सत्र टोकन अपहरण, इन्फोस्टेलर मालवेयर, र ग्लोबल सत्र रिभोकेसन¶

आक्रमणकारीले तपाईंको YouTube, Instagram, Discord, वा X खाताबाट भर्खरै क्रिप्टोकरेन्सी स्क्यामहरू पोस्ट गरेको, तपाईंको Gmail वा Microsoft 365 इनबक्समा फर्वार्डिङ नियमहरू सिर्जना गरेको वा तपाईंको कर्पोरेट क्लाउड कन्सोलमा पहुँच गरेको पत्ता लगाउनु तपाईंको फोनमा 2FA कोड वा "नयाँ लगइन" इमेल अलर्ट ** बिना नै ट्रिगर गर्न सकिने Hiokjackie को अप्रत्याशित छ। (पास-द-कुकी)** इन्फोस्टेलर मालवेयर को कारणले गर्दा। जब तपाइँ वेबसाइटमा लग इन गर्नुहुन्छ र "मलाई साइन इन राख्नुहोस्" जाँच गर्नुहुन्छ, सर्भरले एन्क्रिप्टेड HTTP सत्र कुकी वा OAuth वाहक टोकन जारी गर्दछ (जस्तै गुगलको SID / SAPISID, माइक्रोसफ्टको ESTSAUTHPERSISTENT, वा Discord को Authorization टोकन) तपाईको वेब ब्राउजरको स्थानीय SQLite डाटाबेस भित्र भण्डार गरिएको छ।

कमोडिटी इन्फोस्टेलर मालवेयर परिवारहरू, लुम्मा स्टिलर, रेडलाइन, विदार, र्याकून, स्टेलसी, राइजप्रो, राडामान्थिस, र एटोमिक म्याकोस स्टिलर (AMOS) सहित, परम्परागत भाइरसहरू जस्तै तपाईंको कम्प्युटरमा पर्खनुहोस्। प्राय: नक्कली गेम मोड, क्र्याक गरिएको सफ्टवेयर स्थापनाकर्ता, नक्कली "ClickFix" PowerShell क्याप्चा प्रम्प्ट, वा प्रायोजक सहयोग PDF को रूपमा भेषमा, एक इन्फोस्टेलरले ४ सेकेन्ड भन्दा कम मा कार्यान्वयन गर्छ, तपाईंको Chrome, Edge, Brave, वा Firefox लाई डिक्रिप्ट गर्दछ। Cookies र Login Data मेमोरीमा डाटाबेसहरू, तिनीहरूलाई तपाईंको डेस्कटप क्रिप्टोकरेन्सी वालेट फाइलहरूसँग जिप गर्नुहोस्, अभिलेखलाई टेलिग्राम वा C2 सर्भरमा अपलोड गर्दछ, र आफैलाई मेटाउँछ। जब आक्रमणकारीले तपाइँको चोरी सत्र कुकीहरू एन्टी-डिटेक्ट ब्राउजरमा आयात गर्दछ (Multilogin, Dolphin{anty}, वा Gologin), वेब सर्भरले तपाईंको पासवर्ड र तपाईंको दुई-कारक प्रमाणीकरण दुवैलाई पूर्ण रूपमा बाइपास गर्दै, आक्रमणकर्ता * तपाईंको पहिले नै-प्रमाणित कम्प्युटर हो भन्ने ठान्छ।

अब यो गर्नुहोस्¶

1. संक्रमित कम्प्युटरमा आफ्ना पासवर्डहरू परिवर्तन गर्न रोक्नुहोस्, Wi-Fi बाट पीसी वा म्याकलाई तुरुन्तै विच्छेद गर्नुहोस् र यसको इथरनेट केबल अनप्लग गर्नुहोस्। ** पीडितहरूले गरेको यो #1 गल्ती हो: उनीहरूले आफ्नो Discord, Steam, वा Gmail हाइज्याक भएको याद गर्छन्, ठ्याक्कै उही संक्रमित डेस्कटप PC मा बस्नुहोस्, र Chrome मा एकदम नयाँ पासवर्ड टाइप गर्नुहोस्। यदि कुनै इन्फोस्टेलर पर्सिस्टेन्स लोडर वा निर्धारित कार्य अझै पनि त्यो मेसिनमा सक्रिय छ भने, यसले तुरुन्तै तपाईंको नयाँ पासवर्डहरू र ताजा सत्र कुकीहरू कब्जा गर्नेछ र तिनीहरूलाई आक्रमणकर्तालाई फिर्ता पठाउनेछ। ** सफा स्मार्टफोन (सेलुलर डाटा वा सफा Wi-Fi मा) वा छुट्टै, अछोइएको ल्यापटप बाट आफ्नो पासवर्ड परिवर्तन र सत्र रद्द गर्ने शतप्रतिशत गर्नुहोस्।
2. एक्लै पासवर्ड परिवर्तन गर्दा चोरी भएको सत्र कुकीहरू वा OAuth रिफ्रेस टोकनहरू सधैँ अमान्य हुँदैन भन्ने बुझ्नुहोस्, तपाईंले स्पष्ट रूपमा "सबै सत्रहरूबाट साइन आउट गर्नुहोस्" र तेस्रो-पक्ष OAuth एपहरू रद्द गर्नुपर्छ। धेरै प्लेटफर्महरूमा (र गुगलको दस्तावेज नभएको) MultiLogin / issueToken OAuth अन्तिम बिन्दुहरू वा लामो समयसम्म चल्ने सत्र टोकनहरू), केवल तपाईंको पासवर्ड परिवर्तन गर्न वा 2FA घुमाउँदा अवस्थित माध्यमिक सत्र टोकनहरू वा OAuth डेस्कटप टोकनहरूलाई जीवित छोड्न सक्छ जबसम्म तपाईंले प्लेटफर्म-विशिष्ट ग्लोबल सेसन र टोकन रिभोकेशन चरणहरू तलको तालिकामा कार्यान्वयन गर्नुभएन।
3. **यदि तपाइँसँग सफ्टवेयर क्रिप्टोकरेन्सी वालेट एक्स्टेन्सन (मेटामास्क, फ्यान्टम, रब्बी, ट्रस्ट वालेट, कोइनबेस वालेट, एक्सोडस, इलेक्ट्रम) संक्रमित कम्प्युटरमा स्थापना गरिएको छ भने, तपाइँको कोषलाई ब्रान्ड-नयाँ हार्डवेयर वालेट सीड वाक्यांशमा खाली गर्न अहिले नै सफा फोन प्रयोग गर्नुहोस्।Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMask को लागी) तपाईको ब्राउजर सुरक्षित पासवर्डहरु संगै। यदि आक्रमणकारीले तपाईंको क्रिप्टोलाई अझै छोएको छैन भने पनि, तपाईंको भल्ट फाइल पहिले नै अफलाइन GPU क्र्याकरको लागि पर्खिरहेको डार्कनेट बजारमा बसिरहेको छ। हाम्रो कार्यान्वयन गर्नुहोस् क्रिप्टोकरन्सी वालेट ड्रेन र बीज वाक्यांश सम्झौता तुरुन्त मार्गदर्शन।
4. पहिलो १० मिनेटमा आफ्नो "Apex Identity Accounts" (प्राथमिक इमेल, पासवर्ड प्रबन्धक, Apple/Google खाता, र कर्पोरेट SSO) सुरक्षित गर्नुहोस्। ** आफ्नो सफा स्मार्टफोनमा, आफ्नो प्राथमिक खोल्नुहोस् Google / Gmail (myaccount.google.com/device-activity) र ** माइक्रोसफ्ट (mysignins.microsoft.com) पहिले खाताहरू। सबै डेस्कटप सत्रहरू साइन आउट गर्नुहोस्, मास्टर पासवर्ड घुमाउनुहोस्, जाँच गर्नुहोस् सेटिङहरू > फर्वार्डिङ र POP/IMAP र **फिल्टर/नियमहरू ** अन्य सेवाहरूबाट पासवर्ड रिसेट इमेलहरू लुकाउन आक्रमणकारीले सिर्जना गरेको कुनै पनि लुकेका इमेल फर्वार्डिङ नियमहरू मेटाउन र दर्ता गरिएका पासकीहरू र प्रमाणक उपकरणहरू जाँच गर्नुहोस्।
5. ** तपाईको विन्डोज रजिस्ट्री अडिट गर्नुहोस् Run यदि तपाईंले भर्खरै "ClickFix" नक्कली क्याप्चा आदेश चलाउनुभयो भने कुञ्जीहरू, कार्य तालिका, र PowerShell इतिहास (Win + R -> Ctrl + V).** आज सबैभन्दा छिटो बढ्दो इन्फोस्टेलर भेक्टरहरू मध्ये एक नक्कली क्लाउडफ्लेयर वा वेबपेजमा गुगल क्याप्चा पपअप हो जसले तपाईंलाई "थिच्न निर्देशन दिन्छ। Win + R, प्रेस गर्नुहोस् Ctrl + V, र थिच्नुहोस् Enter तपाई मानव हुनुहुन्छ भनी प्रमाणित गर्न" (जसले चुपचाप लुकेको कार्य गर्दछ mshta.exe वा powershell -w hidden -enc ... आदेश तपाईंको क्लिपबोर्डमा प्रतिलिपि गरियो)।
6. परिप्रेक्ष्य कायम राख्नुहोस् र यदि उल्लंघनमा कर्पोरेट पूर्वाधार वा जबरजस्ती समावेश छ भने भौतिक सुरक्षाको सुरक्षा गर्नुहोस्। इन्फोस्टेलर लगहरूले प्रायः स्वचालित फिरौती वा तपाईंको चोरीको पासवर्ड उद्धृत गर्दै सेक्सटोर्शन इमेलहरू ट्रिगर गर्दछ। लुटपाट गर्नेहरूलाई कहिल्यै नभुल्नुहोस्; हाम्रो हेर्नुहोस् यौन शोषण र अनलाइन ब्ल्याकमेल गाइड, र यदि तपाईलाई कुनै शारीरिक खतराको सामना गर्नुपर्‍यो भने, तपाईको स्थानीय आपतकालीन नम्बरमा कल गर्नुहोस् (संयुक्त राज्य अमेरिका र क्यानडामा 911, युरोपियन युनियनमा 112, युनाइटेड किंगडममा 999, वा हाम्रो आपतकालीन नम्बरहरू निर्देशिका)।

Infostealer र सत्र कुकी अपहरण घटना प्रतिक्रिया निर्णय रूख¶

flowchart TD
    Root["संदिग्ध सत्र कुकी अपहरण वा Infostealer मालवेयर संक्रमण"] --> IsolatePC["चरण 1: वाइफाइ र इथरनेटबाट संक्रमित पीसी/म्याक तुरुन्तै विच्छेद गर्नुहोस् (संक्रमित पीसीमा पासवर्डहरू परिवर्तन नगर्नुहोस्)"]

    IsolatePC --> CryptoCheck{"के त्यो पीसीमा कुनै क्रिप्टो वालेट विस्तारहरू (मेटामास्क, फ्यान्टम, एक्सोडस) थिए?"}
    CryptoCheck -->|"हो"| EvacCrypto["ब्रान्ड-नयाँ बीज वाक्यांशमा सबै क्रिप्टो सम्पत्तिहरू स्वीप गर्न तुरुन्तै सफा फोन/हार्डवेयर वालेट प्रयोग गर्नुहोस्।"]
    CryptoCheck -->|"छैन"| ApexLock["चरण 2: सफा स्मार्टफोनमा, प्राथमिक इमेल (Gmail, Outlook, Proton) पहिले लक गर्नुहोस्"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["चरण 3: विश्वव्यापी सत्र + OAuth टोकन + पासकी रिभोकेसन सबै महत्वपूर्ण खाताहरूमा कार्यान्वयन गर्नुहोस् (तलको प्लेटफर्म म्याट्रिक्स हेर्नुहोस्)"]

    GlobalRevoke --> ExportList["चरण 4: अफलाइन संक्रमित पीसीमा, सबै सुरक्षित गरिएका ब्राउजर पासवर्ड र कुकीहरूको सूची निर्यात गर्नुहोस् ठ्याक्कै कुन खाताहरू चोरी भएका थिए भनेर थाहा पाउन।"]

    ExportList --> CleanOS["चरण 5: व्यक्तिगत कागजातहरू मात्र ब्याक अप गर्नुहोस् -> क्लीन ओएस वाइप गर्नुहोस्/पुनः स्थापना गर्नुहोस् -> पासकीहरू पुन: दर्ता गर्नुहोस् र क्रोम एप-बाउन्ड इन्क्रिप्सन सक्षम गर्नुहोस्"]

Infostealers 2FA र DPAPI / कीचेन इन्क्रिप्शनलाई कसरी बाइपास गर्छ भन्ने बुझ्दै¶

कसरी 200-किलोबाइट प्रोग्रामले पासवर्ड र सत्र कुकीहरू चोर्न सक्छ जुन गुगल क्रोम, माइक्रोसफ्ट एज, र ब्रेभले तपाईंको हार्ड ड्राइभमा इन्क्रिप्ट गर्दछ?

1. ** विन्डोज DPAPI (CryptUnprotectData) र क्रोम एप-बाउन्ड इन्क्रिप्सन (v20)**:
2. विन्डोजमा, क्रोमियम-आधारित ब्राउजरहरू (क्रोम, एज, ब्रेभ, ओपेरा, भिवाल्डी) ले तपाईंका सुरक्षित गरिएका पासवर्डहरू भित्र भण्डारण गर्छन्। %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data र तपाईंको सत्र कुकीहरू भित्र \Network\Cookies।
3. यी SQLite डाटाबेसहरू भण्डारण गरिएको AES-256-GCM मास्टर कुञ्जीसँग इन्क्रिप्ट गरिएका छन्। %LOCALAPPDATA%\Google\Chrome\User Data\Local State, जुन Windows Data Protection API (DPAPI) द्वारा सुरक्षित छ तपाईको लग-इन Windows प्रयोगकर्ता खातामा बाँधिएको छ।
4. तपाईँले infostealer चलाउनुभएको हुनाले * तपाईँको आफ्नै लग-इन Windows प्रयोगकर्ता* को रूपमा, तपाईँको प्रयोगकर्ता खाता अन्तर्गत चलिरहेको कुनै पनि प्रक्रिया ऐतिहासिक रूपमा कल गर्न सक्छ। CryptUnprotectData() विन्डोजलाई कुञ्जी डिक्रिप्ट गर्न सोध्न। र बाइपास गर्न Chrome 127+ एप-बाउन्ड ईन्क्रिप्शन (v20 लिफ्ट सेवा), आधुनिक इन्फोस्टेलरहरूले टाउकोविहीनमा सिधै इन्जेक्सन गर्छन् chrome.exe डिबग प्रक्रिया (--remote-debugging-port) वा Chrome लाई सबै लाइभ डिक्रिप्टेड कुकीहरू डम्प गर्न सोध्न COM उचाइ प्रयोग गर्नुहोस्।
5. ** macOS कीचेन र परमाणु macOS चोर (AMOS / PoseStealer)**:
6. Apple macOS मा, infostealers को रूपमा भेषमा .dmg डाउनलोडहरू (प्रायः तपाईंलाई "दायाँ-क्लिक -> खोल्नुहोस्" सोध्ने वा एप्पल गेटकीपरलाई बाइपास गर्न टर्मिनल मा आइकन तान्नुहोस्) नक्कली नेटिभ म्याकोस संवाद बाकस पढ्नुहोस् "प्रणाली प्राथमिकताहरू तपाईंको गोप्य जानकारी पहुँच गर्न चाहन्छ: तपाईंको म्याक लगइन पासवर्ड प्रविष्ट गर्नुहोस्"। तपाईंले आफ्नो म्याक लगइन पासवर्ड त्यस प्रोम्प्टमा टाइप गर्ने तुरुन्तै, स्क्रिप्ट अनलक हुन्छ -/Library/Keychains/login.keychain-db र सफारी/क्रोम कुकीहरू, Apple नोटहरू, र iCloud टोकनहरू प्रतिलिपि गर्दछ।
7. ** गुगल MultiLogin / OAuthLogin टोकन पुनर्जनन शोषण**:
8. सुरक्षा अन्वेषकहरूले खुलासा गरे कि इन्फोस्टेलरहरूले मानक वेब कुकीहरू मात्र चोर्दैनन्, तिनीहरूले कागजातहीन ** पनि निकाल्छन्।oauth_token क्रोमको बाट सेवा टोकनहरूWeb Data (token_service तालिका) ** SQLite फाइल। पीडितले एक पटक आफ्नो गुगल पासवर्ड परिवर्तन गरेपछि पनि, आक्रमणकारीहरूले पहिले चोरीलाई पुन: प्ले गर्न सक्थे token_service Google को आन्तरिक विरुद्ध OAuth टोकन OAuthLogin टकसालको अन्तिम बिन्दु ब्रान्ड-नयाँ मान्य SID ब्राउजर कुकीहरू जबसम्म प्रयोगकर्ताले स्पष्ट रूपमा सम्झौता गरिएको क्रोम उपकरण सत्रबाट साइन आउट नगरे र तेस्रो-पक्ष/OAuth उपकरण पहुँच खारेज गरे।

चरण 1: ग्लोबल सत्र, कुकी, OAuth, र पासकी रिभोकेसन म्याट्रिक्स¶

सफा स्मार्टफोन वा सफा सेकेन्डरी कम्प्युटर प्रयोग गरेर, यो सही तालिकालाई माथिदेखि तलसम्म तल काम गर्नुहोस्। अर्डर मामिलाहरू: जहिले पनि गर्नुहोस् चरण A (सबै सक्रिय सत्रहरू/यन्त्रहरू साइन आउट गर्नुहोस्) र चरण B (पासवर्ड परिवर्तन गर्नुहोस्) र चरण C (अडिट २FA/Passkeys/OAuth/फर्वार्डिङ) सँगै, यदि तपाईंले सक्रिय सत्रहरू समाप्त नगरी आफ्नो पासवर्ड मात्र परिवर्तन गर्नुभयो भने, आक्रमणकर्ताको लाइभ ट्याब वा ब्राउजरमा हेर्न सक्नुहुन्छ। रिकभरी विधि।

चरण 2: तपाइँको संक्रमित कम्प्युटरमा पर्दाफास भएको प्रत्येक खाता कसरी पत्ता लगाउने¶

तपाईंले आफ्नो क्लिन फोनमा आफ्ना शीर्ष १० महत्वपूर्ण खाताहरू बन्द गरिसकेपछि, तपाईंले एउटा डरलाग्दो प्रश्नको सामना गर्नुपर्‍यो: "मैले त्यो कम्प्युटर चार वर्षदेखि प्रयोग गरेको छु, मैले कसरी थाहा पाउने कि मेरो 250 वेबसाइटहरू मध्ये कुन कुनले पासवर्डहरू वा सक्रिय कुकीहरू Chrome/Edge भित्र सुरक्षित गरेको थियो जब इन्फोस्टेलर चल्यो?"

संक्रमित कम्प्युटर १०० प्रतिशत अफलाइन (वाइफाइ अफ, इथरनेट अनप्लग्ड) राख्दा, यसलाई खोल्नुहोस् र मेसिन वाइप गर्नु अघि आफ्नो सही एक्सपोजर सूची निकाल्नुहोस्:

1. ** आफ्नो ब्राउजर सुरक्षित पासवर्ड सूची निर्यात (CSV)**:
2. आफ्नो ब्राउजर अफलाइन खोल्नुहोस् (chrome://password-manager/settings Chrome मा, edge://wallet/settings किनारामा, वा about:logins Firefox मा) र बचत गर्न निर्यात पासवर्ड मा क्लिक गर्नुहोस् Chrome Passwords.csv सफा USB फ्लैश ड्राइवमा।
3. किन यो फाइल तपाईको रिकभरीको लागि सुन हो: इन्फोस्टेलरले यो सही डाटाबेस चोर्यो। भएको Chrome Passwords.csv तपाईको अगाडि तपाईलाई आक्रमणकारीसँग भएको प्रत्येक वेबसाइट प्रयोगकर्ता नाम र पासवर्डको सही चेकलिस्ट दिन्छ, त्यसैले तपाईले पुरानो कर पोर्टल, एयरलाइन माइल खाता, वा बचत गरिएको क्रेडिट कार्डको साथ किनमेल साइटलाई नछुटाउनुहुनेछ।
4. ** कुन वेबसाइटहरूमा सक्रिय सत्र कुकीहरू थिए निरीक्षण गर्नुहोस् (chrome://settings/content/all)**:
5. क्रोम वा किनारामा (अफलाइन हुँदा), ** मा जानुहोस्chrome://settings/content/all** (वा edge://settings/content/all) र डेटा भण्डारण वा धेरै भ्रमण गरिएको अनुसार क्रमबद्ध गर्नुहोस्। कुनै पनि वेबसाइट जहाँ तपाइँ पासवर्ड टाइप नगरी लग इन रहनु भएको थियो सत्र कुकी चोरीको लागि कमजोर थियो र यसको सत्र समाप्त गर्न आवश्यक छ।
6. तपाईंको स्ट्यान्डअलोन पासवर्ड प्रबन्धक (1पासवर्ड, बिटवर्डन, KeePassXC) संक्रमणको क्षणमा अनलक गरिएको थियो भने जाँच गर्नुहोस्:
7. यदि तपाईको १ पासवर्ड, बिटवार्डन, वा KeePassXC भल्ट लक गरिएको थियो जब इन्फोस्टेलर चल्यो: मालवेयरले ईन्क्रिप्टेड स्थानीय भल्ट क्यास मात्र समात्न सक्छ (data.json वा .kdbx), जुन PBKDF2-SHA256 / Argon2id + तपाईंको मास्टर पासवर्ड (र 1Password मा 34-वर्णको गोप्य कुञ्जी) द्वारा सुरक्षित छ। यदि तपाइँको मास्टर पासवर्ड बलियो छ भने, तपाइँको भल्ट सामग्री सुरक्षित रहन्छ, यद्यपि तपाइँ अझै पनि सावधानीको रूपमा तपाइँको मास्टर पासवर्ड घुमाउनुपर्छ।
8. यदि तपाईको पासवर्ड प्रबन्धक ब्राउजर एक्सटेन्सन मेमोरीमा अनलक गरिएको थियो जब मालवेयर चल्यो (वा यदि तपाईले आफ्नो पासवर्ड प्रबन्धक मास्टर पासवर्ड क्रोमको बिल्ट-इन अटोफिल भित्र बचत गर्नुभयो भने।): मान्नुहोस् कि इन्फोस्टेलरले तपाईको भल्ट डम्प गर्यो वा तपाईको मास्टर पासवर्ड क्याप्चर गर्यो, र तपाईको सबै महत्वपूर्ण प्रमाणहरू भित्र घुमाउनुहोस्।

चरण 3: ओएस मेटाउनु अघि Infostealer दृढताको शिकार र उन्मूलन¶

आफ्नो व्यक्तिगत कागजातहरू ब्याकअप गर्नु र सफा OS पुन: स्थापना गर्नु अघि, तपाइँ इन्फोस्टेलरले तपाइँको प्रणालीमा कसरी प्रवेश गर्यो र यसले निरन्तर माध्यमिक लोडर (जस्तै अनुसूचित कार्य, रजिस्ट्री) छोडेको छ कि छैन भनेर निरीक्षण गर्न सक्नुहुन्छ। Run कुञ्जी, स्टार्टअप .lnk सर्टकट, वा मालिसियस क्रोम एक्सटेन्सन):

1. यो अफलाइन PowerShell Persistence Audit (Windows) चलाउनुहोस्¶

अफलाइन PC मा PowerShell (Admin) खोल्नुहोस् र यी चार पढ्ने-मात्र फोरेन्सिक जाँचहरू चलाउनुहोस्:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. किन सफा ओएस पुन: स्थापना (USB मिडिया मार्फत) एक Infostealer पछि सिफारिस गरिएको छ¶

चलिरहेको बेला Microsoft Defender अफलाइन स्क्यान र Malwarebytes ले डिफेन्डर बहिष्कारहरू खाली गरिसकेपछि ज्ञात पर्सिस्टेन्स लोडरहरू हटाउँछ, कमोडिटी इन्फोस्टेलरहरूले बारम्बार माध्यमिक RAT (रिमोट एक्सेस ट्रोजन) , SystemBC SOCKS5 proxy मानिटर वा मोनिटर * विन्डोज क्लिपबोर्ड र हाकरको ठेगानासँग प्रतिलिपि गरिएको Bitcoin/Ethereum वालेट ठेगाना स्व्याप गर्दछ)। - एकचोटि तपाईंले आफ्नो व्यक्तिगत कागजातहरू, फोटोहरू, र प्रतिलिपि गर्नुभयो Chrome Passwords.csv अफलाइन पीसीबाट बाहिर, सफा गर्नुहोस् Windows 11 USB Reinstall** (वा **macOS स सामग्री र सेटिङहरू मेटाउनुहोस्) मालवेयर, ransomware, र spyware संक्रमण गाइड।

3. Infostealer कलाकृतिहरूको लागि macOS र Linux प्रणालीहरूको अडिटिङ (Atomic macOS Stealer / AMOS, Poseidon, र खराब ब्राउजर विस्तारहरू)¶

यदि तपाइँको संक्रमित मेसिन विन्डोज पीसीको सट्टा Apple MacBook/iMac वा लिनक्स विकासकर्ता वर्कस्टेशन हो भने, दृढता पत्ता लगाउन र उन्मूलन गर्न यी अफलाइन टर्मिनल जाँचहरू चलाउनुहोस्:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

४. इन्टरप्राइज र क्लाउड एडमिन कन्टेनमेन्ट (Microsoft Entra ID, Okta, Google Workspace, र AWS IAM)¶

यदि इन्फोस्टेलरद्वारा संक्रमित कम्प्युटर Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, वा Cloudflare मा सक्रिय सत्रहरू भएका सफ्टवेयर इन्जिनियर, DevOps प्रशासक, वा कर्पोरेट कर्मचारीको हो भने, स्थानीय यन्त्र सफा गर्नु आधा युद्ध मात्र हो। यी क्लाउड डाइरेक्टरी रद्दीकरणहरू तुरुन्तै कार्यान्वयन गर्नुहोस्:

• **Microsoft Entra ID (Revoke-MgUserSignInSession);az login / .azure/msal_token_cache.bin) टोकनहरू डिस्कबाट प्रतिलिपि गरियो। एक Entra प्रशासक चलाउनु पर्छ Revoke-MgUserSignInSession -UserId user@company.com प्रयोगकर्ताको रिसेट गर्न Microsoft ग्राफ PowerShell मा signInSessionsValidFromDateTime एट्रिब्युट गर्नुहोस् र सबै रिफ्रेस टोकनहरू एकै साथ सबै अन्तिम बिन्दुहरूमा अमान्य गर्नुहोस्।
• AWS CLI र विकासकर्ता टोकन रोटेशन (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): कमोडिटी इन्फोस्टेलरहरूले स्पष्ट रूपमा प्रत्येक प्रयोगकर्ताको गृह डाइरेक्टरी स्क्यान गर्छन् .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, र Docker/Kubernetes कन्फिग फाइलहरू। तुरुन्तै निष्क्रिय पार्नुहोस् र सबै ** AWS IAM पहुँच कुञ्जीहरू घुमाउनुहोस् (AKIA...)** AWS कन्सोलमा, रद्द गर्नुहोस् ** GitHub व्यक्तिगत पहुँच टोकनहरू (ghp_...)**, र उत्पादन सर्भरबाट खुला SSH सार्वजनिक कुञ्जीहरू मेटाउनुहोस् (-/.ssh/authorized_keys)।
• डेस्कटप सन्देश र VPN ग्राहक टोकन पर्ज (टेलीग्राम डेस्कटप tdata, सिग्नल, स्ल्याक, OpenVPN, WireGuard): वेब ब्राउजरहरू भन्दा बाहिर, इन्फोस्टेलर मोड्युलहरू विशेष रूपमा प्रतिलिपि गर्नुहोस्। %APPDATA%\Telegram Desktop\tdata डाइरेक्टरी (जसले आक्रमणकारीलाई तपाइँको सम्पूर्ण टेलिग्राम खातालाई उनीहरूको पीसीमा बिना SMS कोड क्लोन गर्न अनुमति दिन्छ), %APPDATA%\Slack\storage, र बचत गरियो OpenVPN (.ovpn) / वायरगार्ड (.conf) कर्पोरेट VPN प्रोफाइलहरू। तपाईंको फोनमा टेलिग्राम खोल्नुहोस् (सेटिङहरू> उपकरणहरू -> सबै अन्य सत्रहरू समाप्त गर्नुहोस्), सबै स्ल्याक कार्यस्थानहरू साइन आउट गर्नुहोस् (slack.com/account/settings -> अन्य सबै सत्रहरू साइन आउट गर्नुहोस्), र तपाइँको सञ्जाल प्रशासकलाई तपाइँको कर्पोरेट VPN ग्राहक प्रमाणपत्र रद्द गर्न र पुन: जारी गर्न सोध्नुहोस्।

रोकथाम: कसरी आफ्नो ब्राउजर र खाताहरू Infostealers प्रतिरोधी बनाउन¶

एकपटक तपाईंको प्रणाली सफा भएपछि र तपाईंको खाताहरू पुनःप्राप्त भएपछि, यी पाँच सुरक्षाहरू लागू गर्नुहोस् ताकि एक इन्फोस्टेलरले तपाईंको डिजिटल जीवनलाई फेरि अपहरण गर्न सक्दैन:

• *हार्डवेयर/मास्टर कुञ्जी बिना तपाईको वेब ब्राउजरको बिल्ट-इन पासवर्ड प्रबन्धक (क्रोम / एज / ब्रेभ / फायरफक्स अटोफिल) भित्र पासवर्डहरू भण्डारण नगर्नुहोस् : पृथ्वीमा रहेका प्रत्येक वस्तु इन्फोस्टेलरले क्रोमलाई लक्षित गर्दछ। Login Data SQLite तालिका पहिले। अफ "पासवर्डहरू बचत गर्न प्रस्ताव गर्नुहोस्" मा chrome://password-manager/settings र आफ्नो पासवर्डहरू एक समर्पित, शून्य-ज्ञान पासवर्ड प्रबन्धक (१ पासवर्ड, बिटवार्डन, प्रोटोन पास, वा KeePassXC) भित्र भण्डार गर्नुहोस् ** प्रणाली लक हुँदा तुरुन्तै वा निष्क्रिय समयको 5 मिनेट पछि ** अटो-लक गर्न कन्फिगर गरिएको छ।
• क्रोम १२७+ मा "डिभाइस-बाउन्ड सेसन क्रेडेन्सियल (DBSC)" र "एप-बाउन्ड इन्क्रिप्सन" सक्षम गर्नुहोस्: गुगल क्रोम वा एज नवीनतम संस्करणमा अद्यावधिक गरिएको छ र पूर्वनिर्धारित प्रणाली डाइरेक्टरीमा स्थापना भएको छ भनी सुनिश्चित गर्नुहोस्।C:\Program Files\Google\Chrome\Application) त्यसैले द GoogleChromeElevationService कुकी इन्क्रिप्सनलाई प्रणाली विशेषाधिकार स्तरहरू र TPM हार्डवेयर कुञ्जीहरू डिभाइस-बाउन्ड सत्र प्रमाणहरू (DBSC) मार्फत बाँध्न सक्छ।
• ** विन्डोज रन बक्स असक्षम पार्नुहोस् (Win + R) वा mshta.exe "क्लिकफिक्स" नक्कली क्याप्चा आक्रमणहरू रोक्न **: कहिल्यै थिच्नुहोस् Win + R -> Ctrl + V -> Enter जब वेबसाइट क्याप्चा, नक्कली क्लाउडफ्लेयर स्क्रिन, वा "फिक्स माइक्रोफोन / फिक्स फन्ट" पप-अपले तपाइँलाई तपाइँको रन संवाद वा टर्मिनलमा आदेश टाँस्न सोध्छ, पृथ्वीको कुनै पनि वैध वेबसाइटले तपाइँलाई कोड टाँस्न सोधेर मानवता प्रमाणित गर्दैन। Win + R वा macOS टर्मिनल।
• हार्डवेयर सुरक्षा कुञ्जीहरू (YubiKey) वा पासकीहरू प्रयोग गर्नुहोस् + संवेदनशील कार्यहरूका लागि पुन: प्रमाणीकरण आवश्यक छ: चोरी सत्र कुकीहरूले प्रारम्भिक लगइन प्रम्प्टहरूलाई बाइपास गर्दा, प्रमुख प्लेटफर्महरू (Google, GitHub, Cloudflare, AWS, Coinbase) लागू गर्दछ **Step-Up Authentication **S FI-Up Authentication YubiKey ट्याप गर्नुहोस् वा पासकी बायोमेट्रिक जाँच गर्नुहोस् सत्र कुकी भएको कसैलाई पनि तपाईंको पासवर्ड परिवर्तन गर्न, डेटा निर्यात गर्न वा फिर्ता ठेगाना थप्न अनुमति दिनु अघि।
• **जाँच गर्नुहोस् कि तपाईको इमेल वा चोर लग डार्कनेट मोनिटरिङ डाटाबेसमा देखा परेको छ **: भ्रमण गर्नुहोस् haveibeenpwned.com (जसले अब लाखौं चोर लग पीडित इमेल ठेगानाहरू र सम्झौता डोमेनहरू अनुक्रमणिका गर्दछ) र तपाईंको इमेल ठेगानाहरूको लागि नि: शुल्क डार्कनेट उल्लंघन सूचनाहरू सक्षम पार्नुहोस्।
• **भर्चुअल मेसिन वा विन्डोज स्यान्डबक्स भित्र अविश्वसनीय डाउनलोडहरू, गेम मोडहरू, र तेस्रो-पक्ष स्क्रिप्टहरू अलग गर्नुहोस् **: अप्रमाणित कहिल्यै नचलाउनुहोस् .exe, .msi, .dmg, .bat, वा पाइथन pip / नोड npm पोस्ट-इन्स्टल स्क्रिप्टहरू सीधा होस्ट अपरेटिङ सिस्टममा जसले तपाईंको प्रमाणीकृत वेब ब्राउजर सत्रहरू र वित्तीय लगइनहरू राख्छ। सक्षम गर्नुहोस् Windows Sandbox (Windows 10/11 Pro र Enterprise मार्फत Windows सुविधाहरू खोल्नुहोस् वा बन्द गर्नुहोस्> Windows Sandbox) वा तेस्रो-पक्ष उपयोगिताहरूको परीक्षण गर्दा शून्य बचत गरिएका ब्राउजर कुकीहरू भएको पृथक भर्चुअल मेसिन प्रयोग गर्नुहोस्।

बारम्बार सोधिने प्रश्नहरू¶

सम्बन्धित गाइडहरू¶

• मालवेयर, ransomware, र spyware संक्रमण
• MFA फिसिङ र Adversary-in-the-Middle (AiTM) बाइपास
• MFA लकआउट: लक गरिएका खाताहरू कसरी पुन: प्राप्ति गर्ने
• इमेल खाता ह्याक, फर्वार्डिङ नियम, र रिकभरी
• Cryptocurrency वालेट ड्रेन र बीज वाक्यांश सम्झौता
• पासवर्ड प्रबन्धक लकआउट र आपतकालीन भल्ट रिकभरी
• आपतकालीन नम्बर निर्देशिका

श्रोतहरुले जाँच गरे¶

• साइबरसेक्युरिटी एण्ड इन्फ्रास्ट्रक्चर सेक्युरिटी एजेन्सी (CISA) र FBI (संयुक्त राज्य): Infostealer Malware (LummaC2, RedLine, Rhadamanthys) र Mitigating Token/Session Theft (CSAE24 / MITER ATT&CK T1539/Steokal.1539: 1539) को संयुक्त साइबर सुरक्षा सल्लाहहरू: वेब सत्र कुकी)।
• राष्ट्रिय मानक र प्रविधि संस्थान (एनआईएसटी) (संयुक्त राज्य): NIST SP 800-63B: डिजिटल पहिचान दिशानिर्देशहरू: सत्र व्यवस्थापन, पुन: प्रमाणीकरण, र टोकन बाइन्डिङ।
• वर्ल्ड वाइड वेब कन्सोर्टियम (W3C) र गुगल क्रोमियम सुरक्षा वास्तुकला: डिभाइस बाउन्ड सेसन क्रेडेन्सियल (DBSC) स्पेसिफिकेशन र क्रोम एप-बाउन्ड इन्क्रिप्सन (v20 DPAPI एलिभेसन) प्राविधिक दस्तावेज।
• नेशनल साइबर सेक्युरिटी सेन्टर (NCSC) (युनाइटेड किंगडम): Mitigating Malware, Infostealers, and Sesion Hijacking in Enterprise and Consumer Environment।
• विश्वव्यापी अनुप्रयोग सुरक्षा परियोजना (OWASP) खोल्नुहोस्: सत्र व्यवस्थापन धोखा पाना र OAuth 2.0 टोकन रिभोकेसन (RFC 7009) मानकहरू।