Перехват токена сеанса, вредоносное ПО для кражи информации и глобальный отзыв сеанса¶

Обнаружение того, что злоумышленник только что разместил мошеннические сообщения о криптовалюте из вашей учетной записи YouTube, Instagram, Discord или X, создал правила пересылки в вашем почтовом ящике Gmail или Microsoft 365 или получил доступ к вашей корпоративной облачной консоли без активации кода 2FA на вашем телефоне или оповещения по электронной почте «Новый вход в систему» является безошибочным признаком перехвата сеансовых файлов cookie/токена (Pass-the-Cookie), вызванного Infostealer Вредоносное ПО. Когда вы заходите на веб-сайт и устанавливаете флажок "Оставить меня в системе", сервер выдает зашифрованный файл cookie сеанса HTTP или токен носителя OAuth (например, Google SID / SAPISID, Microsoft ESTSAUTHPERSISTENT, или Discord Authorization токен), хранящийся в локальной базе данных SQLite вашего веб-браузера.

Семейства вредоносных программ-похитителей информации, включая Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys и Atomic macOS Stealer (AMOS), не ждут на вашем компьютере, как традиционные вирусы. Информационный вор, часто маскирующийся под поддельный игровой мод, взломанный установщик программного обеспечения, поддельное приглашение CAPTCHA «ClickFix» PowerShell или PDF-файл для сотрудничества со спонсорами, выполняется менее 4 секунд и расшифровывает ваш Chrome, Edge, Brave или Firefox. Cookies и Login Data базы данных в памяти, заархивирует их вместе с файлами криптовалютного кошелька вашего рабочего стола, загружает архив на сервер Telegram или C2 и удаляет себя. Когда злоумышленник импортирует украденные файлы cookie сеанса в антиобнаруженный браузер (Multilogin, Dolphin{anty}, или Gologin), веб-сервер думает, что злоумышленник является вашим компьютером, уже прошедшим аутентификацию, полностью игнорируя как ваш пароль, так и двухфакторную аутентификацию.

Сделай это сейчас¶

1. ПРЕКРАТИТЕ менять пароли на зараженном компьютере, немедленно отключите этот ПК или Mac от Wi-Fi и отсоедините кабель Ethernet. Это ошибка №1, которую совершают жертвы: они замечают, что их Discord, Steam или Gmail были взломаны, садятся за тот же самый зараженный настольный компьютер и вводят новые пароли в Chrome. Если постоянный загрузчик Infostealer или запланированное задание все еще активны на этом компьютере, они немедленно перехватят ваши новые пароли и свежие файлы cookie сеанса и отправят их обратно злоумышленнику. Выполняйте 100 процентов смены паролей и отзыва сеансов на чистом смартфоне (с использованием сотовых данных или чистом Wi-Fi) или на отдельном, нетронутом ноутбуке.
2. Поймите, что смена пароля НЕ всегда делает недействительными украденные файлы cookie сеанса или токены обновления OAuth. Вы ДОЛЖНЫ явно нажать «Выйти из всех сеансов» И отозвать сторонние приложения OAuth. На нескольких платформах (и с помощью недокументированных Google MultiLogin / issueToken Конечные точки OAuth или долгоживущие токены сеанса), простая смена пароля или смена двухфакторной аутентификации может оставить существующие вторичные токены сеанса или токены настольных компьютеров OAuth активными, если вы не выполните действия Глобальный сеанс и отзыв токена для конкретной платформы, указанные в таблице ниже.
3. Если на зараженном компьютере установлено расширение программного криптовалютного кошелька (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum), воспользуйтесь чистым телефоном прямо сейчас, чтобы перевести свои средства на совершенно новую исходную фразу аппаратного кошелька. Журналы Infostealer автоматически собирают зашифрованные файлы хранилища (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn для MetaMask) вместе с паролями, сохраненными в вашем браузере. Даже если злоумышленник еще не коснулся вашей криптовалюты, файл вашего хранилища уже находится на рынке даркнета в ожидании автономного взломщика графического процессора. Выполните наши Утечка криптовалютного кошелька и компрометация исходной фразы руководство немедленно.
4. Защитите свои «учетные записи Apex Identity» (основной адрес электронной почты, менеджер паролей, учетную запись Apple/Google и корпоративный единый вход) в течение первых 10 минут. На чистом смартфоне откройте основной Google/Gmail (myaccount.google.com/device-activity) и Microsoft (mysignins.microsoft.com) аккаунты в первую очередь. Выйдите из всех сеансов рабочего стола, поменяйте главный пароль, отметьте Настройки > Пересылка и POP/IMAP и Фильтры/Правила, чтобы удалить все скрытые правила переадресации электронной почты, созданные злоумышленником для сокрытия электронных писем со сбросом пароля от других служб, а также проверьте зарегистрированные пароли и устройства аутентификации.
5. Проверьте реестр Windows Run ключи, планировщик задач и историю PowerShell, если вы недавно выполнили поддельную команду CAPTCHA «ClickFix» (Win + R -> Ctrl + V). Одним из наиболее быстро растущих векторов информационных воров сегодня является поддельное всплывающее окно Cloudflare или Google CAPTCHA на веб-странице, которое инструктирует вас "Нажмите Win + R, нажмите Ctrl + Vи нажмите Enter чтобы убедиться, что вы человек» (который молча выполняет скрытое mshta.exe или powershell -w hidden -enc ... команда скопирована в буфер обмена).
6. Сохраняйте перспективу и защищайте физическую безопасность, если взлом связан с корпоративной инфраструктурой или вымогательством. Журналы Infostealer часто приводят к автоматическим электронным письмам с требованием выкупа или вымогательством, в которых цитируется ваш украденный пароль. Никогда не платите вымогателям; см. наш секс-вымогательство и онлайн-шантаж руководство, а если вы когда-нибудь столкнетесь с физической угрозой, позвоните по местному номеру службы экстренной помощи (911 в США и Канаде, 112 в Европейском Союзе, 999 в Великобритании или посетите наш номера экстренных служб каталог).

Дерево решений по реагированию на инциденты с использованием информационных воров и захвата сеансовых файлов cookie¶

flowchart TD
    Root["Подозрение на перехват файлов cookie сеанса или заражение вредоносным ПО Infostealer"] --> IsolatePC["ШАГ 1. Немедленно отключите зараженный ПК/Mac от Wi-Fi и Ethernet (НЕ меняйте пароли на зараженном ПК)"]

    IsolatePC --> CryptoCheck{"Были ли на этом компьютере какие-либо расширения криптокошелька (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"Да"| EvacCrypto["Немедленно используйте чистый телефон/аппаратный кошелек, чтобы переместить все криптоактивы в совершенно новую исходную фразу"]
    CryptoCheck -->|"Нет"| ApexLock["ШАГ 2. На чистом смартфоне сначала заблокируйте основной адрес электронной почты (Gmail, Outlook, Proton)."]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["ШАГ 3. Выполнение глобального сеанса + токен OAuth + отзыв пароля для всех критически важных учетных записей (см. матрицу платформы ниже)."]

    GlobalRevoke --> ExportList["ШАГ 4. На зараженном компьютере в автономном режиме экспортируйте список всех сохраненных паролей браузера и файлов cookie, чтобы точно знать, какие учетные записи были украдены."]

    ExportList --> CleanOS["ШАГ 5. Создайте резервную копию только личных документов -> выполните чистую очистку/переустановку ОС -> повторно зарегистрируйте ключи доступа и включите шифрование, связанное с приложением Chrome."]

Понимание того, как инфокрады обходят 2FA и шифрование DPAPI/связки ключей¶

Как программа размером 200 килобайт может украсть пароли и файлы cookie сеанса, которые Google Chrome, Microsoft Edge и Brave зашифровали на вашем жестком диске?

1. Windows DPAPI (CryptUnprotectData) и шифрование привязки приложений Chrome (v20):
2. В Windows браузеры на базе Chromium (Chrome, Edge, Brave, Opera, Vivaldi) хранят сохраненные пароли внутри. %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data и ваши сеансовые файлы cookie внутри \Network\Cookies.
3. Эти базы данных SQLite зашифрованы главным ключом AES-256-GCM, хранящимся в %LOCALAPPDATA%\Google\Chrome\User Data\Local State, который защищен Windows Data Protection API (DPAPI), привязанным к вашей учетной записи пользователя Windows, вошедшей в систему.
4. Поскольку вы запустили infostealer как ваш собственный пользователь, вошедший в систему Windows, любой процесс, запущенный под вашей учетной записью пользователя, исторически мог вызвать CryptUnprotectData() попросить Windows расшифровать ключ. И чтобы обойти шифрование приложений Chrome 127+ (v20 лифтовое обслуживание), современные инфокрады впрыскивают прямо в обезглавленного chrome.exe процесс отладки (--remote-debugging-port) или используйте повышение уровня COM, чтобы попросить сам Chrome сбросить все живые расшифрованные файлы cookie.
5. Связка ключей macOS и Atomic macOS Stealer (AMOS / PoseStealer):
6. В Apple macOS инфокрады, замаскированные под .dmg загрузки (часто просят вас «Щелкнуть правой кнопкой мыши -> Открыть» или перетащить значок в Терминал, чтобы обойти Apple Gatekeeper) появляется фальшивое родное диалоговое окно macOS с надписью «Системные настройки хотят получить доступ к вашей конфиденциальной информации: введите пароль для входа в Mac». В тот момент, когда вы вводите свой пароль для входа в Mac в это приглашение, скрипт разблокируется. -/Library/Keychains/login.keychain-db и копирует файлы cookie Safari/Chrome, Apple Notes и токены iCloud.
7. Google MultiLogin / OAuthLogin Эксплойт регенерации токена:
8. Исследователи безопасности обнаружили, что инфокрады не только крадут стандартные веб-файлы cookie, но и извлекают недокументированныеoauth_token сервисные токены от ChromeWeb Data (token_service таблица) файл SQLite. Даже после того, как жертва однажды поменяет свой пароль Google, злоумышленники могут ранее воспроизвести украденный пароль. token_service Токен OAuth для внутреннего доступа Google OAuthLogin конечная точка для монетного двора совершенно новая действительна SID файлы cookie браузера, за исключением случаев, когда пользователь явным образом вышел из взломанного сеанса устройства Chrome И отозвал доступ стороннего устройства/устройства OAuth.

Шаг 1. Глобальная сессия, файлы cookie, OAuth и матрица отзыва паролей¶

Используя чистый смартфон или чистый дополнительный компьютер, просмотрите эту таблицу сверху вниз. Порядок имеет значение: всегда выполняйте Шаг A (выход из всех активных сеансов/устройств) и Шаг B (Изменить пароль) и Шаг C (Аудит 2FA/пароли/OAuth/переадресация) вместе. Если вы меняете только пароль, не завершая активные сеансы, активная вкладка браузера злоумышленника останется в системе и сможет наблюдать за вами или добавить мошеннический метод восстановления.

Step 2: How to find out EVERY account that was exposed on your infected computer¶

After you have locked down your top 10 critical accounts on your clean phone, you face a daunting question: "I have used that computer for four years, how do I know which of my 250 websites had saved passwords or active cookies inside Chrome/Edge when the infostealer ran?"

While keeping the infected computer 100 percent offline (Wi-Fi OFF, Ethernet unplugged), turn it on and extract your exact exposure inventory before wiping the machine:

1. Export your Browser Saved Passwords List (CSV):
2. Open your browser offline (chrome://password-manager/settings in Chrome, edge://wallet/settings in Edge, or about:logins in Firefox) and click Export passwords to save Chrome Passwords.csv onto a clean USB flash drive.
3. Why this file is gold for your recovery: The infostealer stole this exact database. Having Chrome Passwords.csv in front of you gives you the exact checklist of every single website username and password the attacker now possesses, so you don't miss an old tax portal, airline miles account, or shopping site with a saved credit card.
4. Inspect which websites had active Session Cookies (chrome://settings/content/all):
5. В Chrome или Edge (в автономном режиме) перейдите к chrome://settings/content/all (or edge://settings/content/all) и сортируйте по Сохраненные данные или Самые посещаемые. Любой веб-сайт, на котором вы вошли в систему без ввода пароля, был уязвим для кражи файлов cookie сеанса и требует завершения сеанса.
6. Проверьте, был ли ваш автономный менеджер паролей (1Password, Bitwarden, KeePassXC) разблокирован на момент заражения:
7. Если ваше хранилище 1Password, Bitwarden или KeePassXC было ЗАБЛОКИРОВАНО при запуске информационного вора: вредоносное ПО могло захватить только зашифрованный кэш локального хранилища (data.json или .kdbx), который защищен PBKDF2-SHA256/Argon2id + вашим главным паролем (и 34-значным секретным ключом в 1Password). Если ваш главный пароль надежный, содержимое вашего хранилища останется в безопасности, хотя в качестве меры предосторожности вам все равно следует менять главный пароль.
8. Если расширение браузера вашего менеджера паролей было РАЗБЛОКИРОВАНО в памяти при запуске вредоносной программы (или если вы сохранили свой главный пароль Менеджера паролей внутри встроенной функции автозаполнения Chrome): предположим, что информатор сбросил ваше хранилище или захватил ваш главный пароль и поменял все важные учетные данные внутри вашего хранилища.

Step 3: Hunting and eradicating Infostealer persistence before wiping the OS¶

Before backing up your personal documents and performing a clean OS reinstall, you can inspect how the infostealer entered your system and whether it dropped a persistent secondary loader (such as a Scheduled Task, Registry Run key, Startup .lnk shortcut, or malicious Chrome Extension):

1. Run this Offline PowerShell Persistence Audit (Windows)¶

Open PowerShell (Admin) on the offline PC and run these four read-only forensic checks:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Why a Clean OS Reinstall (via USB Media) is Recommended After an Infostealer¶

While running Microsoft Defender Offline Scan and Malwarebytes after clearing Defender exclusions removes known persistence loaders, commodity infostealers frequently bundle a secondary RAT (Remote Access Trojan), SystemBC SOCKS5 proxy, or clipper malware (which silently monitors your Windows clipboard and swaps any copied Bitcoin/Ethereum wallet address with the hacker's address). - Once you have copied your personal documents, photos, and Chrome Passwords.csv off the offline PC, perform a clean Windows 11 USB Reinstall (or macOS Erase All Content and Settings) following our руководство по заражению вредоносными программами, программами-вымогателями и шпионскими программами.

3. Auditing macOS and Linux Systems for Infostealer Artifacts (Atomic macOS Stealer / AMOS, Poseidon, and Malicious Browser Extensions)¶

If your infected machine is an Apple MacBook/iMac or a Linux developer workstation rather than a Windows PC, run these offline terminal checks to detect and eradicate persistence:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace, and AWS IAM)¶

If the computer infected by an infostealer belonged to a software engineer, DevOps administrator, or corporate employee who had active sessions in Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, or Cloudflare, local device cleanup is only half the battle. Execute these cloud directory revocations immediately:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Clicking "Sign out" in a single browser does not always revoke Primary Refresh Tokens (PRTs) or Azure CLI (az login / .azure/msal_token_cache.bin) tokens copied from disk. An Entra Administrator must run Revoke-MgUserSignInSession -UserId user@company.com in Microsoft Graph PowerShell to reset the user's signInSessionsValidFromDateTime attribute and invalidate all Refresh Tokens across all endpoints simultaneously.
• AWS CLI & Developer Token Rotation (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Commodity infostealers explicitly scan every user's home directory for .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, and Docker/Kubernetes config files. Immediately deactivate and rotate all AWS IAM Access Keys (AKIA...) in the AWS Console, revoke GitHub Personal Access Tokens (ghp_...), and delete exposed SSH public keys from production servers (-/.ssh/authorized_keys).
• Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Beyond web browsers, infostealer modules specifically copy the %APPDATA%\Telegram Desktop\tdata directory (which allows an attacker to clone your entire Telegram account onto their PC without an SMS code), %APPDATA%\Slack\storage, and saved OpenVPN (.ovpn) / WireGuard (.conf) корпоративные профили VPN. Откройте Telegram на своем телефоне (Настройки > Устройства -> Завершить все остальные сеансы), выйдите из всех рабочих пространств Slack (slack.com/account/settings -> Выйдите из всех остальных сеансов) и попросите сетевого администратора отозвать и повторно выпустить сертификат корпоративного VPN-клиента.

Профилактика: как защитить ваш браузер и учетные записи от информационных воров¶

Как только ваша система будет очищена и ваши учетные записи восстановлены, внедрите эти пять мер защиты, чтобы инфокрад никогда больше не смог похитить вашу цифровую жизнь:

• НИКОГДА не храните пароли во встроенном менеджере паролей вашего веб-браузера (Chrome / Edge / Brave / Firefox с автозаполнением) без аппаратного обеспечения или главного ключа.: Каждый вор товарной информации на Земле нацелен на Chrome. Login Data Таблица SQLite в первую очередь. Отключите ВЫКЛ "Предлагать сохранять пароли" в chrome://password-manager/settings и храните свои пароли в специальном менеджере паролей с нулевым разглашением данных (1Password, Bitwarden, Proton Pass или KeePassXC), настроенном на автоматическую блокировку сразу после блокировки системы или после 5 минут простоя.
• Включите «Учетные данные сеанса, привязанные к устройству (DBSC)» и «Шифрование, привязанное к приложению» в Chrome 127+: убедитесь, что Google Chrome или Edge обновлены до последней версии и установлены в системный каталог по умолчанию (C:\Program Files\Google\Chrome\Application), так что GoogleChromeElevationService может привязать шифрование файлов cookie к уровням привилегий системы и аппаратным ключам TPM через Учетные данные сеанса, привязанные к устройству (DBSC).
• Отключите окно запуска Windows (Win + R) или mshta.exe чтобы заблокировать фальшивые атаки CAPTCHA «ClickFix»: никогда не нажимайте Win + R -> Ctrl + V -> Enter когда CAPTCHA веб-сайта, поддельный экран Cloudflare или всплывающее окно «Исправить микрофон / Исправить шрифт» просят вас вставить команду в диалоговое окно «Выполнить» или терминал, ни один законный веб-сайт на Земле никогда не проверяет человечность, прося вас вставить код в Win + R или терминал macOS.
• Используйте аппаратные ключи безопасности (YubiKey) или пароли + требуйте повторной аутентификации для конфиденциальных действий. Хотя украденные файлы cookie сеанса обходят первоначальные запросы на вход в систему, основные платформы (Google, GitHub, Cloudflare, AWS, Coinbase) применяют Пошаговую аутентификацию (режим Sudo), требующую физического касания FIDO2 YubiKey или биометрической проверки пароля, прежде чем разрешить любому, у кого есть файл cookie сеанса, изменить ваш пароль, экспортировать данные или добавить адрес вывода.
• Проверьте, появилась ли ваша электронная почта или журнал воров в базах данных мониторинга Darknet: Посетите haveibeenpwned.com (который теперь индексирует миллионы адресов электронной почты жертв журналов воров и скомпрометированных доменов) и включает бесплатные уведомления о нарушениях в даркнете для ваших адресов электронной почты.
• Изолируйте ненадежные загрузки, игровые моды и сторонние скрипты внутри виртуальной машины или песочницы Windows: никогда не запускайте непроверенные файлы. .exe, .msi, .dmg, .batили Питон pip / Узел npm сценарии после установки непосредственно в операционной системе хоста, в которой хранятся ваши аутентифицированные сеансы веб-браузера и финансовые входы в систему. Включите Песочницу Windows (встроенную в Windows 10/11 Pro и Enterprise через Включение и отключение функций Windows > Песочница Windows) или используйте изолированную виртуальную машину без сохранения файлов cookie браузера при тестировании сторонних утилит.

Часто задаваемые вопросы¶

Связанные руководства¶

• Заражение вредоносными программами, программами-вымогателями и шпионскими программами
• Фишинг MFA и обход злоумышленника посередине (AiTM)
• Блокировка MFA: как восстановить заблокированные аккаунты
• Взлом аккаунта электронной почты, правила переадресации и восстановление
• Утечка криптовалютного кошелька и компрометация сид-фразы
• Блокировка менеджера паролей и аварийное восстановление хранилища
• Каталог номеров экстренных служб

Источники проверены¶

• Агентство по кибербезопасности и безопасности инфраструктуры (CISA) и ФБР (США): Совместные рекомендации по кибербезопасности по вредоносным программам Infostealer (LummaC2, RedLine, Rhadamanthys) и предотвращению кражи токенов/сессий (CSAE24 / MITRE ATT&CK T1539: кража файлов cookie веб-сессии и T1550.004: cookie веб-сессии).
• Национальный институт стандартов и технологий (NIST) (США): NIST SP 800-63B: Рекомендации по цифровой идентификации: управление сеансами, повторная аутентификация и привязка токенов.
• Консорциум Всемирной паутины (W3C) и архитектура безопасности Google Chromium: Спецификация учетных данных сеанса, привязанного к устройству (DBSC), и шифрование, привязанное к приложениям Chrome (v20 DPAPI Elevation) Техническая документация.
• Национальный центр кибербезопасности (NCSC) (Великобритания): Защита от вредоносных программ, информационных воров и перехвата сеансов в корпоративных и потребительских средах.
• Открытый всемирный проект безопасности приложений (OWASP): Шпаргалка по управлению сеансами и стандарты отзыва токенов OAuth 2.0 (RFC 7009).