Отмица токена сесије, злонамерни софтвер за крађу информација и глобално опозив сесије¶

Откривање да је нападач управо објавио преваре са криптовалутама са вашег ИоуТубе, Инстаграм, Дисцорд или Кс налога, креирао правила прослеђивања у вашем Гмаил-у или Мицрософт 365 пријемном сандучету или приступио вашој корпоративној конзоли у облаку без да је икада покренуо 2ФА код на вашем телефону или упозорење е-поштом „Ново пријављивање“ је непогрешиви знак за Хијакијаке. (Пасс-тхе-Цоокие)** узрокован малвером за крађу информација. Када се пријавите на веб локацију и означите "Задржи ме пријављеним", сервер издаје шифровани колачић ХТТП сесије или ОАутх токен (као што је Гоогле-ов SID / SAPISID, Мицрософт'с ESTSAUTHPERSISTENT, или Дисцорд-а Authorization токен) који се чува у локалној СКЛите бази података вашег веб претраживача.

Породице малвера за крађу информација о роби, укључујући Лумма Стеалер, РедЛине, Видар, Раццоон, СтеалЦ, РисеПро, Рхадамантхис и Атомиц мацОС Стеалер (АМОС), немојте чекати на рачунару као традиционални вируси. Често маскиран као лажни мод за игре, крековани инсталатер софтвера, лажни „ЦлицкФик“ ПоверСхелл ЦАПТЦХА промпт или спонзорски ПДФ за сарадњу, инфостеалер се извршава за мање од 4 секунде, дешифрује ваш Цхроме, Едге, Браве или Фирефок Cookies и Login Data базе података у меморији, компримује их са датотекама новчаника за криптовалуте на радној површини, отпрема архиву на Телеграм или Ц2 сервер и се брише. Када нападач увезе ваше украдене колачиће сесије у претраживач против откривања (Multilogin, Dolphin{anty}, или Gologin), веб сервер мисли да је нападач * ваш рачунар са већ аутентификацијом, потпуно заобилазећи вашу лозинку и вашу двофакторску аутентификацију.

Уради ово сада¶

1. ПРЕСТАНИТЕ да мењате лозинке на зараженом рачунару, одмах искључите тај ПЦ или Мац са Ви-Фи мреже и ископчајте његов Етхернет кабл. Ово је грешка број 1 коју жртве праве: примећују да им је Дисцорд, Стеам или Гмаил отет, седну за исти заражени десктоп рачунар и откуцају потпуно нове лозинке у Цхроме. Ако је учитавач постојаности инфостеалер-а или заказани задатак и даље активан на тој машини, он ће одмах ухватити ваше нове лозинке и свеже колачиће сесије и послати их назад нападачу. Урадите 100 посто промене лозинке и опозива сесије са чистог паметног телефона (на мобилним подацима или чистог Ви-Фи-ја) или засебног, нетакнутог лаптопа.
2. Схватите да само промена лозинке НЕ поништава увек украдене колачиће сесије или токене за освежавање ОАутх-а, МОРАТЕ експлицитно да кликнете на „Одјави ме са свих сесија“ И опозовете ОАутх апликације трећих страна. На неколико платформи (и са Гоогле-овим недокументованим MultiLogin / issueToken ОАутх крајње тачке или дуготрајни токени сесије), једноставна промена лозинке или ротирање 2ФА могу оставити постојеће токене секундарне сесије или ОАутх токене за радну површину у животу осим ако не извршите специфичне за платформу кораке Глобална сесија и опозив токена у табели испод.
3. Ако имате софтверско проширење новчаника за криптовалуте (МетаМаск, Пхантом, Рабби, Труст Валлет, Цоинбасе Валлет, Екодус, Елецтрум) инсталирано на зараженом рачунару, одмах користите чист телефон да бисте евакуисали своја средства у потпуно нову фразу за почетак хардверског новчаника.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn за МетаМаск) поред сачуваних лозинки вашег претраживача. Чак и ако нападач још није дотакао вашу криптовалуту, ваша датотека трезора већ стоји на даркнет тржишту и чека офлајн ГПУ крекер. Извршите наше одлив новчаника криптовалуте и компромис фразе за семе води одмах.
4. Заштитите своје „Апек Идентити налоге“ (примарни имејл, менаџер лозинки, Аппле/Гоогле налог и корпоративни ССО) у првих 10 минута. На чистом паметном телефону отворите примарни Гоогле/Гмаил (myaccount.google.com/device-activity) и Мицрософт (mysignins.microsoft.com) прво налоге. Одјавите се са свих сесија на радној површини, ротирајте главну лозинку, проверите Подешавања > Прослеђивање и ПОП/ИМАП и Филтери/Правила да бисте избрисали сва скривена правила за прослеђивање е-поште која је нападач креирао да сакрије е-пошту за поништавање лозинке са других услуга и проверите регистроване лозинке и уређаје за аутентификацију.
5. Проверите свој Виндовс регистар Run кључеве, планер задатака и историју ПоверСхелл-а ако сте недавно покренули „ЦлицкФик“ лажну ЦАПТЦХА команду (Win + R -> Ctrl + V). Један од најбрже растућих вектора инфокрадова данас је лажни Цлоудфларе или Гоогле ЦАПТЦХА искачући прозор на веб страници који вас упућује да „Притисните Win + R, притисните Ctrl + V, и притисните Enter да потврди да си човек" (који тихо извршава скривени mshta.exe или powershell -w hidden -enc ... команда копирана у међуспремник).
6. Одржавајте перспективу и заштитите физичку безбедност ако кршење укључује корпоративну инфраструктуру или изнуду. Евиденције инфокрадова често покрећу аутоматизоване е-поруке са откупнином или изнудом у којима се наводи ваша украдена лозинка. Никада не плаћајте изнуђиваче; види наше изнуда и уцена на мрежи водича, и ако се икада суочите са физичком претњом, позовите свој локални број за хитне случајеве (911 у Сједињеним Државама и Канади, 112 широм Европске уније, 999 у Уједињеном Краљевству или погледајте наш бројеви за хитне случајеве именик).

Стабло одлучивања о инциденту за отмицу колачића за информације и колачића сесије¶

flowchart TD
    Root["Сумња на отмицу колачића за сесију или инфекцију малвером за крађу информација"] --> IsolatePC["КОРАК 1: Одмах искључите заражени ПЦ/Мац са Ви-Фи и Етхернет мреже (НЕ мењајте лозинке на зараженом рачунару)"]

    IsolatePC --> CryptoCheck{"Да ли је на том рачунару било проширења за крипто новчаник (МетаМаск, Пхантом, Екодус)?"}
    CryptoCheck -->|"Да"| EvacCrypto["Одмах користите чист телефон/хардверски новчаник да бисте све крипто средства пребацили на потпуно нову фразу за почетак"]
    CryptoCheck -->|"бр"| ApexLock["КОРАК 2: На чистом паметном телефону прво закључајте примарну е-пошту (Гмаил, Оутлоок, Протон)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["КОРАК 3: Извршите глобалну сесију + ОАутх токен + опозив лозинке на свим критичним налозима (погледајте матрицу платформе испод)"]

    GlobalRevoke --> ExportList["КОРАК 4: На зараженом рачунару ван мреже, извезите листу свих сачуваних лозинки и колачића претраживача да бисте тачно знали који су налози украдени"]

    ExportList --> CleanOS["КОРАК 5: Направите резервну копију само личних докумената -> Извршите брисање/поновну инсталацију чистог ОС -> Поново упишите лозинке и омогућите шифровање везано за Цхроме апликацију"]

Разумевање како Инфостеалерс заобилазе 2ФА и ДПАПИ / Кеицхаин енкрипцију¶

Како програм од 200 килобајта може да украде лозинке и колачиће сесије које Гоогле Цхроме, Мицрософт Едге и Браве шифрују на вашем чврстом диску?

1. Виндовс ДПАПИ (CryptUnprotectData) и шифровање везано за Цхроме апликације (v20):
2. У Виндовс-у, претраживачи засновани на Цхромиум-у (Цхроме, Едге, Браве, Опера, Вивалди) чувају ваше сачуване лозинке унутра %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data и колачићи ваше сесије унутра \Network\Cookies.
3. Ове СКЛите базе података су шифроване са главним кључем АЕС-256-ГЦМ који је ускладиштен у %LOCALAPPDATA%\Google\Chrome\User Data\Local State, који је заштићен Виндовс АПИ-јем за заштиту података (ДПАПИ) који је повезан са вашим пријављеним Виндовс корисничким налогом.
4. Пошто сте покренули инфостеалер као сопствени пријављен Виндовс корисник, сваки процес који је покренут под вашим корисничким налогом могао би историјски да позове CryptUnprotectData() да замолите Виндовс да дешифрује кључ. И да заобиђете Цхроме 127+ Апп-Боунд Енцриптион (v20 лифт сервис), савремени инфокрадљивци убризгавају директно у безглаву chrome.exe процес отклањања грешака (--remote-debugging-port) или користите ЦОМ елевацију да од самог Цхроме-а затражите да избаци све дешифроване колачиће уживо.
5. мацОС Кеицхаин & Атомиц мацОС Стеалер (АМОС / ПосеСтеалер):
6. На Аппле мацОС-у, крадљивци информација прерушени у .dmg преузимања (често од вас траже да "Кликните десним тастером миша -> Отвори" или превуците икону на Терминал да бисте заобишли Аппле Гатекеепер) искачући лажни изворни мацОС дијалог са натписом "Систем Преференцес жели да приступи вашим поверљивим информацијама: Унесите лозинку за пријаву на Мац". Чим унесете своју лозинку за пријаву на Мац у тај одзивник, скрипта се откључава -/Library/Keychains/login.keychain-db и копира Сафари/Цхроме колачиће, Аппле Нотес и иЦлоуд токене.
7. Гоогле MultiLogin / OAuthLogin Експлоатација регенерације токена:
8. Истраживачи безбедности открили су да крадљивци информација не краду само стандардне веб колачиће, већ извлаче и недокументоване oauth_token сервисни токени из Цхроме-а Web Data (token_service табела) СКЛите датотека. Чак и након што жртва једном промени своју Гугл лозинку, нападачи би могли да поново репродукују украдену token_service ОАутх токен против Гоогле-овог интерног OAuthLogin крајња тачка за ковање потпуно нова важећа SID колачиће прегледача осим ако се корисник експлицитно одјавио са компромитоване сесије Цхроме уређаја И опозвао приступ треће стране/ОАутх уређају.

Корак 1: Матрица за опозив глобалне сесије, колачића, ОАутх и лозинке¶

Помоћу чистог паметног телефона или чистог секундарног рачунара, направите тачну табелу од врха до дна. Наруџбина је важна: увек радите Корак А (Одјавите се са свих активних сесија/уређаја) и Корак Б (Промена лозинке) и Корак Ц (Ревизија 2ФА/Паскеис/ОАутх/Прослеђивање) заједно, ако само промените своју лозинку без прекидања активних сесија или прегледача, можете да останете у евиденцији активних сесија, а нападач на картици може да остане у току уживо. метода опоравка.

Корак 2: Како сазнати СВАКИ налог који је био изложен на вашем зараженом рачунару¶

Након што сте закључали својих 10 најважнијих налога на свом чистом телефону, суочавате се са застрашујућим питањем: „Користим тај рачунар четири године, како да знам која од мојих 250 веб локација има сачуване лозинке или активне колачиће у Цхроме-у/Едге-у када је покренут инфостеалер?“

Док држите заражени рачунар 100 посто ван мреже (Ви-Фи ИСКЉУЧЕН, Етернет искључен), укључите га и издвојите свој тачан инвентар изложености пре него што обришете машину:

1. Извезите листу сачуваних лозинки у прегледачу (CSV):
2. Отворите прегледач ван мреже (chrome://password-manager/settings у Цхроме-у, edge://wallet/settings у Едге, или about:logins у Фирефок-у) и кликните на Извези лозинке да бисте сачували Chrome Passwords.csv на чист УСБ флеш диск.
3. Зашто је ова датотека златна за ваш опоравак: Инфокрадљивац је украо ову тачну базу података. Имајући Chrome Passwords.csv испред вас даје тачну контролну листу сваког појединачног корисничког имена и лозинке за веб локацију које нападач сада поседује, тако да не пропустите стари порески портал, налог за авио миље или сајт за куповину са сачуваном кредитном картицом.
4. Проверите које су веб локације имале активне колачиће сесије (chrome://settings/content/all):
5. У Цхроме-у или Едге-у (док сте офлајн), идите на chrome://settings/content/all (или edge://settings/content/all) и сортирајте према Сачувани подаци или Најпосећенији. Било која веб локација на којој сте остали пријављени без уношења лозинке била је подложна крађи колачића сесије и треба да прекине сесију.
6. Проверите да ли је ваш самостални менаџер лозинки (1Пассворд, Битварден, КееПассКСЦ) био откључан у тренутку инфекције:
7. Ако је ваш 1Пассворд, Битварден или КееПассКСЦ трезор био ЗАКЉУЧАН када је покренут инфостеалер: злонамерни софтвер је могао да зграби само шифровани локални кеш трезора (data.json или .kdbx), који је заштићен ПБКДФ2-СХА256 / Аргон2ид + вашом главном лозинком (и тајним кључем од 34 карактера у 1 лозинки). Ако је ваша главна лозинка јака, садржај вашег трезора остаје безбедан, иако бисте и даље требали ротирати своју главну лозинку из предострожности.
8. Ако је проширење прегледача менаџера лозинки било ОТКЉУЧАНО у меморији када је малвер покренут (или ако сте сачували главну лозинку менаџера лозинки у Цхроме-овом уграђеном аутоматском попуњавању.): Претпоставите да је крадљивац информација избацио ваш трезор или ухватио вашу главну лозинку и ротирајте све критичне акредитиве унутар вашег трезора.

Корак 3: Проналажење и искорењивање постојаности Инфостеалер-а пре брисања оперативног система¶

Пре него што направите резервну копију ваших личних докумената и извршите чисту поновну инсталацију ОС-а, можете да проверите како је инфостеалер ушао у ваш систем и да ли је испустио трајни секундарни учитавач (као што је заказани задатак, регистар Run кључ, Покретање .lnk пречица или злонамерни додатак за Цхроме):

1. Покрените ову оффлине ПоверСхелл ревизију постојаности (Виндовс)¶

Отворите ПоверСхелл (Админ) на рачунару ван мреже и покрените ове четири форензичке провере само за читање:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Зашто се препоручује поновна инсталација чистог ОС-а (преко УСБ медија) након Инфостеалер-а¶

Док се покреће Мицрософт Дефендер Оффлине Сцан и Малваребитес након брисања Дефендер искључења уклања познате трајне учитаваче, алати за крађу информација о роби често повезују секундарни РАТ (тројанац за даљински приступ), СистемБЦ СОЦКС5 проки, или клипер који врши контролу над вашом штетном таблом копирао адресу Битцоин/Етхереум новчаника са адресом хакера). - Након што сте копирали своје личне документе, фотографије и Chrome Passwords.csv ван рачунара ван мреже, извршите чисту Поновну инсталацију Виндовс 11 УСБ-а (или мацОС обришите сав садржај и подешавања) према нашим водич за инфекције малвером, рансомвером и шпијунским софтвером.

3. Провера мацОС и Линук система за артефакте Инфостеалер (Atomic macOS Stealer / AMOS, Poseidonи злонамерне екстензије прегледача)¶

Ако је ваша заражена машина Аппле МацБоок/иМац или Линук радна станица за програмере, а не Виндовс ПЦ, покрените ове ванмрежне провере терминала да бисте открили и искоренили постојаност:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Заштита администрације предузећа и облака (Мицрософт Ентра ИД, Окта, Гоогле Воркспаце и АВС ИАМ)¶

Ако је рачунар заражен инфокрадом припадао софтверском инжењеру, ДевОпс администратору или запосленом у компанији који је имао активне сесије у Мицрософт Ентра ИД (Азуре АД), Окта, Гоогле Воркспаце, АВС или Цлоудфларе, чишћење локалног уређаја је само пола битке. Одмах извршите ове опозиве директоријума у облаку:

• Мицрософт Ентра ИД (Revoke-MgUserSignInSession): Кликом на „Одјави се“ у једном прегледачу не опозива увек примарне токене за освежавање (ПРТ) или Азуре ЦЛИ (az login / .azure/msal_token_cache.bin) токени копирани са диска. Ентра администратор мора да ради Revoke-MgUserSignInSession -UserId user@company.com у Мицрософт Грапх ПоверСхелл-у за ресетовање корисника signInSessionsValidFromDateTime атрибут и поништите све токене за освежавање на свим крајњим тачкама истовремено.
• АВС ЦЛИ и ротација токена програмера (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Подаци о роби експлицитно скенирају кућни директоријум сваког корисника .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, и Доцкер/Кубернетес конфигурационе датотеке. Одмах деактивирајте и ротирајте све АВС ИАМ приступне кључеве (AKIA...) у АВС конзоли, опозовите ГитХуб токене личног приступа (ghp_...) и избришите изложене ССХ јавне кључеве са производних сервера (-/.ssh/authorized_keys).
• Размена порука на рачунару и чишћење ВПН токена клијента (Телеграм Десктоп tdata, Сигнал, Слацк, ОпенВПН, ВиреГуард): Осим веб прегледача, модули инфостеалер-а посебно копирају %APPDATA%\Telegram Desktop\tdata директоријум (који омогућава нападачу да клонира цео ваш Телеграм налог на свој рачунар без СМС кода), %APPDATA%\Slack\storage, и сачувао ОпенВПН (.ovpn) / ВиреГуард (.conf) корпоративни ВПН профили. Отворите Телеграм на свом телефону (Подешавања > Уређаји -> Прекини све друге сесије), одјавите се са свих Слацк радних простора (slack.com/account/settings -> Одјавите се са свих осталих сесија) и замолите свог мрежног администратора да опозове и поново изда сертификат вашег корпоративног ВПН клијента.

Превенција: Како учинити ваш претраживач и налоге отпорним на Инфостеалерс¶

Када ваш систем буде чист и ваши налози се опораве, примените ових пет одбрана тако да крадљивац информација никада више не може да вам отме дигитални живот:

• НИКАД не складиштите лозинке у уграђеном менаџеру лозинки вашег веб прегледача (Цхроме / Едге / Браве / Фирефок Аутофилл) без хардверског/главног кључа: Сваки крадљивац информација о роби на Земљи циља Цхроме-ове Login Data Прво СКЛите табела. Укључите ИСКЉУЧЕНО „Понуди чување лозинки“ chrome://password-manager/settings и чувајте своје лозинке у наменском менаџеру лозинки без знања (1Пассворд, Битварден, Протон Пасс или КееПассКСЦ) који је конфигурисан за Аутоматско закључавање одмах када се систем закључа или након 5 минута неактивности.
• Омогућите „Девице-Боунд Сессион Цредентиалс (ДБСЦ)“ и „Апп-Боунд Енцриптион“ у Цхроме-у 127+: Уверите се да је Гоогле Цхроме или Едге ажуриран на најновију верзију и инсталиран у подразумеваном системском директоријуму (C:\Program Files\Google\Chrome\Application) тако да GoogleChromeElevationService може да повеже шифровање колачића за нивое привилегија система и ТПМ хардверске кључеве преко Девице-Боунд Сессион Цредентиалс (ДБСЦ).
• Онемогућите Виндовс Рун Бок (Win + R) или mshta.exe да блокирате "ЦлицкФик" лажне ЦАПТЦХА нападе: Никада не притискајте Win + R -> Ctrl + V -> Enter када веб-сајт ЦАПТЦХА, лажни Цлоудфларе екран или искачући прозор „Поправи микрофон/поправи фонт“ од вас затраже да налепите команду у свој дијалог Покрени или терминал, ниједна легитимна веб локација на Земљи никада не верификује човечанство тражећи од вас да налепите код у Win + R или мацОС терминал.
• Користите хардверске безбедносне кључеве (ИубиКеи) или приступне кључеве + захтевајте поновну аутентификацију за осетљиве радње: Док украдени колачићи сесије заобилазе почетне упите за пријаву, главне платформе (Гоогле, ГитХуб, Цлоудфларе, АВС, Цоинбасе) примењују **Степ-Уп Реудо2 Физичку потврду идентитета (Степ-Уп). ИубиКеи тап или биометријска провера лозинке пре него што дозволи било коме ко има колачић сесије да промени вашу лозинку, извезе податке или дода адресу за повлачење.
• Проверите да ли се ваша е-пошта или дневник крадљиваца појавио на Даркнет Мониторинг Датабасе: Посетите haveibeenpwned.com (који сада индексира милионе адреса е-поште жртава евиденције крадљиваца и компромитованих домена) и омогући бесплатна обавештења о кршењу даркнета за ваше адресе е-поште.
• Изолујте непоуздана преузимања, модове игара и скрипте трећих страна унутар виртуелне машине или Виндовс Сандбок-а: Никада немојте покретати непроверено .exe, .msi, .dmg, .bat, или Питхон pip / Ноде npm скрипте након инсталације директно на оперативни систем домаћина који одржава ваше сесије провереног веб претраживача и финансијске пријаве. Омогућите Виндовс Сандбок (уграђен у Виндовс 10/11 Про и Ентерприсе преко Укључите или искључите Виндовс функције > Виндовс Сандбок) или користите изоловану виртуелну машину са нула сачуваних колачића прегледача када тестирате услужне програме независних произвођача.

Често постављана питања¶

Повезани водичи¶

• Зараза злонамерним софтвером, рансомвером и шпијунским софтвером
• МФА пхисхинг и заобилажење противника у средини (АиТМ).
• МФА закључавање: како опоравити закључане налоге
• Хакован налог е-поште, правила прослеђивања и опоравак
• Одлив новчаника криптовалута и компромис фразе за семе
• Закључавање менаџера лозинки и хитан опоравак трезора
• Именик бројева за хитне случајеве

Извори проверени¶

• Агенција за сајбер безбедност и безбедност инфраструктуре (ЦИСА) & ФБИ (Сједињене Америчке Државе): Заједнички савети о сајбер безбедности о малверу за крађу информација (ЛуммаЦ2, РедЛине, Рхадамантхис) и ублажавање крађе токена/сесије (ЦСАЕ24 / МИТЕР АТТ&ЦК Т1539: Цоокинг Веб Стеал:405 Веб Стеал:400 Веб Стеал). Сессион Цоокие).
• Национални институт за стандарде и технологију (НИСТ) (Сједињене Америчке Државе): НИСТ СП 800-63Б: Смернице за дигитални идентитет: управљање сесијом, поновна аутентификација и везивање токена.
• Конзорцијум Ворлд Виде Веб (В3Ц) и безбедносна архитектура Гоогле Цхромиум: * Спецификација акредитива везаних за сесију (ДБСЦ) и шифровање везано за Цхроме апликације (v20 ДПАПИ Елеватион) Техничка документација*.
• Национални центар за сајбер безбедност (НЦСЦ) (Уједињено Краљевство): Ублажавање малвера, крађа информација и отмице сесија у пословним и потрошачким окружењима.
• Опен Ворлдвиде Апплицатион Сецурити Пројецт (ОВАСП): Теат Схеет за управљање сесијама и стандарди за опозив токена ОАутх 2.0 (РФЦ 7009).