagħna Gwida dwar l-infezzjoni malware, ransomware u spyware.

3. Awditjar tas-Sistemi macOS u Linux għal Artifacts Infostealer (Atomic macOS Stealer / AMOS, Poseidon, u Estensjonijiet malizzjużi tal-browser)¶

Jekk il-magna infettata tiegħek hija Apple MacBook/iMac jew workstation tal-iżviluppatur Linux aktar milli PC Windows, agħmel dawn il-kontrolli tat-terminals offline biex tiskopri u teqred il-persistenza:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Konteniment tal-Amministrazzjoni tal-Intrapriża u Cloud (Microsoft Entra ID, Okta, Google Workspace, u AWS IAM)¶

Jekk il-kompjuter infettat minn infostealer kien jappartjeni lil inġinier tas-softwer, amministratur DevOps, jew impjegat korporattiv li kellu sessjonijiet attivi f'Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, jew Cloudflare, it-tindif tal-apparat lokali huwa biss nofs il-battalja. Esegwi dawn ir-revoki tad-direttorju tal-cloud immedjatament:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Meta tikklikkja "Iċċekkja" f'browser wieħed mhux dejjem tirrevoka Primary Refresh Tokens (PRTs) jew Azure CLI (az login / .azure/msal_token_cache.bin) tokens ikkupjati minn disk. Amministratur ta' Entra għandu jiddekorri Revoke-MgUserSignInSession -UserId user@company.com fil-Microsoft Graph PowerShell biex tirrisettja l-utent signInSessionsValidFromDateTime jattribwixxi u jinvalida t-Tokens ta' Aġġornar kollha fl-endpoints kollha simultanjament.
• AWS CLI u Rotazzjoni tat-Token tal-Iżviluppatur (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Infostealers tal-komoditajiet jiskennjaw b'mod espliċitu d-direttorju tad-dar ta' kull utent .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, u Docker/Kubernetes konfig files. Immedjatament iddiżattiva u dawwar AWS IAM Access Keys kollha (AKIA...) fl-AWS Console, irrevoka GitHub Personal Access Tokens (ghp_...), u ħassar iċ-ċwievet pubbliċi SSH esposti mis-servers tal-produzzjoni (-/.ssh/authorized_keys).
• Messaġġi tal-Desktop u Purga tat-Token tal-Klijent VPN (Desktop tat-Telegram tdata, Signal, Slack, OpenVPN, WireGuard): Lil hinn mill-web browsers, il-moduli infostealer speċifikament jikkopja l- %APPDATA%\Telegram Desktop\tdata direttorju (li jippermetti lil attakkant jikklona l-kont Telegram kollu tiegħek fuq il-PC tagħhom mingħajr kodiċi SMS), %APPDATA%\Slack\storage, u salvati OpenVPN (.ovpn) / WireGuard (.conf) profili VPN korporattivi. Iftaħ Telegram fuq it-telefon tiegħek (Settings > Apparat -> Ittermina s-Sessjonijiet l-Oħrajn Kollha), iffirma l-ispazji tax-xogħol Slack kollha (slack.com/account/settings -> Filja s-sessjonijiet l-oħra kollha), u staqsi lill-amministratur tan-netwerk tiegħek biex jirrevoka u joħroġ mill-ġdid iċ-ċertifikat korporattiv tal-klijent VPN tiegħek.

Prevenzjoni: Kif tagħmel il-browser u l-kontijiet tiegħek reżistenti għal Infostealers¶

Ladarba s-sistema tiegħek tkun nadifa u l-kontijiet tiegħek jiġu rkuprati, implimenta dawn il-ħames difiżi sabiex infostealer qatt ma jista' jerġa' jaħtaf il-ħajja diġitali tiegħek:

• QATT ma taħżen passwords ġewwa l-maniġer tal-password inkorporat tal-web browser tiegħek (Chrome / Edge / Brave / Firefox Autofill) mingħajr Hardware/Master Key: Kull infostealer tal-komoditajiet fid-Dinja jimmira lejn Chrome's Login Data Tabella SQLite l-ewwel. Dawwar ITFI "Offri li tissejvja l-passwords" fi chrome://password-manager/settings u aħżen il-passwords tiegħek ġewwa maniġer tal-passwords dedikat u bla għarfien (1Password, Bitwarden, Proton Pass, jew KeePassXC) ikkonfigurat biex Lock Awtomatiku immedjatament meta s-sistema tissakkar jew wara 5 minuti ta' ħin inattiv.
• Ippermetti "Device-Bound Session Credentials (DBSC)" & "App-Bound Encryption" f'Chrome 127+: Kun żgur li Google Chrome jew Edge huma aġġornati għall-aħħar verżjoni u installati fid-direttorju default tas-sistema (C:\Program Files\Google\Chrome\Application) allura l- GoogleChromeElevationService jista' jorbot l-encryption tal-cookies mal-livelli ta' privileġġ tas-sistema u ċ-ċwievet tal-ħardwer tat-TPM permezz ta' Device-Bound Session Credentials (DBSC).
• ** Itfi l-Windows Run Box (Win + R) jew mshta.exe biex timblokka l-Attakki ta' CAPTCHA Foloz ta' "ClickFix"**: Qatt tagħfas Win + R -> Ctrl + V -> Enter meta websajt CAPTCHA, skrin Cloudflare falz, jew pop-up "Waħħal Mikrofonu / Waħħal Font" jistaqsik biex tippejstja kmand fid-djalogu Run jew Terminal tiegħek, l-ebda websajt leġittima fid-Dinja qatt ma tivverifika l-umanità billi titlobek biex tippejstja l-kodiċi ġo Win + R jew macOS Terminal.
• Uża Ċwievet tas-Sigurtà tal-Hardware (YubiKey) jew Passkeys + Irrikjedi Awtentikazzjoni mill-ġdid għal Azzjonijiet Sensittivi: Filwaqt li l-cookies tas-sessjoni misruqa jaqbdu l-promptijiet tal-login inizjali, pjattaformi ewlenin (Google, GitHub, Cloudflare, AWS, Coinbase) jinfurzaw **Awtentikazzjoni Step-Up (Modalità Sudo) ** qabel ma jippermettu kontroll bijometriku YubiKey ** kull min għandu cookie ta’ sessjoni biex jibdel il-password tiegħek, jesporta d-dejta, jew iżid indirizz ta’ rtirar.
• Iċċekkja jekk l-email jew ir-reġistru tal-stealer tiegħek dehrux fuq il-Darknet Monitoring Databases: Żur haveibeenpwned.com (li issa tindika miljuni ta' indirizzi tal-email tal-vittmi tal-log tal-stealer u dominji kompromessi) u tippermetti notifiki ta' ksur tad-darknet b'xejn għall-indirizzi tal-email tiegħek.
• Iżola dawnlowds mhux fdati, mods tal-logħob, u skripts ta’ partijiet terzi ġewwa Magni Virtwali jew Sandbox tal-Windows: Qatt mħaddem mhux ivverifikat .exe, .msi, .dmg, .bat, jew Python pip / Nodu npm skripts ta' wara l-installazzjoni direttament fuq is-sistema operattiva ospitanti li żżomm is-sessjonijiet tal-web browser awtentikati tiegħek u l-logins finanzjarji. Ippermetti Windows Sandbox (mibnija f'Windows 10/11 Pro u Enterprise permezz ta' Ixgħel jew itfi l-karatteristiċi tal-Windows > Windows Sandbox) jew uża magna virtwali iżolata b'cookies tal-browser mhux salvati meta tittestja utilitajiet ta' partijiet terzi.

Mistoqsijiet frekwenti¶

Gwidi relatati¶

• Infezzjoni minn malware, ransomware, u spyware
• Phishing tal-MFA u bypass tal-Adversary-in-the-Middle (AiTM).
• MFA lockout: kif tirkupra kontijiet msakkra
• Kont tal-email hacked, regoli ta 'trażmissjoni, u rkupru
• Drain tal-kartiera tal-kripto-munita u kompromess tal-frażi taż-żerriegħa
• Lockout tal-maniġer tal-password u rkupru tal-kaxxa-forti ta 'emerġenza
• Direttorju tan-numri ta' emerġenza

Sorsi kkontrollati¶

• Aġenzija tas-Sigurtà taċ-Ċibersigurtà u l-Infrastruttura (CISA) & FBI (l-Istati Uniti): Konsulenti Konġunti dwar iċ-Ċibersigurtà dwar Infostealer Malware (LummaC2, RedLine, Rhadamanthys) u Token Mitiganti/Serq tas-Sessjoni (CSAE24 / MITRE ATT&CK T1539: Steal Web Session Sessjoni T15 Web:5 Cookies)
• Istitut Nazzjonali tal-Istandards u t-Teknoloġija (NIST) (l-Istati Uniti): NIST SP 800-63B: Linji Gwida dwar l-Identità Diġitali: Ġestjoni tas-Sessjoni, Awtentikazzjoni mill-ġdid, u Token Binding.
• World Wide Web Consortium (W3C) & Google Chromium Security Architecture: Ispeċifikazzjoni tal-Kredenzjali ta' Sessjoni Marbuta ta' Apparat (DBSC) u Encryption ta' Chrome App-Bound (v20 Elevazzjoni DPAPI) Dokumentazzjoni Teknika.
• Ċentru Nazzjonali tas-Sigurtà Ċibernetika (NCSC) (Renju Unit): Mitigazzjoni ta' Malware, Infostealers, u Session Hijacking in Enterprise and Consumer Environments.
• Open Worldwide Application Security Project (OWASP): Cheat Sheet tal-Ġestjoni tas-Sessjoni u Standards ta' Revoka tat-Token OAuth 2.0 (RFC 7009).