Skip to content

Session Token Kapning, Infostealer Malware och Global Session Revocation

Nödnummer skiljer sig åt mellan olika länder. Den här sidan använder 911, numret för USA och Kanada. Många andra länder använder 112, 999 eller ett annat nummer. Hitta numret för ditt land.

Att upptäcka att en angripare precis har postat bedrägerier med kryptovaluta från ditt YouTube-, Instagram-, Discord- eller X-konto, skapat vidarebefordransregler i din Gmail- eller Microsoft 365-inkorg eller kommit åt din företags molnkonsol utan att någonsin utlösa en 2FA-kod på din telefon eller en e-postvarning för "Ny inloggning" är den omisskännliga signaturen av **Session-Cooking-Cookie (Cookie-Cookie) Infostealer Malware. När du loggar in på en webbplats och markerar "Håll mig inloggad" utfärdar servern en krypterad HTTP-sessionscookie eller OAuth-bärartoken (som Googles SID / SAPISID, Microsofts ESTSAUTHPERSISTENT, eller Discords Authorization token) lagrad i din webbläsares lokala SQLite-databas.

Familjer med skadlig programvara för råvaruinfostealer, inklusive Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys och Atomic macOS Stealer (AMOS), väntar inte på din dator som traditionella virus. Ofta förklädd som en falsk spelmod, knäckt mjukvaruinstallationsprogram, falsk "ClickFix" PowerShell CAPTCHA-prompt eller sponsorsamarbets-PDF, en infostealer körs på under 4 sekunder, dekrypterar din Chrome, Edge, Brave eller Firefox Cookies och Login Data databaser i minnet, zippar upp dem med dina skrivbordsfiler för kryptovaluta plånbok, laddar upp arkivet till en Telegram- eller C2-server och tar bort sig själv. När angriparen importerar dina stulna sessionscookies till en antidetekteringswebbläsare (Multilogin, Dolphin{anty}, eller Gologin), tror webbservern att angriparen är din redan autentiserade dator, vilket helt kringgår både ditt lösenord och din tvåfaktorsautentisering.

Gör det här nu

  1. SLUTA att byta lösenord på den infekterade datorn, koppla omedelbart bort den PC:n eller Macen från Wi-Fi och koppla ur dess Ethernet-kabel. Det här är det första misstaget som offren gör: de märker att deras Discord, Steam eller Gmail kapades, sätter sig vid exakt samma infekterade stationära PC och skriver in helt nya lösenord i Chrome. Om en infostealer persistens loader eller schemalagd uppgift fortfarande är aktiv på den maskinen, kommer den omedelbart att fånga dina nya lösenord och nya sessionscookies och skicka dem direkt tillbaka till angriparen. Gör 100 procent av dina lösenordsändringar och återkallade sessioner från en ren smartphone (med mobildata eller rent Wi-Fi) eller en separat, orörd bärbar dator.
  2. Förstå att enbart byte av ett lösenord INTE alltid ogiltigförklarar stulna sessionscookies eller OAuth-uppdateringstoken, du MÅSTE uttryckligen klicka på "Logga ut från alla sessioner" OCH återkalla OAuth-appar från tredje part. På flera plattformar (och med Googles odokumenterade MultiLogin / issueToken OAuth-slutpunkter eller långlivade sessionstokens), om du helt enkelt ändrar ditt lösenord eller roterar 2FA kan befintliga sekundära sessionstokens eller OAuth-skrivbordstokens leva kvar om du inte utför de plattformsspecifika Global Session & Token Revocation-stegen i tabellen nedan.
  3. Om du har en mjukvaruförlängning för kryptovaluta-plånbok (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) installerad på den infekterade datorn, använd en ren telefon just nu för att evakuera dina pengar till en helt ny hårdvaruplånboksfröfras. Infostealer-filerna krypteras automatiskt vault.Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn för MetaMask) tillsammans med dina webbläsares sparade lösenord. Även om angriparen inte har rört din krypto ännu, sitter din valvfil redan på en darknet-marknad och väntar på en offline GPU-knäckare. Utför vår cryptocurrency plånbok dränering och seed fras kompromiss vägleda omedelbart.
  4. Säkra dina "Apex Identity Accounts" (primär e-post, lösenordshanterare, Apple/Google-konto och Corporate SSO) under de första 10 minuterna. På din rena smartphone öppnar du din primära Google/Gmail (myaccount.google.com/device-activity) och Microsoft (mysignins.microsoft.com) konton först. Logga ut alla skrivbordssessioner, rotera huvudlösenordet, kontrollera Inställningar > Vidarebefordran och POP/IMAP och Filter/regler för att ta bort eventuella dolda regler för vidarebefordran av e-post som angriparen skapade för att dölja e-postmeddelanden med lösenordsåterställning från andra tjänster, och kontrollera registrerade lösenord och autentiseringsenheter.
  5. ** Granska ditt Windows-register Run nycklar, Task Scheduler och PowerShell-historik om du nyligen körde ett "ClickFix" falskt CAPTCHA-kommando (Win + R -> Ctrl + V).** En av de snabbast växande infostealer-vektorerna idag är en falsk Cloudflare eller Google CAPTCHA-popup på en webbsida som instruerar dig att "Tryck på Win + R, tryck Ctrl + Voch tryck på Enter för att verifiera att du är mänsklig" (som tyst utför en dold mshta.exe eller powershell -w hidden -enc ... kommandot kopierat till ditt urklipp).
  6. Behåll perspektiv och skydda den fysiska säkerheten om intrånget involverar företagsinfrastruktur eller utpressning. Infostealer-loggar utlöser ofta automatiska e-postmeddelanden med lösen eller sextortion som citerar ditt stulna lösenord. Betala aldrig utpressare; se vår sextorkning och utpressning på nätet guide, och om du någonsin möter ett fysiskt hot, ring ditt lokala nödnummer (911 i USA och Kanada, 112 i hela Europeiska unionen, 999 i Storbritannien, eller se vår nödnummer katalog).

Varför en antivirusskanning som säger '0 hot hittades' betyder INTE att dina cookies är säkra

Moderna infostealers (som Lumma Stealer, StealC och Atomic macOS Stealer) är konstruerade som "Smash-and-Grab" efemära binärer. När den startas körs den körbara i minnet i 2 till 5 sekunder, extraherar din webbläsares SQLite-cookies, sparade lösenord, Discord-tokens och kryptoplånböcker, postar en enda 3-megabyte .zip arkivera till en kommando-och-kontrollserver och kör ett självraderingskommando (del /f /q) som raderar binär skadlig programvara från din hårddisk. När du kör Windows Defender eller Malwarebytes en timme senare rapporterar skannern "0 Threats Found" eftersom tjuven redan lämnat byggnaden med dina nycklar. Du måste behandla varje cookie och lösenord som lagrades i din webbläsare vid körningsögonblicket som 100 procent komprometterad.

flowchart TD
    Root["Misstänkt Session Cookie-kapning eller Infostealer Malware Infection"] --> IsolatePC["STEG 1: Koppla omedelbart bort infekterad PC/Mac från Wi-Fi och Ethernet (Ändra INTE lösenord på infekterad PC)"]

    IsolatePC --> CryptoCheck{"Fanns det några Crypto Wallet Extensions (MetaMask, Phantom, Exodus) på den datorn?"}
    CryptoCheck -->|"Ja"| EvacCrypto["Använd en ren telefon/hårdvaruplånbok omedelbart för att sopa alla kryptotillgångar till en helt ny fröfras"]
    CryptoCheck -->|"Nej"| ApexLock["STEG 2: På en ren smartphone låser du först primär e-post (Gmail, Outlook, Proton)."]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["STEG 3: Kör global session + OAuth-token + återkallande av lösenord för alla kritiska konton (se plattformsmatrisen nedan)"]

    GlobalRevoke --> ExportList["STEG 4: På offline-infekterad dator, exportera lista över alla sparade webbläsarlösenord och cookies för att veta exakt vilka konton som stals"]

    ExportList --> CleanOS["STEG 5: Säkerhetskopiera endast personliga dokument -> Utför ren OS-rensa/installera om -> Återregistrera lösenord och aktivera Chrome-appbunden kryptering"]

Förstå hur Infostealers kringgår 2FA- och DPAPI / Keychain-kryptering

Hur kan ett program på 200 kilobyte stjäla lösenord och sessionscookies som Google Chrome, Microsoft Edge och Brave krypterar på din hårddisk?

  1. Windows DPAPI (CryptUnprotectData) och Chrome App-Bound Encryption (v20):
  2. På Windows lagrar Chromium-baserade webbläsare (Chrome, Edge, Brave, Opera, Vivaldi) dina sparade lösenord inuti %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data och dina sessionscookies inuti \Network\Cookies.
  3. Dessa SQLite-databaser är krypterade med en AES-256-GCM-huvudnyckel lagrad i %LOCALAPPDATA%\Google\Chrome\User Data\Local State, som skyddas av Windows Data Protection API (DPAPI) kopplat till ditt inloggade Windows-användarkonto.
  4. Eftersom du körde infostealer som din egen inloggade Windows-användare, kunde alla processer som kördes under ditt användarkonto historiskt anropa CryptUnprotectData() för att be Windows att dekryptera nyckeln. Och för att kringgå Chrome 127+ appbunden kryptering (v20 hissservice), moderna infostelare injicerar direkt i en huvudlös chrome.exe felsökningsprocess (--remote-debugging-port) eller använd COM-höjd för att be Chrome själv att dumpa alla dekrypterade cookies.
  5. macOS-nyckelring & Atomic macOS Stealer (AMOS / PoseStealer):
  6. På Apple macOS, infostealers förklädda till .dmg nedladdningar (som ofta ber dig att "Högerklicka -> Öppna" eller dra ikonen till Terminal för att kringgå Apple Gatekeeper) dyker upp en falsk inbyggd macOS-dialogruta där det står "Systeminställningar vill komma åt din konfidentiella information: Ange ditt Mac-inloggningslösenord". I samma ögonblick som du skriver in ditt Mac-inloggningslösenord i den prompten låses skriptet upp -/Library/Keychains/login.keychain-db och kopierar Safari/Chrome-cookies, Apple Notes och iCloud-tokens.
  7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
  8. Säkerhetsforskare avslöjade att infostealers inte bara stjäl vanliga webbcookies, de extraherar också odokumenterade oauth_token tjänstetokens från Chromes Web Data (token_service tabell) SQLite-fil. Även efter att ett offer ändrat sitt Google-lösenord en gång, kunde angripare tidigare spela om det stulna token_service OAuth-token mot Googles interna OAuthLogin endpoint to mint helt nytt giltigt SID webbläsarcookies såvida inte användaren uttryckligen loggade ut den komprometterade Chrome-enhetssessionen OCH återkallade åtkomst till tredje part/OAuth-enhet.

Använd en ren smartphone eller en ren sekundär dator och arbeta ner den här exakta tabellen uppifrån och ned. Beställningsfrågor: gör alltid Steg A (Logga ut alla aktiva sessioner/enheter) och Steg B (Ändra lösenord) och Steg C (Audit 2FA/Lösenord/OAuth/Vidarebefordran) tillsammans, om du bara ändrar ditt lösenord utan att avsluta aktiva sessioner, kan fliken bevaka din återställningsmetod live i en webbläsare eller logga in i en webbläsare.

Plattform / Service Exakt URL för att avsluta stulna sessionscookies Vad missar att byta lösenord ensam (kritiskt extra steg krävs)
1. Google / Gmail / YouTube myaccount.google.com/device-activity (Klicka varje Windows/Mac/Linux skrivbordssession -> Logga ut) 1. Gå till myaccount.google.com/connections och återkalla OAuth-åtkomst för okända tredjepartsappar och Chrome Sync.
2. Gå till myaccount.google.com/signinoptions/passkeys och radera alla lösenord eller autentiseringsenheter som nyligen har lagts till.
3. Öppna Gmail på skrivbordet > Kugghjulsikon > Se alla inställningar > Vidarebefordran och POP/IMAP & Filter och blockerade adresser för att ta bort regler för angripares vidarebefordran.
4. Om du har en YouTube-kanal, markera YouTube Studio > Inställningar > Behörigheter och ta bort eventuella falska e-postmeddelanden för varumärkeskontot som angriparen har bjudit in.
2. Microsoft (Personlig Outlook / Xbox & Work M365 / Entra ID) Personligt: account.live.com/proofs/Manage -> Klicka på "Logga ut mig" (tar upp till 24 timmar för konsumenttokens; ta även bort enheter på account.microsoft.com/devices)
Arbete/skola: mysignins.microsoft.com/security-info -> Klicka på "Logga ut överallt"		 1. Granska alla registrerade inloggningsmetoder på den sidan (angripare registrerar omedelbart sin egen Authenticator-app eller FIDO2-nyckel).
2. I Outlook Web (outlook.live.com > Inställningar > E-post > Regler och vidarebefordran), radera dolda regler som flyttar e-postmeddelanden till Arkiv/RSS.
3. Återkalla OAuth-appsamtycken vid account.live.com/consent/Manage.
3. Apple-konto (iCloud) account.apple.com -> Enheter -> Välj den infekterade Mac- eller Windows iCloud-sessionen -> Ta bort från kontot Gå till Inloggning och säkerhet > Kontoåterställning för att verifiera att ingen okänt återställningskontakt eller pålitligt telefonnummer har lagts till.
4. Discord (Högprioriterat mål för varje infostealer) Öppna Discord -> Användarinställningar (växel) > Enheter > Logga ut alla kända enheter 1. Ändra ditt Discord-lösenord är obligatoriskt eftersom det kryptografiskt roterar din permanenta Authorization bärarskylt lagrat i %APPDATA%\discord\Local Storage\leveldb.
2. Markera Användarinställningar > Auktoriserade appar och avauktorisera alla bots/appar.
3. Kontrollera Fakturering för att se till att angriparen inte köpte dussintals $9,99 Discord Nitro-gåvor med ditt länkade PayPal eller kreditkort.
5. Ånga (ventil) store.steampowered.com/twofactor/manage -> Klicka på "Auktorisera alla andra enheter" 1. KRITISKT: Gå till steamcommunity.com/dev/apikey och Återkalla din Steam Web API-nyckel. Bedragare genererar omedelbart en beständig Steam Web API-nyckel på ditt konto så att även efter att du har ändrat ditt lösenord och avauktoriserat enheter, kan deras bot fortfarande fånga upp och omdirigera dina Counter-Strike / Dota 2-affärer (Trade Offer Scam).
6. Meta (Instagram, Facebook, Threads & Meta Ads Manager) accountscenter.meta.com/password_and_security -> Där du är inloggad -> Välj alla okända sessioner -> Logga ut 1. Kontrollera Kontocenter > Personlig information > Kontaktinformation för att se till att angriparen inte har lagt till en sekundär brännares e-postadress eller telefonnummer.
2. Kontrollera Meta Ads Manager (adsmanager.facebook.com): Infostealer-gäng älskar att kapa gamla personliga Facebook-cookies för att visa 5 000 USD/dag i bedrägliga annonser som debiteras ditt sparade PayPal eller kreditkort, eller lägga till sig själva som Business Portfolio Admin (business.facebook.com/settings).
7. X (Twitter), Reddit, LinkedIn och TikTok X: x.com/settings/sessions -> Logga ut från alla andra sessioner
Reddit: reddit.com/account-activity -> Logga ut från alla andra sessioner
LinkedIn: linkedin.com/mypreferences/d/manage-active-sessions		 Kontrollera även Anslutna appar / OAuth-applikationer i X (x.com/settings/connected_apps) och Reddit (reddit.com/prefs/apps) för att återkalla automatiserade spam-bot-inläggstokens.
8. GitHub, GitLab, AWS, Cloudflare & SSH Keys (För utvecklare och administratörer) GitHub: github.com/settings/sessions -> Återkalla alla webbsessioner 1. Sessionscookies räcker inte för utvecklarkonton: Kontrollera omedelbart github.com/settings/tokens (Personliga åtkomsttokens), github.com/settings/keys (SSH- och GPG-nycklar), och -/.aws/credentials på den infekterade datorn (infostealers griper uttryckligen .aws/credentials, .ssh/id_rsa, .kube/config, .npmrc, och FileZilla sitemanager.xml filer).
9. Amazon, PayPal, eBay och onlinebank Amazon: amazon.com/gp/css/homepage.html -> Inloggning och säkerhet + Hantera ditt innehåll och dina enheter (avregistrera webbläsare) Markera Amazon "Arkiverade beställningar" (amazon.com/gp/css/order-history?digitalOrders=1&unifiedOrders=0 -> Filtrera: Arkiverade beställningar), angripare köper digitala presentkort på stulna Amazon-kakor och klickar omedelbart på "Arkivera beställning" så att köpet döljs från din vanliga "Dina beställningar"-sida.

Steg 2: Hur man tar reda på VARJE konto som exponerades på din infekterade dator

När du har låst dina topp 10 kritiska konton på din rena telefon står du inför en skrämmande fråga: "Jag har använt den datorn i fyra år, hur vet jag vilka av mina 250 webbplatser som hade sparat lösenord eller aktiva cookies i Chrome/Edge när infostealer körde?"

Medan du håller den infekterade datorn 100 procent offline (Wi-Fi AV, Ethernet frånkopplad), slå på den och extrahera din exakta exponeringsinventering innan du torkar maskinen:

  1. Exportera din lista med sparade lösenord i webbläsaren (CSV):
  2. Öppna din webbläsare offline (chrome://password-manager/settings i Chrome, edge://wallet/settings i Edge, eller about:logins i Firefox) och klicka på Exportera lösenord för att spara Chrome Passwords.csv på ett rent USB-minne.
  3. Varför den här filen är guld för din återställning: Infostealer stal just denna databas. Att ha Chrome Passwords.csv framför dig ger dig den exakta checklistan över varje enskilt webbplatsanvändarnamn och lösenord som angriparen nu har, så att du inte missar en gammal skatteportal, ett flygbolags miles-konto eller en shoppingsajt med ett sparat kreditkort.
  4. Inspektera vilka webbplatser som hade aktiva sessionscookies (chrome://settings/content/all):
  5. I Chrome eller Edge (medan du är offline), gå till chrome://settings/content/all (eller edge://settings/content/all) och sortera efter Data lagrad eller Mest besökta. Alla webbplatser där du förblev inloggad utan att ange ett lösenord var sårbara för stöld av sessionskakor och måste avslutas.
  6. Kontrollera om din fristående lösenordshanterare (1Password, Bitwarden, KeePassXC) var upplåst vid infektionsögonblicket:
  7. Om ditt 1Password-, Bitwarden- eller KeePassXC-valv var LÅST när infostealer körde: Skadlig programvara kunde bara ta tag i den krypterade lokala valvcachen (data.json eller .kdbx), som skyddas av PBKDF2-SHA256 / Argon2id + ditt huvudlösenord (och 34-teckens hemliga nyckel i 1Password). Om ditt huvudlösenord är starkt förblir innehållet i ditt valv säkert, även om du fortfarande bör rotera ditt huvudlösenord som en försiktighetsåtgärd.
  8. Om ditt webbläsartillägg för lösenordshanteraren var LÅST upp i minnet när skadlig programvara kördes (eller om du sparade ditt lösenordshanterarens huvudlösenord i Chromes inbyggda autofyll.): Anta att infostealern dumpade ditt valv eller tog ditt huvudlösenord och rotera alla viktiga referenser inuti ditt valv.

Steg 3: Jaga och utrota Infostealer-uthållighet innan du torkar operativsystemet

Innan du säkerhetskopierar dina personliga dokument och utför en ren OS-ominstallation kan du inspektera hur infostealer kom in i ditt system och om den tappade en ihållande sekundär laddare (som en schemalagd uppgift, registret Run nyckel, Startup .lnk genväg eller skadligt Chrome-tillägg):

1. Kör denna offline PowerShell Persistence Audit (Windows)

Öppna PowerShell (Admin) på offline-datorn och kör dessa fyra skrivskyddade rättsmedicinska kontroller:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
- ** Var särskilt uppmärksam på check #4 (Get-MpPreference)**: Nästan alla moderna PowerShell/ClickFix infostealer körs Add-MpPreference -ExclusionPath "C:\" eller utesluter %APPDATA% och .exe filer så att Microsoft Defender blir helt blind för skadlig programvara. Ta bort alla obehöriga Defender-uteslutningar omedelbart med: 
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Varför en ominstallation av rent OS (via USB-media) rekommenderas efter en Infostealer

När du kör Microsoft Defender Offline Scan och Malwarebytes efter att ha rensat Defender-uteslutningar tar bort kända persistensladdare, paketerar råvaruinfostelare ofta en sekundär RAT (Remote Access Trojan), SystemBC SOCKS5 proxy eller clipper skadlig programvara (som byter ut din Windows-klippbord/copyboard tyst) plånboksadress med hackarens adress). - När du har kopierat dina personliga dokument, foton och Chrome Passwords.csv från offline-datorn, utför en ren Windows 11 USB-ominstallation (eller macOS Radera allt innehåll och inställningar) enligt vår infektionsguide för skadlig programvara, ransomware och spionprogram.

3. Granska macOS och Linux-system för Infostealer-artefakter (Atomic macOS Stealer / AMOS, Poseidon, och skadliga webbläsartillägg)

Om din infekterade maskin är en Apple MacBook/iMac eller en Linux-arbetsstation för utvecklare snarare än en Windows-dator, kör dessa offline-terminalkontroller för att upptäcka och eliminera persistens:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace och AWS IAM)

Om datorn infekterad av en infostealer tillhörde en mjukvaruingenjör, DevOps-administratör eller företagsanställd som hade aktiva sessioner i Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS eller Cloudflare, är lokal enhetsrensning bara halva striden. Utför dessa återkallade molnkataloger omedelbart:

  • Microsoft Entra ID (Revoke-MgUserSignInSession): Att klicka på "Logga ut" i en enskild webbläsare återkallar inte alltid Primary Refresh Tokens (PRTs) eller Azure CLI (az login / .azure/msal_token_cache.bin) tokens kopierade från disken. En Entra-administratör måste köras Revoke-MgUserSignInSession -UserId user@company.com i Microsoft Graph PowerShell för att återställa användarens signInSessionsValidFromDateTime attribut och ogiltigförklara alla Refresh Tokens över alla endpoints samtidigt.
  • AWS CLI & Developer Token Rotation (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Råvaruinfostjälare skannar uttryckligen varje användares hemkatalog efter .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, och Docker/Kubernetes-konfigurationsfiler. Inaktivera och rotera omedelbart alla AWS IAM Access Keys (AKIA...) i AWS-konsolen, återkalla GitHub Personal Access Tokens (ghp_...), och ta bort exponerade offentliga SSH-nycklar från produktionsservrar (-/.ssh/authorized_keys).
  • Desktop Messaging & VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Utöver webbläsare kopierar infostealer-moduler specifikt %APPDATA%\Telegram Desktop\tdata katalog (som gör att en angripare kan klona hela ditt Telegram-konto till sin PC utan en SMS-kod), %APPDATA%\Slack\storage, och sparade OpenVPN (.ovpn) / WireGuard (.conf) företags VPN-profiler. Öppna Telegram på din telefon (Inställningar > Enheter -> Avsluta alla andra sessioner), logga ut alla Slack-arbetsytor (slack.com/account/settings -> Logga ut alla andra sessioner), och be din nätverksadministratör att återkalla och återutge ditt företags VPN-klientcertifikat.

Förebyggande: Hur du gör din webbläsare och dina konton resistenta mot Infostealers

När ditt system är rent och dina konton har återställts, implementera dessa fem försvar så att en infostealer aldrig kan kapa ditt digitala liv igen:

  • Förvara ALDRIG lösenord i din webbläsares inbyggda lösenordshanterare (Chrome / Edge / Brave / Firefox Autofill) utan en maskinvaru-/masternyckel: Varje råvaruinformatör på jorden riktar sig mot Chromes Login Data SQLite-tabellen först. Stäng av AV "Erbjud att spara lösenord" in chrome://password-manager/settings och lagra dina lösenord i en dedikerad lösenordshanterare med noll kunskap (1Password, Bitwarden, Proton Pass eller KeePassXC) konfigurerad till Auto-Lock omedelbart när systemet låser sig eller efter 5 minuters inaktiv tid.
  • Aktivera "Device-Bound Session Credentials (DBSC)" & "App-Bound Encryption" i Chrome 127+: Se till att Google Chrome eller Edge är uppdaterad till den senaste versionen och installerad i standardsystemkatalogen (C:\Program Files\Google\Chrome\Application) så GoogleChromeElevationService kan binda cookie-kryptering till systembehörighetsnivåer och TPM-hårdvarunycklar via Device-Bound Session Credentials (DBSC).
  • Inaktivera Windows Run Box (Win + R) eller mshta.exe för att blockera "ClickFix" falska CAPTCHA-attacker: Tryck aldrig på Win + R -> Ctrl + V -> Enter när en webbplats CAPTCHA, falsk Cloudflare-skärm eller popup-fönster "Fixa mikrofon / Fix Font" ber dig att klistra in ett kommando i din Kör-dialog eller terminal, verifierar ingen legitim webbplats på jorden mänskligheten genom att be dig klistra in kod i Win + R eller macOS Terminal.
  • Använd hårdvarusäkerhetsnycklar (YubiKey) eller lösenord + Kräv omautentisering för känsliga åtgärder: Medan stulna sessionscookies kringgår initiala inloggningsmeddelanden, tvingar stora plattformar (Google, GitHub, Cloudflare, AWS, Coinbase) Step-Up-autentisering (Sudo-läge) att trycka på fysisk autentisering (Yubi-läge) ** tryck på bifogad nyckel tillåter alla med en sessionscookie att ändra ditt lösenord, exportera data eller lägga till en uttagsadress.
  • Kontrollera om din e-post- eller stjälarlogg har dykt upp på Darknet Monitoring Databases: Besök haveibeenpwned.com (som nu indexerar miljontals e-postadresser för offer för stjälarloggar och komprometterade domäner) och möjliggör gratis aviseringar om intrång i darknet för dina e-postadresser.
  • Isolera opålitliga nedladdningar, spelmoddar och tredjepartsskript i en virtuell maskin eller Windows-sandlåda: Kör aldrig overifierad .exe, .msi, .dmg, .bat, eller Python pip / Nod npm efterinstallationsskript direkt på värdoperativsystemet som innehåller dina autentiserade webbläsarsessioner och ekonomiska inloggningar. Aktivera Windows Sandbox (inbyggd i Windows 10/11 Pro och Enterprise via Slå på eller av Windows-funktioner > Windows Sandbox) eller använd en isolerad virtuell maskin med noll sparade webbläsarcookies när du testar tredjepartsverktyg.

Vanliga frågor

How could someone post crypto scam links on my Instagram, Discord, or YouTube account when I have Two-Factor Authentication (2FA) with Google Authenticator turned on and never got a login alert?

Two-Factor Authentication (2FA) only guards the **front door (the `/login` screen)**. Once you type your password and 6-digit 2FA code on Monday morning, the website hands your web browser a **Session Cookie** so you don't have to re-type your 2FA code every time you click a new page on Tuesday or Wednesday. When an infostealer malware program ran on your PC, it copied that already-authenticated Session Cookie straight out of your browser's `Cookies` database and uploaded it to the attacker. When the attacker injected your cookie into their browser, Instagram/Discord/YouTube saw your valid session token and let them right in without ever showing them the login screen or asking for a 2FA code.

I changed my Gmail/Discord/Instagram password right after noticing the hack, so how did the hacker post AGAIN two hours later?

That happens for one of two reasons: First, if you typed your new password **on the same infected computer** before wiping the malware, the infostealer (or a bundled keylogger/persistence task) simply stole your new password and new session cookie all over again. Second, on platforms like Google, Microsoft, or Facebook, if the attacker used their first 5 minutes inside your account to **register their own hidden Passkey, Authenticator app, OAuth third-party app, or secondary recovery email**, or if you changed your password without clicking **"Sign out of all devices/sessions"**, their backdoor token remained active. Always change passwords from a **separate clean phone**, click **Sign out everywhere**, and delete any unfamiliar Passkeys, 2FA devices, or OAuth apps.

Can an infostealer steal my Hardware Passkeys (YubiKey) or iPhone/Windows Hello Passkeys?

No, an infostealer **cannot export the cryptographic private key of a Passkey** stored inside a hardware FIDO2 security key (like a YubiKey), an Apple Secure Enclave, an Android Titan M2 chip, or a Windows Hello TPM 2.0 chip, because those private keys live inside isolated silicon and are mathematically non-exportable. **However**, while the infostealer cannot steal the Passkey itself, it *can* still steal the **active HTTP session cookie** from your browser *after* you used your Passkey to log into a website, or steal a Passkey stored inside an *unlocked* software password manager extension. That is why Google, Microsoft, and the W3C developed **Device-Bound Session Credentials (DBSC)**, which cryptographically bind browser session cookies to your computer's TPM chip so stolen cookies stop working on a hacker's computer.

I received a terrifying email quoting my real old password at the top and showing a screenshot of my actual Windows desktop, the sender says they recorded me through my webcam and want $1,500 in Bitcoin. Is it real?

The **screenshot of your desktop and your password ARE real** because every commodity infostealer (`RedLine`, `Lumma`, `Vidar`) is programmed to take **one single static screenshot (`screenshot.jpg`) of whatever was on your monitor at the exact second the malware ran** and bundle it inside the `.zip` log file alongside your stolen browser passwords. Years or months later, bulk extortion spammers buy millions of old stealer logs for pennies and run an automated script that emails you that single screenshot and your password, lying that they "recorded you on your webcam." **There is no webcam video, they only have that one static screenshot taken the second the stealer ran.** Never pay them a cent; follow our [sextortion and online blackmail](../digital-and-tech/sextortion-and-online-blackmail.md) guide and clean your PC.

Relaterade guider

Källor kontrollerade

  • Cybersecurity and Infrastructure Security Agency (CISA) & FBI (USA): *Joint Cybersecurity Advisories on Infostealer Malware (LummaC2, RedLine, Rhadamanthys) and Mitigating Token/Session Theft (CSAE24 / MITER ATT&CK T1539: Steal Web Session. Session Cookie & T15:50 Web Session.
  • National Institute of Standards and Technology (NIST) (USA): NIST SP 800-63B: Riktlinjer för digital identitet: Sessionshantering, omautentisering och tokenbindning.
  • World Wide Web Consortium (W3C) och Google Chromium Security Architecture: Device Bound Session Credentials (DBSC) Specifikation och Chrome App-Bound Encryption (v20 DPAPI Elevation) Teknisk dokumentation.
  • National Cyber ​​Security Center (NCSC) (Storbritannien): Lättande av skadlig programvara, infostealers och sessionskapning i företags- och konsumentmiljöer.
  • Open Worldwide Application Security Project (OWASP): Session Management Cheat Sheet & OAuth 2.0 Token Revocation (RFC 7009) Standards.