Ekstensi Browser jahat, Pembajak Papan Klip Crypto, sareng Reset Browser¶

Perhatikeun yén alamat dompét cryptocurrency (BTC, ETH, SOL, USDT) atanapi IBAN bank / nomer routing anjeun ngan disalin Ctrl+C (Cmd+C) magically robah jadi alamat muhrim urang instan anjeun mencet Ctrl+V (Cmd+V), mendakan yén ekstensi Chrome, Edge, Brave, atanapi Firefox anu anjeun pasang sababaraha taun ka pengker ("PDF Converter", "Volume Booster", "Video Downloader", atanapi "AI Assistant") sacara rahasia dijual ka sindikat adware sareng ayeuna nuju nyuntik tautan afiliasi anu jahat sareng panén cookies sési anjeun, atanapi mendakan mesin pencari standar anjeun dikonci kana halaman alihan anu dibajak" dina kaayaan darurat browser anjeun **"Panyungsi anjeun diurus ku browser anu parah **" Kusabab panyungsi wéb modéren nahan cookies sési anu dioténtikasi aktip anjeun pikeun Gmail, Microsoft 365, konsol awan perusahaan, manajer sandi, sareng dompét Web3, hiji ekstensi browser rogue anu dipasihkeun. "Read and change all your data on all websites" (<all_urls> atawa *://*/* idin host) ngalangkungan Multi-Factor Authentication (MFA) lengkep ku maca inputs DOM anjeun, keystrokes, jeung navigator.clipboard panyangga sacara real waktos.

Upami kompromi browser digandeng sareng pemerasan aktif, ancaman fisik, atanapi perampokan kawat perusahaan anu lumangsung, nelepon nomer darurat lokal anjeun (911 di Amérika Serikat sareng Kanada, 112 sakuliah Uni Éropa, 999 di Inggris) atanapi konsultasi diréktori internasional kami nomer darurat geuwat. Pikeun sadaya kasus ekstensi browser jahat, malware clipboard clipper crypto, atanapi pangbajak kawijakan browser, laksanakeun alur kerja panyabutan forensik sareng panyabutan sési di handap.

Laksanakeun ieu ayeuna¶

1. STOP nempelkeun data sénsitip (Ctrl+V / Cmd+V) sareng PERNAH nyatujuan transaksi mata uang digital tanpa pariksa 6 sareng 6 karakter terakhir dina layar dompét hardware anjeun: Clipboard hijacker malware ("Clippers" / CrypToClipper) ngagunakeun babasan biasa (RegEx) pikeun ngawas sistem operasi sareng clipboard browser anjeun unggal 100 milidetik. Sakedapan anjeun nyalin a 0x... alamat Ethereum, bc1... Alamat Bitcoin, atanapi alamat Solana, éta ngagentos eusi clipboard sareng alamat anu mirip sareng kasombongan anu dipiboga ku panyerang.
2. ** Pegatkeun sambungan komputer anu kainféksi tina Wi-Fi / Ethernet sateuacan dibuka chrome://extensions (edge://extensions / about:addons)**: Loba ekstensi jahat lalajo pikeun pamaké napigasi ka tab manajemén ekstensi jeung boh otomatis-tutup tab, nyumputkeun sorangan, atawa nyieun dump exfiltration ahir cookies sési kabuka Anjeun saencan Anjeun bisa klik Hapus. Pareuman Wi-Fi mimitina motong paréntah-sareng-kontrolna (C2) saluran.
3. Pareuman "Sinkronisasi Ekstensi" dina akun Google, Microsoft, atanapi Mozilla anjeun samemeh ngahapus ekstensi rogue: Upami Sinkronisasi Chrome, Edge Sync, atanapi Firefox Sync diaktipkeun, mupus ekstensi jahat sacara lokal dina hiji laptop sering gagal kusabab profil awan anjeun atanapi desktop anu ditandatanganan sanésna sacara otomatis ngadorong ekstensi deui kana mesin anjeun sababaraha menit engké. Pindah ka chrome://settings/syncSetup/advanced (edge://settings/profiles/sync) jeung togél Ekstensi ka OFF heula.
4. Rekam 32-karakter Extension ID (Developer Mode -> ID) sareng pupus ekstensi AND lokalna IndexedDB / Local Extension Settings folder ti disk: Sateuacan ngaklik Hapus, hurungkeun Mode pamekar di pojok katuhu luhur chrome://extensions sareng tuliskeun ID 32-hurup (contona, aeblfdkhhhdcdjpifhhbdiojplfjncoa). Nyaho yén ID pasti ngamungkinkeun anjeun pikeun ngonfirmasi naha ekstensi ieu ditandaan salaku malware sareng ngabersihan folder sésa-sésa di jero lokal anjeun AppData / Library diréktori.
5. Pupus kawijakan browser perusahaan palsu (chrome://policy jeung edge://policy) nu nyebutkeun "Panyungsi anjeun dikelola ku organisasi anjeun": Dina komputer imah pribadi, ningali "Dikelola ku organisasi anjeun" hartina adware atawa trojan nulis nakal ExtensionInstallForcelist atawa SearchProvider konci kana Windows Registry anjeun (HKLM\SOFTWARE\Policies\Google\Chrome) atawa Propil Konfigurasi macOS (System Settings -> General -> Device Management) janten anjeun teu tiasa ngaklik tombol Cabut.
6. Ngabatalkeun sadaya cookies sési browser anu dipaling ku ngaklik "Kaluar tina sadaya sesi" tina alat anu bersih: Kusabab ekstensi jahat sareng <all_urls> idin atawa chrome.cookies aksés parantos nyalin token login langsung anjeun, ngan saukur ngahapus ekstensi henteu ** henteu ** nyepak panyerang tina akun anjeun. Anggo smartphone anu bersih pikeun maksakeun Kaluar tina Sadaya Alat / Cabut Sesi global dina email, perbankan, awan, sareng akun sosial anjeun, sareng puterkeun kecap akses anjeun nuturkeun kami. réspon pelanggaran data sareng pituduh bocor sandi.

Tangkal kaputusan: ngasingkeun ancaman ekstensi browser, pembajak kawijakan, sareng clippers OS¶

Turutan bagan alur diagnostik ieu pikeun ngaidentipikasi lapisan browser anjeun atanapi sistem operasi anu badé dikompromi sareng ngabasmi mékanisme kegigihan:

flowchart TD
    Start["Anomali Browser Dideteksi: Alamat Papan Klip Ditukar, Pilarian Dialihkeun, Popup Rogue, atanapi Sesi Akun Dicolong"] --> Test{"1. Tutup Browser Lengkep & Salin/Tempelkeun Alamat Crypto dina Notepad / TextEdit: Naha Mutasi?"}
    Test -->|"Leres: Alamat Mutasi di Luar Browser"| OSClip["OS-LEVEL CLIPPER MALWARE: Maéhan Prosés Rogue dina Manajer Tugas, Ngabersihan Tugas Dijadwalkeun / Jalankeun Kenop & Jalankeun Offline AV Scan"]
    Test -->|"No: Ngan Kajadian Jero Browser"| PolicyCheck{"2. Buka chrome: // kawijakan atanapi ujung: // kawijakan: Dupi Kawijakan Didaptarkeun dina PC Imah anjeun?"}
    PolicyCheck -->|"Leres: 'Dikelola ku organisasi anjeun' / ExtensionInstallForcelist"| WipePolicy["Hapus Rogue Windows Registry Policy Keys (HKLM/HKCU Policies) atanapi Cabut Propil Konfigurasi macOS"]
    PolicyCheck -->|"Teu Kapanggih Kawijakan"| ExtAudit["3. Nonaktipkeun Sync -> Aktipkeun Modeu Pamekar dina chrome: // extension -> Identipikasi & Cabut ekstensi jahat"]
    WipePolicy --> ExtAudit
    OSClip --> ExtAudit
    ExtAudit --> DiskWipe["4. Hapus Polder Ekstensi Sisa, Pagawe Jasa & Cache IndexedDB tina Diréktori Profil Pamaké Lokal"]
    DiskWipe --> CookieRevoke["5. Tina Alat Beresih: Cabut Sadaya Sesi Aktif (Google, Microsoft, GitHub, Bank) & Pariksa Persetujuan Crypto"]

Kumaha ekstensi browser anu sah janten jahat sapeuting (sareng 5 jinis serangan)¶

Langkung ti 70 persén korban anu katépaan ku ekstensi browser jahat henteu kantos ngaklik tautan parangkat lunak bajakan anu teduh: aranjeunna masang ekstensi normal anu dipeunteun luhur langsung ti Toko Wéb Chrome resmi, Toko Tambahan Microsoft Edge, atanapi Tambahan Firefox (AMO) bulan atawa taun saméméhna. Cybercriminals kompromi ekstensi ngaliwatan dua métode ranté suplai: 1. Extension Acquisition / Monetization Takeovers (dimana panyerang nawiskeun pamekar mandiri $5,000 dugi ka $50,000 kanggo mésér kapamilikan ekstensi 100,000 pangguna anu populer, teras nyorong apdet otomatis jempé anu ngandung malware anu teu jelas anu diunduh unggal browser pangguna anu aya sacara otomatis di latar tukang); jeung 2. Pamekar OAuth Phishing (dimana panyerang phish akun pamekar Chrome Web Store panyipta anu sah, sapertos anu kajantenan dina palanggaran ranté suplai anu mangaruhan puluhan ekstensi perusahaan sareng kaamanan).

Fase 1: Kumaha carana ngaudit, ngaidentipikasi, sareng ngabersihkeun ekstensi jahat tina Chrome, Edge, Brave, Firefox, sareng Safari¶

Ulah ngan saukur ningali ikon di gigireun bar alamat anjeun: ekstensi jahat ngahaja nyumputkeun ikon toolbar na (Action tombol disumputkeun) atawa masquerade ngagunakeun ikon persis jeung ngaran Google Docs Offline, Google Tarjamah, uBlock Origin, atawa Adobe Acrobat.

Lengkah 1: Inok Ekstensi Anjeun Dipasang sareng Candak ID 32-Karakter¶

1. ** Pegatkeun sambungan komputer anjeun tina Wi-Fi / Ethernet ** supados henteu aya ekstensi anu tiasa ngirimkeun muatan data akhir atanapi update diri nalika anjeun mariksa.
2. Buka konsol manajemén extension internal browser anjeun ku ngetikkeun URI pasti kana bar alamat:
3. Google Chrome: chrome://extensions
4. Microsoft Edge: edge://extensions
5. Brave Browser: brave://extensions
6. Mozilla Firefox: about:addons (sareng ogé ngetik about:debugging#/runtime/this-firefox pikeun ningali tambihan samentawis / disumputkeun)
7. Apple Safari (macOS): Safari -> Settings (Cmd + ,) -> Extensions
8. HIDUPKEUN "Modeu pamekar" (saklar toggle di pojok katuhu luhur Chrome, Edge, sareng Brave).
9. Ngahurungkeun ** Modeu pamekar ** nembongkeun detil forensik kritis dina unggal kartu extension:
10. ID: Senar hurup leutik 32 karakter unik (sapertos cjpalhdlnbpafiamejdnhcphjbkeiagm).
11. Inspect views: service worker / background page: Némbongkeun naha ekstensi aktip ngajalankeun skrip latar ayeuna.
12. Source: Installed by enterprise policy atawa Loaded from: C:\Users\... (Ekstensi Henteu Dibungkus): Kacuali anjeun pamekar parangkat lunak anu nyerat ekstensi sorangan, ** teu aya ekstensi konsumen anu sah anu kedah nyarios Loaded from: [Folder Path] (A Extension Unpacked)**. Pangarang malware sideload ekstensi unpacked tina disumputkeun AppData atawa ProgramData polder ngaliwatan modifikasi potong kompas (chrome.exe --load-extension="C:\...") pikeun ngaliwat panyeken kaamanan Chrome Web Store lengkep.
13. Parios unggal ekstensi ngalawan Kriteria Panyabutan ieu:
14. Klik Details -> Permissions (Site access) dina unggal ekstensi. Ekstensi naon waé anu gaduh On all sites (Read and change all your data on all websites) anu sanés mangrupikeun alat kaamanan open-source anu dipercaya pisan, tiasa diverifikasi (sapertos manajer sandi primér anjeun) kedah langsung dipiceun, atanapi sahenteuna gaduh Akses Situs diwatesan tina On all sites ka On click.
15. Pencét Hapus dina konvérsi PDF mana waé, VPN gratis, pangunduh pidéo/MP3, booster volume, kursor khusus, togél mode poék, panemu kupon, sidebar AI, atanapi ekstensi kaulinan anu anjeun henteu peryogi pisan.

Lengkah 2: Pariksa Extension manifest.json sareng Lalu Lintas Jaringan Langsung Sateuacan Dihapus (Triage Forensik)¶

Upami anjeun peryogi terang naha ekstensi anu curiga leres-leres nyolong kecap konci perusahaan, cookies sési, atanapi konci cryptocurrency sateuacan anjeun ngahapus, nyandak dua menit pikeun mariksa file sumber lokalna dina disk nalika Wi-Fi anjeun masih dipegatkeun: 1. Salin 32 karakter ID ditémbongkeun dina kartu extension di chrome://extensions. 2. Arahkeun ka panyungsi anjeun lokal Extensions folder dina disk (didaptarkeun dina tabel di Lengkah 4 di handap) tur buka folder cocog ID 32-karakter éta. 3. Buka manifest.json file di jero folder éta nganggo Windows Notepad atanapi macOS TextEdit sareng mariksa tilu widang: - "permissions" jeung "host_permissions": Tingali pikeun idin-resiko tinggi kaasup "cookies", "webRequest", "declarativeNetRequest", "clipboardRead", "clipboardWrite", "scripting", "debugger", "proxy", jeung "<all_urls>". Ekstensi anu ngaku janten "Togel Mode Gelap" atanapi "Volume Booster" anu dipénta "cookies" jeung "<all_urls>" ampir pasti panén sesi login. - "content_scripts": Némbongkeun file JavaScript mana (content.js, inject.js) disuntikkeun kana unggal halaman wéb anu anjeun kunjungi, kalebet perbankan sareng portal dompét crypto. - "background" ("service_worker"): Nangtukeun naskah latar tukang (background.js atawa sw.js). Milarian file JavaScript dina Notepad pikeun string sapertos fetch(, XMLHttpRequest, WebSocket, navigator.clipboard, chrome.cookies.getAll, eth_sendTransaction, atawa atob( nembongkeun paréntah-jeung-kontrol panyerang (C2) domain sarta nembongkeun persis naon data ieu exfiltrated.

Lengkah 3: Pariksa Browser Shortcut Target Hijacking (--load-extension)¶

Malah sanggeus anjeun klik ** Cabut ** jero chrome://extensions, Téhnik trojan umum ngarobih ikon potong kompas desktop sareng taskbar anu anjeun klik pikeun ngaluncurkeun Chrome, Edge, atanapi Brave supados otomatis ngamuat deui ekstensi anu teu dibungkus jahat anu disumputkeun unggal waktos anjeun muka browser. - Dina Windows: 1. Klik katuhu ikon Google Chrome / Microsoft Edge / Brave anjeun dina Desktop anjeun (sareng klik katuhu ikon dina Taskbar anjeun -> klik katuhu deui nami browser -> klik Properties). 2. Tingali kana kotak Target: handapeun tab Shortcut. 3. Hiji kotak Target bersih ends mastikeun kalawan "chrome.exe" atawa "msedge.exe": - Beresih: "C:\Program Files\Google\Chrome\Application\chrome.exe" - Dibajak: "C:\Program Files\Google\Chrome\Application\chrome.exe" --load-extension="C:\Users\Public\Documents\ExtUpdater" https://search-hijack.com 4. Pupus sadayana saatosna chrome.exe" (atawa hapus potong kompas sagemblengna tur pin potong kompas anyar langsung ti C:\Program Files\Google\Chrome\Application\chrome.exe).

Lengkah 4: Pupus File Extension Leftover sareng Pagawe Jasa tina Disk¶

Milarian diréktori profil lokal browser anjeun sareng hapus subfolder anu cocog sareng ID 32 karakter ekstensi rogue, ditambah ngabersihan pagawé jasa anu kadaptar:

Saatos ngahapus folder extension, buka chrome://serviceworker-internals (atawa edge://serviceworker-internals) dina panyungsi anjeun teras klik Unregister on mana wae pagawe jasa pakait sareng extension dihapus atawa domain push-bewara teu biasa.

Léngkah 5: Purge Rogue Push Idin Bewara, Mesin Pilarian Dibajak, sareng Setélan Proxy / DNS Berbahaya¶

Seueur ekstensi adware sareng pembajak browser ngantunkeun tilu perangkap sekundér sanaos binér ekstensi dihapus: 1. ** Cabut Langganan Bewara Web Push Berbahaya (Sembul Antivirus Palsu): - Upami panggeuing virus McAfee, Norton, atanapi Windows Defender palsu terus muncul di pojok katuhu handap layar anjeun iraha waé panyungsi anjeun dibuka, éta mangrupikeun HTML5 Web Push Notifications tina situs jahat anu anjeun teu kahaja dibéré idin bewara. - Buka chrome://settings/content/notifications (atawa edge://settings/content/notifications / about:preferences#privacy -> Idin -> Bewara dina Firefox). - Gulung ka handap kana daptar "Diidinan ngirim béwara", klik tilu titik di gigireun unggal domain anu teu biasa atanapi curiga, teras klik Hapus atanapi Blok. 2. Reset Ngabajak Default Search Engine & Startup Pages: - Buka chrome://settings/searchEngines(edge://settings/search) jeung pariksa yen mesin pencari standar Anjeun nunjuk ka Google asli (google.com), DuckDuckGo, atanapi Bing tinimbang URL alihan anu mirip (search.yahoo.com/yhs/... atawa find-results.net). Pupus sadaya mesin pencari anu teu dikenal dina daptar. - Buka chrome://settings/onStartup(edge://settings/onStartup) jeung pariksa "Buka kaca husus atawa susunan kaca": miceun sagala URL ngamimitian teu biasa disuntik ku adware. 3. ** Pariksa Proksi Sistem Dibajak atanapi DNS Aman (DoH) Setélan: - Sababaraha ekstensi jahat sareng pamasang adware ngonpigurasikeun skrip PAC (Proxy Auto-Config) lokal atanapi rogue DNS-over-HTTPS (DoH) server ambéh maranéhanana bisa neruskeun intercepting patalimarga web anjeun sanggeus extension nu geus leungit. - Dina Chrome/Edge, buka chrome://settings/security -> gulung ka Paké DNS aman tur pariksa éta disetel ka panyadia ladénan anjeun ayeuna atawa panyusun umum dipercaya (Cloudflare 1.1.1.1, Quad9 9.9.9.9, atawa Google Public DNS), lain URL custom aneh. - Teras buka chrome://settings/system -> klik Buka setélan proxy komputer anjeun, jeung pariksa yen "Paké skrip setup" jeung "Paké server proxy" duanana dihurungkeun OFF (iwal diperlukeun ku dunungan anjeun).

Fase 2: Ngahapus "Dikelola ku organisasi anjeun" kawijakan perusahaan palsu (ExtensionInstallForcelist)¶

Upami anjeun nganggo komputer bumi pribadi (sanes laptop anu dikaluarkeun ku dunungan atanapi sakola anjeun) sareng anjeun moal tiasa ngaklik tombol Hapus dina ekstensi anu curiga sabab ngagaduhan ikon gedong kantor leutik di gigireunana sareng Chrome / Edge nampilkeun "Panyungsi anjeun dikelola ku organisasi anjeun", adware parantos nyuntikkeun aturan Sarat jeung Kaayaan Grup Perusahaan palsu kana sistem operasi anjeun.

Lengkah 1: mariksa chrome://policy atawa edge://policy¶

Tipe chrome://policy (atawa edge://policy / about:policies dina Firefox) kana bar alamat anjeun. - Pilarian nami kawijakan sapertos ExtensionInstallForcelist, ExtensionInstallAllowlist, ExtensionSettings, HomepageLocation, RestoreOnStartupURLs, atawa DefaultSearchProviderSearchURL. - Kolom Nilai gigireun ExtensionInstallForcelist bakal mintonkeun 32-karakter Extension ID tina extension malware jeung update URL eta narik tina.

Léngkah 2: Bersihkeun Kabijakan Browser Rogue dina Windows (Ajakan Komando Ditingkatkeun)¶

Di bumi pribadi Windows 10 atanapi Windows 11 PC anu kedahna henteu gaduh kawijakan browser perusahaan anu diterapkeun, klik Start Menu, ketik cmd, klik katuhu Command Prompt, pilih Run as administrator, teras laksanakeun paréntah ieu pikeun mupus hives pendaptaran kawijakan Chrome, Edge, sareng Brave sareng nyegerkeun Kabijakan Grup:

reg delete "HKLM\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Chrome" /f
reg delete "HKLM\SOFTWARE\Policies\Google\Update" /f
reg delete "HKCU\SOFTWARE\Policies\Google\Update" /f
reg delete "HKLM\SOFTWARE\WOW6432Node\Google\Enrollment" /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKCU\SOFTWARE\Policies\Microsoft\Edge" /f
reg delete "HKLM\SOFTWARE\Policies\BraveSoftware\Brave" /f
reg delete "HKCU\SOFTWARE\Policies\BraveSoftware\Brave" /f
rmdir /s /q "%WinDir%\System32\GroupPolicy"
rmdir /s /q "%WinDir%\System32\GroupPolicyUsers"
gpupdate /force

Saatos ngajalankeun paréntah éta, balik deui ka chrome://policy (atawa edge://policy) teras klik tombol Kabijakan Reload di belah kénca juru luhur. Sadaya kabijakan perusahaan anu dipaksa bakal langsung ngaleungit, sareng tombol Hapus asup chrome://extensions bakal muka konci.

Lengkah 3: Bersihkeun Kabijakan Browser Rogue & Propil Konfigurasi dina macOS¶

Dina macOS, pembajak browser ngalaksanakeun kawijakan perusahaan palsu nganggo dua mékanisme: 1. Propil Konfigurasi macOS (MDM propil) yén pamaké ditipu pikeun masang ngaliwatan pamasang Flash/pamuter video palsu, jeung 2. Diurus plist file preferensi.

1. ** Pariksa sareng Cabut Propil Konfigurasi macOS Malicious **:
2. Buka **Menu Apple -> Setélan Sistem -> Umum -> Manajemén Alat ** (dina macOS Monterey / Big Sur langkung lami, buka System Preferences -> Propil).
3. Upami anjeun nganggo Mac pribadi sareng ningali ** mana-mana ** profil anu didaptarkeun dina Manajemén/Propil Alat (sering dingaranan "Setélan Chrome", "SearchConfig", "AdminPrefs", atanapi "WeKnow"), pilih éta teras klik - (Hapus) tombol di handap, teras lebetkeun sandi Mac anjeun pikeun ngahapus eta.
4. ** Hapus Browser Diurus plist Payil via Terminal macOS**:
5. Buka Terminal (Cmd + Space, tipeu Terminal) sareng ngajalankeun paréntah ieu pikeun ngahapus paksa plist file kawijakan jeung mupus éta cfprefsd cache:

sudo rm -f /Library/Managed\ Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/*/com.google.Chrome.plist
sudo rm -f /Library/Preferences/com.google.Chrome.plist
rm -f ~/Library/Preferences/com.google.Chrome.plist
sudo rm -f /Library/Managed\ Preferences/com.microsoft.Edge.plist
sudo rm -f /Library/Preferences/com.microsoft.Edge.plist
defaults delete com.google.Chrome ExtensionInstallForcelist 2>/dev/null
defaults delete com.google.Chrome HomepageLocation 2>/dev/null
sudo killall cfprefsd

Balikan deui Chrome/Edge sareng pariksa di chrome://policy yén kawijakan enol tetep aktip.

Fase 3: Ngadeteksi sareng ngabasmi Pembajak Papan Klip Crypto tingkat OS ("Clippers")¶

Kumaha upami anjeun ngahapus unggal ekstensi browser, nutup browser anjeun lengkep, sareng nguji nyalin alamat dompét crypto (0x... atawa bc1...) di jero Windows Notepad atanapi macOS TextEdit, sareng alamat anu ditempelkeun masih mutasi kana alamat dompét panyerang?

Éta hartosna ** binér Clipper Malware tingkat Sistem Operasi ** (Laplas Clipper, ClipBanker, phemedrone, RedLine, atawa skrip Python/Node/AutoIt nakal) ngajalankeun di latar tukang sistem operasi anjeun sarta nelepon Windows AddClipboardFormatListener / SetClipboardData API (atanapi macOS NSPasteboard polling loop).

Lengkah 1: Identipikasi Prosés Mana Anu Ayeuna Dicekel atanapi Polling Clipboard Anjeun¶

• Dina Windows (PowerShell Live Process & Startup Audit): Buka PowerShell salaku Administrator sareng jalankeun paréntah diagnostik ieu pikeun daptar sadaya prosés latar non-Microsoft anu kaluar tina diréktori anu tiasa ditulis ku pangguna (AppData, Temp, ProgramData, Users\Public) dimana 99 persén Clipper Trojans hirup:

Get-CimInstance Win32_Process | Where-Object {
    $_.ExecutablePath -match "AppData|Temp|ProgramData|Users\\Public"
} | Select-Object ProcessId, Name, ExecutablePath, CommandLine | Format-List

Pariksa kaluaran pikeun curiga .exe, pythonw.exe, wscript.exe, cscript.exe, powershell.exe, mshta.exe, atawa AutoIt3.exe prosés ngajalankeun kaluar tina %AppData%\Roaming, %LocalAppData%\Temp, atawa C:\ProgramData. Catetan dina ProcessId (PID) jeung ExecutablePath, nungtungan prosés kalayan Stop-Process -Id <PID> -Force, sareng mupus binér dina disk.

• Audit Windows Persistence Locations (Run konci & Scheduled Tasks): Clippers salamet reboots ku nambahkeun Registry a Run konci, ngamimitian .lnk file dina shell:startup, atawa Tugas Dijadwalkeun. Jalankeun dua cek PowerShell ieu pikeun ngalaan aranjeunna:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run", "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"
Get-ScheduledTask | Where-Object {$_.State -ne "Disabled" -and $_.Author -notmatch "Microsoft"} | Select-Object TaskName, TaskPath, State

Unduh Microsoft Sysinternals Autoruns (Autoruns64.exe) ti learn.microsoft.com/en-us/sysinternals/downloads/autoruns, jalankeun salaku Administrator, aktipkeun Options -> Scan Options -> Verifikasi tanda tangan kode + Pariksa VirusTotal.com, tur pupus sagala entri beureum/unsigned dina Logon, Tugas Terjadwal, atawa WMI.

• Di macOS (LaunchAgents & Background Audit Process): Buka Terminal sareng pariksa sadaya pangguna sareng sistem LaunchAgents jeung LaunchDaemons (dimana macOS clippers sareng Atomic Stealer / Poseidon skrip kegigihan nyumputkeun):

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons
ps aux | grep -E "osascript|python|node|curl|base64|NSPasteboard"

Mariksa mana wae nu teu wawuh .plist file dina -/Library/LaunchAgents ngagunakeun cat -/Library/LaunchAgents/<filename>.plist, unload eta kalawan launchctl unload -/Library/LaunchAgents/<filename>.plist, sareng mupus duanana .plist jeung binér eta nunjuk ka.

Fase 4: Pamulihan saatos inféksi (nyabut cookies sési anu dipaling, token OAuth, sareng persetujuan Web3)¶

Ngahapus ekstensi browser jahat ngeureunkeun spionase hareup, tapi henteu ngabatalkeun cookies sési, kecap akses anu disimpen, atanapi frasa cikal dompét anu parantos diunggah ka server panyerang nalika dipasang. Anggap unggal tab anu kabuka sareng unggal kecap akses anu disimpen di jero pangatur sandi anu diwangun dina browser dikompromi:

1. Paksakeun "Kaluar tina Sadaya Sesi" Global dina Akun Kritis Anjeun:
2. Kantun ngarobah kecap akses kadang ninggalkeun token OAuth anu aya atanapi sési seluler/web valid dugi ka sajam. Asup ti alat anu bersih teras klik sacara eksplisit Kaluar tina Sadaya Sesi / Cabut Sadaya Alat:
   • Google / Gmail: myaccount.google.com/device-activity -> pilih unggal sési anu teu biasa atanapi desktop -> **Kaluar **. Ogé pariksa myaccount.google.com/permissions pikeun nyabut aplikasi OAuth pihak katilu.
   • Microsoft / Outlook / 365: account.live.com/proofs/manage/additional -> klik Asup kuring kaluar (maksakeun kaluar global dina sakabéh panyungsi dina 24 jam).
   • ** GitHub / GitLab / AWS / Cloud Consoles **: Pindah ka github.com/settings/sessions -> Cabut sadaya sesi, sareng puterkeun naon waé Token Aksés Pribadi (PATs) atawa konci SSH.
   • ** Discord / Slack / Média Sosial **: Catet yén ekstensi jahat sacara khusus nargétkeun Discord Local Storage token auténtikasi sareng cookie Manajer Usaha Facebook; ngarobah sandi Discord anjeun (anu otomatis regenerates token pamaké Discord anjeun) jeung nungtungan sakabeh sesi aktip dina Facebook / Setélan Kaamanan Instagram.
3. ** Migrasi Sakur Software Crypto Dompét (MetaMask, Phantom, Rabby, Keplr) Anu Dipasang dina Browser Sarua**:
4. Lamun extension jahat kungsi <all_urls> atawa scripting aksés, atawa lamun hiji OS-level infostealer dijalankeun dina PC Anjeun, éta bisa jadi geus maca file kolong énkripsi Anjeun (ldb file dina Local Extension Settings) sareng nangkep kecap konci muka konci dompét anjeun nalika anjeun ngetik.
5. Ulah ** teu ** nyimpen dana dina éta frase cikal dompét panas. Ngahasilkeun frasa cikal dompét énggal dina alat anu bersih atanapi Dompét Hardware (Ledger, Trezor, Keystone), mindahkeun sésa aset anjeun ka dompét énggal, sareng cabut persetujuan token anu ngagantung di revoke.cash nuturkeun urang dompet cryptocurrency solokan jeung frase cikal pituduh kompromi.
6. ** Laksanakeun Reset Browser Pinuh **:
7. Pindah ka chrome://settings/reset (edge://settings/reset / about:support -> Refresh Firefox) teras klik Mulangkeun setélan kana standar aslina. Ieu ngareset halaman ngamimitian anjeun, halaman tab anyar, mesin pencari, sareng tab anu disematkeun, mupus cookies samentawis, sareng mareuman ekstensi anu sésana.

Patarosan anu sering ditaroskeun¶

Naha ekstensi anu kuring dianggo aman salami 2 taun ujug-ujug janten malware atanapi adware?¶

Ekstensi browser ngamutahirkeun sacara otomatis sareng cicingeun di latar tukang tanpa naroskeun idin anjeun kecuali versi énggal nyuhunkeun kategori idin énggal. Grup penjahat siber sareng sindikat panipuan iklan rutin ngahubungi pamekar solo anu populer, ekstensi anu sah (sapertos alat PDF, booster volume, perékam layar, atanapi pameungpeuk iklan) sareng nawiskeun aranjeunna rébuan dolar pikeun ngajual akun pamekar Chrome Web Store atanapi mindahkeun kapamilikan ekstensi. Sakali nu meuli ngadalikeun Listing, aranjeunna nyorong update versi jempé ngandung cookie-maok atawa affiliate-hijacking kode nu infects unggal pamaké aya sapeuting.

Naha update Google Manifest V3 ngajantenkeun ekstensi Chrome sareng Edge lengkep aman tina malware?¶

No Bari Manifest V3 nyata ngaronjatkeun kaamanan ku Larang ekstensi ti loading jarak jauh hosted kode JavaScript laksana ti server éksternal (forcing sakabeh kode jadi dibuntel di jero pakét extension dikintunkeun ka toko), ekstensi jahat disusun dina Manifest V3 masih bisa nyiksa idin host lega (Dina sadaya situs), maca inputs formulir DOM sarta keystrokes, via skrip jeung hasil manipulasi clipboard, via skrip jeung manipulasi clipboard. aturan declarativeNetRequest. Ngawates ekstensi ngan ukur anu anjeun percanten sareng netepkeun idin Aksés Loka kana "Dina klik" tinimbang "Dina sadaya situs" tetep penting.

Kumaha carana abdi tiasa ngajaga transfer cryptocurrency abdi tina clipboard hijacker malware dina mangsa nu bakal datang?¶

Kahiji, pernah pariksa ngan kahiji 4 jeung 4 karakter panungtung alamat dompét pastes, sabab clipper malware modern ngagunakeun pools alamat kasombongan tos diitung keur nyokot alamat panyerang nu babagi karakter awal jeung tungtung sarua salaku panarima nu dimaksud; salawasna pariksa sahenteuna 6 kahiji, tengah 6, jeung 6 karakter panungtungan. Kadua, paké Dompét Hardware offline sareng layar fisik (sapertos Ledger, Trezor, atanapi GridPlus) sareng pariksa alamat panampi lengkep dina layar fisik alat hardware sateuacan mencét tombol konfirmasi fisik, sareng simpen alamat panarima anu sering dianggo dina Buku Alamat anu didaptarkeun bodas dompét anjeun tinimbang nyalin sareng nempelkeunana tina clipboard anjeun.

Sumber dipariksa¶

• Badan Kaamanan Siber sareng Infrastruktur (CISA, Amérika Sarikat) & Biro Investigasi Federal (FBI): Piwuruk Kaamanan Siber Gabungan dina Infostealer Malware, Session Cookie Hijacking, and Malicious Browser Extensions.
• Institut Standar sareng Téknologi Nasional (NIST, Amérika Sarikat): SP 800-83 Wahyu 1, Pituduh pikeun Pencegahan sarta Penanganan Kajadian Malware pikeun Desktop jeung Laptop.
• Google Chrome Enterprise & Chromium Security Team: *Chrome Enterprise Policy List (ExtensionInstallForcelist), Manifest V3 Extension Kaamanan Arsitéktur, sarta Remedying Injection Sarat jeung Kaayaan teu sah *.
• Puseur Tanggapan Kaamanan Microsoft (MSRC) & Microsoft Defender Ancaman Intelijen: Nganalisis jeung Remediating CrypToClipper / Clipboard Hijacker Malware sareng Rogue Browser Policy Persistence Registry (HKLM\SOFTWARE\Policies\Microsoft\Edge).
• Puseur Kaamanan Siber Nasional (NCSC, Britania Raya): Pitunjuk Kaamanan Alat: Ngatur Ekstensi Browser, Kontrol Kabijakan Perusahaan, sareng Mitigasi Maling Token.

Panungtun patali¶

• Cryptocurrency dompét solokan, kompromi frase siki, sareng nyabut persetujuan
• Malware, ransomware, sareng panyabutan inféksi spyware
• MFA phishing, bypass adversary-in-the-middle (AiTM), sareng maling cookie sési
• Tanggapan pelanggaran data, kecap akses bocor, sareng kiridit macet
• Nomer darurat dumasar nagara