Ugrabitev žetona seje, zlonamerna programska oprema Infostealer in preklic globalne seje¶

Odkritje, da je napadalec pravkar objavil goljufije s kriptovalutami iz vašega računa YouTube, Instagram, Discord ali X, ustvaril pravila za posredovanje v vašem nabiralniku Gmail ali Microsoft 365 ali dostopal do konzole v oblaku vašega podjetja brez da bi kdaj sprožil kodo 2FA na vašem telefonu ali e-poštno opozorilo »Nova prijava« je nezgrešljiv znak Ugrabitve sejnega piškotka/žetona (Pass-the-Cookie), ki ga povzroča Infostealer Malware. Ko se prijavite na spletno mesto in označite »Ohrani me prijavljenega«, strežnik izda šifriran sejni piškotek HTTP ali žeton nosilca OAuth (kot je Googlov SID / SAPISID, Microsoftov ESTSAUTHPERSISTENT, ali Discord's Authorization žeton), shranjen v lokalni zbirki podatkov SQLite vašega spletnega brskalnika.

Družine zlonamerne programske opreme Commodity infostealer, vključno z Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys in Atomic macOS Stealer (AMOS), ne čakajo na vašem računalniku kot tradicionalni virusi. Infostealer, pogosto preoblečen v ponarejen način igre, zlomljen namestitveni program programske opreme, lažni poziv PowerShell CAPTCHA »ClickFix« ali PDF za sponzorsko sodelovanje, se izvede v manj kot 4 sekundah in dešifrira vaš Chrome, Edge, Brave ali Firefox Cookies in Login Data baze podatkov v pomnilniku, jih stisne skupaj z datotekami denarnice za kriptovalute na namizju, naloži arhiv na strežnik Telegram ali C2 in se izbriše. Ko napadalec uvozi vaše ukradene sejne piškotke v brskalnik proti zaznavanju (Multilogin, Dolphin{anty}, oz Gologin), spletni strežnik misli, da je napadalec vaš že overjen računalnik, pri čemer popolnoma zaobide vaše geslo in vašo dvofaktorsko avtentikacijo.

Naredi to zdaj¶

1. NEHAJTE spreminjati svoja gesla na okuženem računalniku, nemudoma odklopite ta PC ali Mac iz Wi-Fi-ja in odklopite njegov ethernetni kabel. To je napaka št. 1, ki jo naredijo žrtve: opazijo, da je bil njihov Discord, Steam ali Gmail ugrabljen, se usedejo za popolnoma isti okuženi namizni računalnik in v Chrome vnesejo povsem nova gesla. Če je vztrajni nalagalnik infostealer ali načrtovano opravilo še vedno aktivno na tem računalniku, bo takoj zajelo vaša nova gesla in sveže piškotke seje ter jih poslalo nazaj napadalcu. Izvedite 100 odstotkov sprememb gesel in preklice sej iz čistega pametnega telefona (na mobilnih podatkih ali čistem Wi-Fi) ali ločenega, nedotaknjenega prenosnika.
2. Zavedajte se, da samo spreminjanje gesla NE razveljavi vedno ukradenih sejnih piškotkov ali žetonov za osvežitev OAuth, MORATE izrecno klikniti »Odjava iz vseh sej« IN preklicati aplikacije OAuth tretjih oseb. Na več platformah (in z Googlovimi nedokumentiranimi MultiLogin / issueToken Končne točke OAuth ali žetoni dolgotrajne seje), preprosto spreminjanje gesla ali rotiranje 2FA lahko pusti obstoječe žetone sekundarne seje ali namizne žetone OAuth pri življenju, razen če izvedete korake Globalne seje in preklic žetona za platformo v spodnji tabeli.
3. Če imate na okuženem računalniku nameščeno programsko razširitev denarnice za kriptovalute (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum), takoj uporabite čist telefon, da svoja sredstva evakuirate v povsem novo začetno frazo denarnice strojne opreme. Dnevniki Infostealerja samodejno zbirajo šifrirane datoteke trezorja (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn za MetaMask) poleg shranjenih gesel v brskalniku. Tudi če se napadalec še ni dotaknil vaše kriptovalute, vaša trezorska datoteka že stoji na temnem trgu in čaka na krekerja GPU brez povezave. Izvedite naše izčrpavanje denarnice za kriptovalute in kompromis semenske fraze vodnik takoj.
4. V prvih 10 minutah zavarujte svoje »Apex Identity Accounts« (primarni e-poštni naslov, upravitelj gesel, Apple/Google račun in korporativni SSO). Na čistem pametnem telefonu odprite svoj primarni Google/Gmail (myaccount.google.com/device-activity) in Microsoft (mysignins.microsoft.com) najprej računi. Odjavite se iz vseh namiznih sej, obrnite glavno geslo, preverite Nastavitve > Posredovanje in POP/IMAP in Filtri/pravila, da izbrišete vsa skrita pravila za posredovanje e-pošte, ki jih je napadalec ustvaril za skrivanje e-pošte za ponastavitev gesla pred drugimi storitvami, in preverite registrirana gesla in naprave za preverjanje pristnosti.
5. Preverite svoj register Windows Run ključi, načrtovalnik opravil in zgodovina lupine PowerShell, če ste pred kratkim zagnali lažni ukaz CAPTCHA »ClickFix« (Win + R -> Ctrl + V). Eden od najhitreje rastočih vektorjev infostealer danes je ponarejeno pojavno okno Cloudflare ali Google CAPTCHA na spletni strani, ki vam naroči, da "Pritisnite Win + R, pritisnite Ctrl + Vin pritisnite Enter za preverjanje, ali ste človek« (ki tiho izvede skrito mshta.exe oz powershell -w hidden -enc ... ukaz kopiran v odložišče).
6. Ohranite perspektivo in zaščitite fizično varnost, če kršitev vključuje korporativno infrastrukturo ali izsiljevanje. Dnevniki Infostealerja pogosto sprožijo avtomatizirana e-poštna sporočila z odkupnino ali spolnim izsiljevanjem, ki navajajo vaše ukradeno geslo. Nikoli ne plačajte izsiljevalcem; glej naše spolno izsiljevanje in spletno izsiljevanje in če se kdaj soočite s fizično grožnjo, pokličite lokalno številko za klic v sili (911 v Združenih državah in Kanadi, 112 po vsej Evropski uniji, 999 v Združenem kraljestvu ali obiščite našo številke za klic v sili imenik).

Odzivno drevo odziva na incidente Infostealer in sejnih piškotkov¶

flowchart TD
    Root["Domnevno ugrabitev sejnih piškotkov ali okužba z zlonamerno programsko opremo Infostealer"] --> IsolatePC["1. KORAK: Takoj izključite okuženi PC/Mac iz Wi-Fi in Ethernet (NE spreminjajte gesel na okuženem PC-ju)"]

    IsolatePC --> CryptoCheck{"Ali so bile na tem računalniku kakšne razširitve kripto denarnice (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"ja"| EvacCrypto["Takoj uporabite čisto denarnico za telefon/strojno opremo, da vsa kripto sredstva pometete v popolnoma novo semensko frazo"]
    CryptoCheck -->|"št"| ApexLock["2. KORAK: Na čistem pametnem telefonu najprej zaklenite primarno e-pošto (Gmail, Outlook, Proton)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["3. KORAK: Izvedite globalno sejo + žeton OAuth + preklic gesla v vseh kritičnih računih (glejte spodnjo matriko platforme)"]

    GlobalRevoke --> ExportList["4. KORAK: Na okuženem računalniku brez povezave izvozite seznam vseh shranjenih gesel in piškotkov brskalnika, da boste natančno vedeli, kateri računi so bili ukradeni"]

    ExportList --> CleanOS["5. KORAK: Varnostno kopirajte samo osebne dokumente -> Izvedite čisto brisanje OS/ponovno namestitev -> Ponovno vnesite geslo in omogočite šifriranje, vezano na aplikacijo Chrome"]

Razumevanje, kako Infostealers obidejo šifriranje 2FA in DPAPI / Keychain¶

Kako lahko 200-kilobajtni program ukrade gesla in sejne piškotke, ki jih Google Chrome, Microsoft Edge in Brave šifrirajo na vašem trdem disku?

1. Windows DPAPI (CryptUnprotectData) in šifriranje, vezano na aplikacijo Chrome (v20):
2. V sistemu Windows brskalniki Chromium (Chrome, Edge, Brave, Opera, Vivaldi) shranjujejo vaša shranjena gesla %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data in vaše sejne piškotke znotraj \Network\Cookies.
3. Te baze podatkov SQLite so šifrirane z glavnim ključem AES-256-GCM, shranjenim v %LOCALAPPDATA%\Google\Chrome\User Data\Local State, ki je zaščiten z Windows Data Protection API (DPAPI), povezanim z vašim prijavljenim uporabniškim računom Windows.
4. Ker ste infostealer zagnali kot svoj prijavljeni uporabnik sistema Windows, je lahko kateri koli proces, ki se izvaja pod vašim uporabniškim računom, v preteklosti klical CryptUnprotectData() zahtevati, da Windows dešifrira ključ. In da obidete Chrome 127+ šifriranje, vezano na aplikacijo (v20 storitev dvigala), sodobni infostealers vbrizgajo neposredno v brezglavega chrome.exe postopek odpravljanja napak (--remote-debugging-port) ali uporabite povišanje vrednosti COM, da od Chroma zahtevate, da izpiše vse žive dešifrirane piškotke.
5. macOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. V sistemu Apple macOS so infostealers, preoblečeni v .dmg prenosov (pogosto vas prosi, da »desni klik -> odpri« ali povlecite ikono na Terminal, da zaobidete Apple Gatekeeper) prikaže lažno izvorno pogovorno okno macOS z napisom »Sistemske nastavitve želijo dostopati do vaših zaupnih podatkov: vnesite geslo za prijavo v Mac«. Takoj, ko v ta poziv vnesete geslo za prijavo v Mac, se skript odklene -/Library/Keychains/login.keychain-db in kopira piškotke Safari/Chrome, Apple Notes in žetone iCloud.
7. Google MultiLogin / OAuthLogin Izkoriščanje regeneracije žetonov:
8. Varnostni raziskovalci so razkrili, da kradljivci informacij ne ukradejo samo standardnih spletnih piškotkov, temveč izvlečejo tudi nedokumentirane oauth_token storitveni žetoni iz Chromovega Web Data (token_service tabela) Datoteka SQLite. Tudi potem, ko žrtev enkrat spremeni svoje geslo za Google, lahko napadalci ukradeno ponovijo token_service Žeton OAuth proti Googlovemu internemu OAuthLogin končna točka za kovanje popolnoma nove veljavne SID piškotki brskalnika, razen če se je uporabnik izrecno odjavil iz ogrožene seje naprave Chrome IN preklical dostop tretje osebe/naprave OAuth.

1. korak: Globalna matrika za preklic seje, piškotka, OAuth in gesla¶

Z uporabo čistega pametnega telefona ali čistega sekundarnega računalnika delajte natančno po tej tabeli od zgoraj navzdol. Vrst je pomemben: vedno izvedite Korak A (Odjava iz vseh aktivnih sej/naprav) in Korak B (Sprememba gesla) in Korak C (Revizija 2FA/Gesla/OAuth/Posredovanje) skupaj; če samo spremenite svoje geslo, ne da bi prekinili aktivne seje, napadalčev zavihek brskalnika v živo ostane prijavljen in vas lahko opazuje ali doda lopov način okrevanja.

2. korak: Kako ugotoviti VSAK račun, ki je bil izpostavljen v vašem okuženem računalniku¶

Ko zaklenete svojih 10 najpomembnejših kritičnih računov na svojem čistem telefonu, se soočite z zastrašujočim vprašanjem: "Ta računalnik sem uporabljal štiri leta, kako naj vem, katera od mojih 250 spletnih strani je imela shranjena gesla ali aktivne piškotke v Chromu/Edge, ko se je zagnal infostealer?"

Medtem ko je okuženi računalnik 100 odstotkov brez povezave (Wi-Fi IZKLOPLJEN, Ethernet izključen), ga vklopite in izvlecite natančen popis izpostavljenosti, preden izbrišete stroj:

1. Izvozite seznam gesel, shranjenih v brskalniku (CSV):
2. Odprite brskalnik brez povezave (chrome://password-manager/settings v Chromu, edge://wallet/settings v Robu, oz about:logins v Firefoxu) in kliknite Izvozi gesla, da shranite Chrome Passwords.csv na čisti ključek USB.
3. Zakaj je ta datoteka zlata za vašo obnovitev: Infostealer je ukradel točno to bazo podatkov. imeti Chrome Passwords.csv pred vami vam ponuja natančen kontrolni seznam vsakega posameznega uporabniškega imena in gesla spletnega mesta, ki ga ima napadalec, tako da ne zamudite starega davčnega portala, računa letalskih milj ali nakupovalnega mesta s shranjeno kreditno kartico.
4. Preverite, katera spletna mesta so imela aktivne sejne piškotke (chrome://settings/content/all):
5. V Chromu ali Edge (brez povezave) pojdite na chrome://settings/content/all (oz edge://settings/content/all) in razvrstite po Shranjeni podatki ali Najbolj obiskano. Vsako spletno mesto, na katerem ste ostali prijavljeni, ne da bi vnesli geslo, je bilo ranljivo za krajo sejnih piškotkov in mora svojo sejo prekiniti.
6. Preverite, ali je bil vaš samostojni upravitelj gesel (1Password, Bitwarden, KeePassXC) v trenutku okužbe odklenjen:
7. Če je bil vaš trezor 1Password, Bitwarden ali KeePassXC ZAKLENEN, ko se je zagnal infostealer: zlonamerna programska oprema je lahko prevzela samo šifrirani predpomnilnik lokalnega trezorja (data.json oz .kdbx), ki je zaščiten s PBKDF2-SHA256 / Argon2id + vaše glavno geslo (in 34-mestni tajni ključ v 1Password). Če je vaše glavno geslo močno, ostane vsebina vašega trezorja varna, vendar morate glavno geslo vseeno zamenjati kot previdnostni ukrep.
8. Če je bila vaša razširitev brskalnika za upravitelja gesel ODKLENENA v pomnilniku, ko se je zlonamerna programska oprema zagnala (ali če ste shranili svoje glavno geslo za upravitelja gesel v Chromovo vgrajeno samodejno izpolnjevanje.): Predpostavimo, da je infostealer odložil vaš trezor ali ujel vaše glavno geslo in obrnite vse kritične poverilnice v vašem trezorju.

3. korak: Lov in izkoreninjenje vztrajnosti Infostealerja pred brisanjem operacijskega sistema¶

Preden varnostno kopirate svoje osebne dokumente in izvedete čisto ponovno namestitev operacijskega sistema, lahko preverite, kako je infostealer vstopil v vaš sistem in ali je spustil trajni sekundarni nalagalnik (kot je načrtovano opravilo, register Run ključ, Zagon .lnk bližnjica ali zlonamerna razširitev za Chrome):

1. Zaženite to revizijo vztrajnosti PowerShell brez povezave (Windows)¶

Odprite PowerShell (Admin) na računalniku brez povezave in zaženite ta štiri forenzična preverjanja samo za branje:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Zakaj je po Infostealerju priporočljiva ponovna namestitev čistega OS (prek medija USB).¶

Medtem ko izvajate Microsoft Defender Offline Scan in Malwarebytes po čiščenju izključitev Defenderja odstrani znane obstojne nalagalnike, kradljivci informacij o blagu pogosto združijo sekundarni RAT (trojanec za oddaljeni dostop), SystemBC SOCKS5 proxy ali zlonamerno programsko opremo za striženje (ki tiho nadzoruje vaše odložišče Windows in zamenja vse kopirane Naslov denarnice Bitcoin/Ethereum z naslovom hekerja). - Ko ste kopirali svoje osebne dokumente, fotografije in Chrome Passwords.csv iz računalnika brez povezave izvedite čisto Ponovno namestitev Windows 11 USB (ali macOS Izbriši vso vsebino in nastavitve) po našem vodnik po okužbah z zlonamerno programsko opremo, izsiljevalsko in vohunsko programsko opremo.

3. Revizija sistemov macOS in Linux za artefakte Infostealer (Atomic macOS Stealer / AMOS, Poseidonin zlonamerne razširitve brskalnika)¶

Če je vaš okuženi računalnik Apple MacBook/iMac ali razvijalska delovna postaja Linux in ne računalnik z operacijskim sistemom Windows, zaženite ta preverjanja terminala brez povezave, da odkrijete in izkoreninite obstojnost:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace in AWS IAM)¶

Če je računalnik, ki ga je okužil infostealer, pripadal programskemu inženirju, skrbniku DevOps ali uslužbencu podjetja, ki je imel aktivne seje v Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS ali Cloudflare, je lokalno čiščenje naprave le polovica bitke. Takoj izvedite te preklice imenikov v oblaku:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Klik na »Odjava« v enem samem brskalniku ne prekliče vedno primarnih žetonov osveževanja (PRT) ali Azure CLI (az login / .azure/msal_token_cache.bin) žetoni kopirani z diska. Zagnati se mora Entra Administrator Revoke-MgUserSignInSession -UserId user@company.com v Microsoft Graph PowerShell za ponastavitev uporabnikovega signInSessionsValidFromDateTime atribut in razveljavi vse žetone za osvežitev na vseh končnih točkah hkrati.
• AWS CLI & Rotacija žetona razvijalca (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Kradljivci informacij o blagu eksplicitno pregledajo domači imenik vsakega uporabnika .aws/credentials, .ssh/id_ed25519, .gitconfig, .envin konfiguracijske datoteke Docker/Kubernetes. Takoj deaktivirajte in zavrtite vse AWS IAM Access Keys (AKIA...) v konzoli AWS prekličite žetone osebnega dostopa GitHub (ghp_...) in izbrišite izpostavljene javne ključe SSH iz produkcijskih strežnikov (-/.ssh/authorized_keys).
• Namizno sporočanje in čiščenje odjemalskega žetona VPN (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Poleg spletnih brskalnikov moduli infostealer posebej kopirajo %APPDATA%\Telegram Desktop\tdata imenik (ki napadalcu omogoča, da klonira vaš celoten račun Telegram na svoj računalnik brez kode SMS), %APPDATA%\Slack\storage, in shranjen OpenVPN (.ovpn) / WireGuard (.conf) korporativni profili VPN. Odprite Telegram v telefonu (Nastavitve > Naprave -> Prekini vse druge seje), odjavite se iz vseh delovnih prostorov Slack (slack.com/account/settings -> Odjavite se iz vseh drugih sej) in prosite skrbnika omrežja, da prekliče in ponovno izda potrdilo odjemalca VPN podjetja.

Preprečevanje: Kako narediti svoj brskalnik in račune odporne na Infostealers¶

Ko bo vaš sistem očiščen in bodo vaši računi obnovljeni, uporabite teh pet obrambnih mehanizmov, tako da tatvin nikoli več ne bo mogel ugrabiti vašega digitalnega življenja:

• NIKOLI ne shranjujte gesel znotraj vgrajenega upravitelja gesel vašega spletnega brskalnika (Chrome/Edge/Brave/Firefox Autofill) brez strojne opreme/glavnega ključa: vsak tatvin blaga na Zemlji cilja na Chrome Login Data Najprej tabela SQLite. Izklopite IZKLOP »Ponudi shranjevanje gesel« v chrome://password-manager/settings in shranite svoja gesla v namenskem upravljalniku gesel brez znanja (1Password, Bitwarden, Proton Pass ali KeePassXC), ki je konfiguriran za Samodejno zaklepanje takoj, ko se sistem zaklene ali po 5 minutah mirovanja.
• Omogočite »Device-Bound Session Credentials (DBSC)« in »App-Bound Encryption« v Chromu 127+: Poskrbite, da bo Google Chrome ali Edge posodobljen na najnovejšo različico in nameščen v privzeti sistemski imenik (C:\Program Files\Google\Chrome\Application) torej GoogleChromeElevationService lahko veže šifriranje piškotkov na sistemske ravni privilegijev in strojne ključe TPM prek Device-Bound Session Credentials (DBSC).
• Onemogoči Windows Run Box (Win + R) oz mshta.exe za blokiranje lažnih napadov CAPTCHA "ClickFix": Nikoli ne pritisnite Win + R -> Ctrl + V -> Enter ko vas CAPTCHA spletnega mesta, ponarejen zaslon Cloudflare ali pojavno okno »Popravi mikrofon / Popravi pisavo« prosi, da prilepite ukaz v pogovorno okno Zaženi ali terminal, nobeno zakonito spletno mesto na Zemlji nikoli ne preveri človeštva tako, da vas prosi, da prilepite kodo v Win + R ali macOS terminal.
• Uporabite varnostne ključe strojne opreme (YubiKey) ali gesla + zahtevajte ponovno avtentikacijo za občutljiva dejanja: medtem ko ukradeni piškotki seje obidejo začetne pozive za prijavo, glavne platforme (Google, GitHub, Cloudflare, AWS, Coinbase) uveljavijo Step-Up Authentication (Sudo Mode), ki zahteva fizični dotik FIDO2 YubiKey ali biometrično preverjanje gesla, preden dovolite komur koli s sejnim piškotkom, da spremeni vaše geslo, izvozi podatke ali doda naslov za dvig.
• Preverite, ali se je vaša e-pošta ali dnevnik kradljivcev pojavil v bazah podatkov za spremljanje Darkneta: obiščite haveibeenpwned.com (ki zdaj indeksira na milijone e-poštnih naslovov žrtev dnevnika kradljivcev in ogroženih domen) in omogočite brezplačna obvestila o vdoru v Darknet za vaše e-poštne naslove.
• Izolirajte nezaupljive prenose, modifikacije iger in skripte tretjih oseb znotraj navideznega stroja ali peskovnika Windows: Nikoli ne izvajajte nepreverjenih .exe, .msi, .dmg, .bat, ali Python pip / Vozlišče npm skripte po namestitvi neposredno v operacijski sistem gostitelja, ki hrani vaše overjene seje spletnega brskalnika in finančne prijave. Omogočite Windows Sandbox (vgrajen v Windows 10/11 Pro in Enterprise prek Vklop ali izklop funkcij sistema Windows > Windows Sandbox) ali uporabite izoliran virtualni stroj z nič shranjenimi piškotki brskalnika, ko preskušate pripomočke tretjih oseb.

Pogosta vprašanja¶

Sorodni vodniki¶

• Okužba z zlonamerno programsko opremo, izsiljevalsko programsko opremo in vohunsko programsko opremo
• Lažno predstavljanje MFA in obvod nasprotnika v sredini (AiTM).
• Zaklepanje MFA: kako obnoviti zaklenjene račune
• Vdrl v e-poštni račun, pravila za posredovanje in obnovitev
• Izčrpavanje denarnice za kriptovalute in kompromis začetne fraze
• Zaklepanje upravitelja gesel in obnovitev trezorja v sili
• Imenik številk za klic v sili

Viri preverjeni¶

• Agencija za kibernetsko varnost in varnost infrastrukture (CISA) & FBI (Združene države): Skupna svetovanja o kibernetski varnosti o zlonamerni programski opremi Infostealer (LummaC2, RedLine, Rhadamanthys) in ublažitvi kraje žetonov/sej (CSAE24 / MITRE ATT&CK T1539: Steal Web Session Cookie & T1550.004: Splet Sejni piškotek).
• Nacionalni inštitut za standarde in tehnologijo (NIST) (Združene države): NIST SP 800-63B: Smernice za digitalno identiteto: upravljanje sej, ponovno preverjanje pristnosti in vezava žetonov.
• Konzorcij svetovnega spleta (W3C) in varnostna arhitektura Google Chromium: Specifikacija poverilnic seje, vezane na napravo (DBSC) in šifriranje, vezano na aplikacijo Chrome (v20 DPAPI Elevation) Tehnična dokumentacija.
• Nacionalni center za kibernetsko varnost (NCSC) (Združeno kraljestvo): Blaženje zlonamerne programske opreme, kraje informacij in ugrabitev sej v podjetniških in potrošniških okoljih.
• Open Worldwide Application Security Project (OWASP): Štandardi za upravljanje sej in preklic žetonov OAuth 2.0 (RFC 7009).