Session Token Hijacking, Infostealer Malware, at Global Session Revocation¶

Ang pagtuklas na ang isang attacker ay nag-post lang ng mga cryptocurrency scam mula sa iyong YouTube, Instagram, Discord, o X account, gumawa ng mga patakaran sa pagpapasa sa iyong Gmail o Microsoft 365 inbox, o nag-access sa iyong corporate cloud console nang hindi nagti-trigger ng 2FA code sa iyong telepono o isang alerto sa email na "Bagong Pag-log in" ay ang hindi mapag-aalinlanganang lagda ng Session Cookie / Token Hijacking (Passtea)-the Cookies. Kapag nag-log in ka sa isang website at nilagyan ng check ang "Panatilihin akong naka-sign in", ang server ay magbibigay ng naka-encrypt na HTTP session cookie o OAuth bearer token (gaya ng Google's SID / SAPISID, ng Microsoft ESTSAUTHPERSISTENT, o Discord's Authorization token) na nakaimbak sa loob ng lokal na database ng SQLite ng iyong web browser.

Ang mga pamilya ng malware sa infostealer ng kalakal, kabilang ang Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys, at Atomic macOS Stealer (AMOS), ay huwag maghintay sa iyong computer tulad ng mga tradisyunal na virus. Madalas na itinago bilang isang pekeng mod ng laro, basag na software installer, pekeng "ClickFix" PowerShell CAPTCHA prompt, o sponsor collaboration PDF, isang infostealer na ipapatupad sa loob ng sa ilalim ng 4 na segundo, nagde-decrypt ng iyong Chrome, Edge, Brave, o Firefox Cookies at Login Data database sa memorya, i-zip ang mga ito kasama ng iyong mga desktop cryptocurrency wallet file, ina-upload ang archive sa isang Telegram o C2 server, at tinatanggal ang sarili nito. Kapag na-import ng umaatake ang iyong ninakaw na cookies ng session sa isang anti-detect na browser (Multilogin, Dolphin{anty}, o Gologin), sa palagay ng web server na ang umaatake ay ang iyong na-authenticate na computer, ganap na nilalampasan ang iyong password at ang iyong two-factor na pagpapatotoo.

Gawin ito ngayon¶

1. TUMIGIL sa pagpapalit ng iyong mga password sa infected na computer, agad na idiskonekta ang PC o Mac na iyon mula sa Wi-Fi at i-unplug ang Ethernet cable nito. Ito ang #1 pagkakamali ng mga biktima: napansin nilang na-hijack ang kanilang Discord, Steam, o Gmail, umupo sa mismong parehong nahawaang desktop PC, at nag-type ng mga bagong password sa Chrome. Kung aktibo pa rin sa machine na iyon ang isang infostealer persistence loader o naka-iskedyul na gawain, agad nitong kukunin ang iyong mga bagong password at sariwang session cookies at ipapadala ang mga ito pabalik sa umaatake. Gawin ang 100 porsiyento ng iyong mga pagbabago sa password at mga pagbawi ng session mula sa isang malinis na smartphone (sa cellular data o malinis na Wi-Fi) o isang hiwalay, hindi nagalaw na laptop.
2. Maunawaan na ang pagpapalit ng password lamang ay HINDI palaging nagpapawalang-bisa sa mga ninakaw na cookies ng session o mga token ng pag-refresh ng OAuth, DAPAT mong tahasang i-click ang "Mag-sign Out sa Lahat ng Session" AT bawiin ang mga third-party na OAuth na app. Sa ilang platform (at sa hindi dokumentado ng Google MultiLogin / issueToken OAuth endpoint o long-lived session token), ang pagpapalit lang ng iyong password o pag-rotate ng 2FA ay maaaring mag-iwan ng mga kasalukuyang pangalawang session token o OAuth desktop token maliban kung isasagawa mo ang mga hakbang na Global Session at Token Revocation na tukoy sa platform sa talahanayan sa ibaba.
3. Kung mayroon kang software na cryptocurrency wallet extension (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) na naka-install sa infected na computer, gumamit ng malinis na telepono ngayon para ilikas ang iyong mga pondo sa isang bagung-bagong hardware wallet seed na parirala. Awtomatikong inaani ng mga infostealer log ang mga naka-encrypt na vault file (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn para sa MetaMask) kasama ng iyong browser na naka-save na mga password. Kahit na hindi pa nahawakan ng umaatake ang iyong crypto, ang iyong vault file ay nasa isang darknet market na naghihintay ng offline na GPU cracker. Isagawa ang aming cryptocurrency wallet drain at seed phrase compromise gabayan kaagad.
4. I-secure ang iyong "Apex Identity Accounts" (Pangunahing Email, Password Manager, Apple/Google Account, at Corporate SSO) sa unang 10 minuto. Sa iyong malinis na smartphone, buksan ang iyong pangunahing Google / Gmail (myaccount.google.com/device-activity) at Microsoft (mysignins.microsoft.com) mga account muna. I-sign out ang lahat ng session sa desktop, i-rotate ang master password, tingnan ang Settings > Forwarding at POP/IMAP at Filters/Rules para tanggalin ang anumang mga nakatagong panuntunan sa pagpapasa ng email na ginawa ng attacker para itago ang mga email sa pag-reset ng password mula sa ibang mga serbisyo, at tingnan ang mga nakarehistrong Passkey at Authenticator na device.
5. I-audit ang iyong Windows Registry Run key, Task Scheduler, at PowerShell history kung nagpatakbo ka kamakailan ng "ClickFix" pekeng CAPTCHA command (Win + R -> Ctrl + V). Isa sa pinakamabilis na lumalagong infostealer vectors ngayon ay isang pekeng Cloudflare o Google CAPTCHA popup sa isang webpage na nagtuturo sa iyong "Pindutin ang Win + R, pindutin Ctrl + V, at pindutin ang Enter upang mapatunayan na ikaw ay tao" (na tahimik na nagsasagawa ng isang nakatagong mshta.exe o powershell -w hidden -enc ... command na kinopya sa iyong clipboard).
6. Panatilihin ang pananaw at protektahan ang pisikal na kaligtasan kung ang paglabag ay nagsasangkot ng pangkumpanyang imprastraktura o pangingikil. Ang mga log ng Infostealer ay madalas na nagti-trigger ng mga awtomatikong ransom o sextortion na mga email na sumipi sa iyong ninakaw na password. Huwag kailanman magbayad ng mga extortionist; tingnan ang aming sextortion at online blackmail gabay, at kung sakaling nahaharap ka sa isang pisikal na banta, tawagan ang iyong lokal na numero ng emergency (911 sa United States at Canada, 112 sa buong European Union, 999 sa United Kingdom, o tingnan ang aming mga numerong pang-emergency direktoryo).

Infostealer at session cookie hijacking incident response decision tree¶

flowchart TD
    Root["Pinaghihinalaang Session Cookie Hijacking o Infostealer Malware Infection"] --> IsolatePC["HAKBANG 1: Agad na Idiskonekta ang Nahawaang PC/Mac mula sa Wi-Fi at Ethernet (HUWAG Magpalit ng Mga Password sa Nahawaang PC)"]

    IsolatePC --> CryptoCheck{"Mayroon bang Mga Extension ng Crypto Wallet (MetaMask, Phantom, Exodus) sa PC na iyon?"}
    CryptoCheck -->|"Oo"| EvacCrypto["Gumamit kaagad ng Malinis na Phone/Hardware Wallet para Ma-sweep ang Lahat ng Crypto Assets sa isang Brand-New Seed Phrase"]
    CryptoCheck -->|"Hindi"| ApexLock["HAKBANG 2: Sa Malinis na Smartphone, I-lock ang Pangunahing Email (Gmail, Outlook, Proton) Una"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["HAKBANG 3: Isagawa ang Pandaigdigang Session + OAuth Token + Pagbawi ng Passkey sa Lahat ng Mga Kritikal na Account (Tingnan ang Platform Matrix sa Ibaba)"]

    GlobalRevoke --> ExportList["HAKBANG 4: Sa Offline na Infected na PC, I-export ang Listahan ng Lahat ng Naka-save na Mga Password ng Browser at Cookies para Malaman kung Aling Mga Account ang Ninakaw"]

    ExportList --> CleanOS["HAKBANG 5: I-back Up ang Mga Personal na Dokumento Lamang -> Magsagawa ng Clean OS Wipe/Reinstall -> Muling i-enroll ang Mga Passkey at I-enable ang Chrome App-Bound Encryption"]

Pag-unawa kung paano nilalampasan ng Infostealers ang 2FA at DPAPI / Keychain encryption¶

Paano magnanakaw ang isang 200-kilobyte na programa ng mga password at cookies ng session na ine-encrypt ng Google Chrome, Microsoft Edge, at Brave sa iyong hard drive?

1. Windows DPAPI (CryptUnprotectData) at Chrome App-Bound Encryption (v20):
2. Sa Windows, iniimbak ng mga browser na nakabase sa Chromium (Chrome, Edge, Brave, Opera, Vivaldi) ang iyong mga naka-save na password sa loob %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data at ang iyong session cookies sa loob \Network\Cookies.
3. Ang mga SQLite database na ito ay naka-encrypt gamit ang isang AES-256-GCM master key na nakaimbak sa %LOCALAPPDATA%\Google\Chrome\User Data\Local State, na pinoprotektahan ng Windows Data Protection API (DPAPI) na nakatali sa iyong naka-log-in na Windows user account.
4. Dahil pinatakbo mo ang infostealer bilang sarili mong naka-log-in na user ng Windows, anumang prosesong tumatakbo sa ilalim ng iyong user account ay maaaring makasaysayang tumawag CryptUnprotectData() upang hilingin sa Windows na i-decrypt ang susi. At para i-bypass ang Chrome 127+ App-Bound Encryption (v20 elevator service), ang mga modernong infostealers ay direktang nag-iinject sa isang walang ulo chrome.exe proseso ng pag-debug (--remote-debugging-port) o gumamit ng COM elevation para hilingin sa Chrome mismo na itapon ang lahat ng live na na-decrypt na cookies.
5. macOS Keychain at Atomic macOS Stealer (AMOS / PoseStealer):
6. Sa Apple macOS, ang mga infostealers ay nagkunwaring .dmg download (madalas na humihiling sa iyo na "I-right-click -> Buksan" o i-drag ang icon sa Terminal upang i-bypass ang Apple Gatekeeper) mag-pop up ng pekeng native na macOS dialog box na nagbabasa "System Preferences wants to access your confidential information: Enter your Mac login password". Sa sandaling i-type mo ang iyong password sa pag-login sa Mac sa prompt na iyon, magbubukas ang script -/Library/Keychains/login.keychain-db at kinokopya ang mga Safari/Chrome cookies, Apple Notes, at iCloud token.
7. Google MultiLogin / OAuthLogin Pagsasamantala ng Token Regeneration:
8. Ang mga mananaliksik sa seguridad ay nagsiwalat na ang mga infostealers ay hindi lamang nagnanakaw ng karaniwang web cookies, sila ay nag-extract din ng hindi dokumentado oauth_token mga token ng serbisyo mula sa Chrome's Web Data (token_service talahanayan) SQLite file. Kahit na pagkatapos na baguhin ng isang biktima ang kanilang password sa Google nang isang beses, maaaring i-replay noon ng mga umaatake ang ninakaw token_service OAuth token laban sa panloob ng Google OAuthLogin endpoint sa mint brand-new valid SID cookies ng browser maliban kung ang user ay tahasang nag-sign out sa nakompromisong session ng Chrome device AT binawi ang access sa third-party/OAuth device.

Hakbang 1: Pandaigdigang Session, Cookie, OAuth, at Passkey Revocation Matrix¶

Gamit ang isang malinis na smartphone o malinis na pangalawang computer, ayusin ang eksaktong talahanayang ito mula sa itaas hanggang sa ibaba. Mahalaga ang order: palaging gawin ang Hakbang A (I-sign out ang lahat ng aktibong session/device) at Hakbang B (Baguhin ang password) at Hakbang C (Audit 2FA/Passkeys/OAuth/Forwarding) nang magkasama, kung babaguhin mo lang ang iyong password nang hindi tinatapos ang mga aktibong session, mananatili kang naka-log sa pag-recover o naka-log na paraan ng live na browser at tab ng attacker.

Hakbang 2: Paano malalaman ang BAWAT account na nalantad sa iyong nahawaang computer¶

Pagkatapos mong i-lock down ang iyong nangungunang 10 kritikal na account sa iyong malinis na telepono, nahaharap ka sa isang nakakatakot na tanong: "Nagamit ko na ang computer na iyon sa loob ng apat na taon, paano ko malalaman kung alin sa aking 250 website ang nag-save ng mga password o aktibong cookies sa loob ng Chrome/Edge noong tumakbo ang infostealer?"

Habang pinapanatili ang infected na computer 100 porsiyento offline (Wi-Fi OFF, Ethernet unplugged), i-on ito at i-extract ang iyong eksaktong exposure na imbentaryo bago punasan ang makina:

1. I-export ang iyong Listahan ng Mga Naka-save na Password sa Browser (CSV):
2. Buksan ang iyong browser offline (chrome://password-manager/settings sa Chrome, edge://wallet/settings sa Edge, o about:logins sa Firefox) at i-click ang I-export ang mga password upang i-save Chrome Passwords.csv sa isang malinis na USB flash drive.
3. Bakit ginto ang file na ito para sa iyong pagbawi: Ninakaw ng infostealer ang eksaktong database na ito. pagkakaroon Chrome Passwords.csv sa harap mo ay nagbibigay sa iyo ng eksaktong checklist ng bawat solong username at password ng website na taglay na ngayon ng umaatake, para hindi mo makaligtaan ang isang lumang tax portal, airline miles account, o shopping site na may naka-save na credit card.
4. Suriin kung aling mga website ang may aktibong Session Cookies (chrome://settings/content/all):
5. Sa Chrome o Edge (habang offline), pumunta sa chrome://settings/content/all (o edge://settings/content/all) at pag-uri-uriin ayon sa Data stored or Most visited. Anumang website kung saan nanatili kang naka-log in nang hindi nagta-type ng password ay mahina sa pagnanakaw ng cookie ng session at kailangang wakasan ang session nito.
6. Suriin kung ang iyong Standalone Password Manager (1Password, Bitwarden, KeePassXC) ay Na-unlock sa Sandali ng Impeksiyon:
7. Kung NAKA-LOCK ang iyong 1Password, Bitwarden, o KeePassXC vault noong tumakbo ang infostealer: Makuha lang ng malware ang naka-encrypt na local vault cache (data.json o .kdbx), na protektado ng PBKDF2-SHA256 / Argon2id + iyong Master Password (at 34-character na Secret Key sa 1Password). Kung malakas ang iyong Master Password, mananatiling ligtas ang iyong mga nilalaman ng vault, bagama't dapat mo pa ring i-rotate ang iyong Master Password bilang pag-iingat.
8. Kung NA-UNLOCK sa memorya ang extension ng browser ng iyong password manager noong tumakbo ang malware (o kung na-save mo ang Master Password ng iyong Password Manager sa loob ng built-in na autofill ng Chrome.): Ipagpalagay na itinapon ng infostealer ang iyong vault o nakuha ang iyong Master Password, at i-rotate ang lahat ng kritikal na kredensyal sa loob ng iyong vault.

Hakbang 3: Pangangaso at pagtanggal ng pagtitiyaga ng Infostealer bago punasan ang OS¶

Bago i-back up ang iyong mga personal na dokumento at magsagawa ng malinis na muling pag-install ng OS, maaari mong suriin kung paano pumasok ang infostealer sa iyong system at kung nag-drop ito ng patuloy na pangalawang loader (tulad ng Naka-iskedyul na Gawain, Registry Run susi, Startup .lnk shortcut, o nakakahamak na Chrome Extension):

1. Patakbuhin itong Offline na PowerShell Persistence Audit (Windows)¶

Buksan ang PowerShell (Admin) sa offline na PC at patakbuhin ang apat na read-only na forensic check na ito:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Bakit Inirerekomenda ang Clean OS Reinstall (sa pamamagitan ng USB Media) Pagkatapos ng Infostealer¶

Habang tumatakbo ang Microsoft Defender Offline Scan at Malwarebytes pagkatapos i-clear ang mga pagbubukod ng Defender ay nag-aalis ng mga kilalang persistence loader, ang mga commodity infostealers ay madalas na nagbu-bundle ng pangalawang RAT (Remote Access Trojan), SystemBC SOCKS5 proxy, o clipper malware (na tahimik na sinusubaybayan ng Bitcoin ang anumang copieum na address sa iyong Windows clipeum/E. address ng hacker). - Kapag nakopya mo na ang iyong mga personal na dokumento, larawan, at Chrome Passwords.csv off ang offline na PC, magsagawa ng malinis na Windows 11 USB Reinstall (o macOS Erase All Content and Settings) kasunod ng aming malware, ransomware, at gabay sa impeksyon ng spyware.

3. Pag-audit ng macOS at Linux Systems para sa Infostealer Artifacts (Atomic macOS Stealer / AMOS, Poseidon, at Nakakahamak na Mga Extension ng Browser)¶

Kung ang iyong infected na makina ay isang Apple MacBook/iMac o isang Linux developer workstation sa halip na isang Windows PC, patakbuhin ang mga offline na terminal check na ito upang makita at matanggal ang pagtitiyaga:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise at Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace, at AWS IAM)¶

Kung ang computer na infected ng isang infostealer ay pagmamay-ari ng isang software engineer, DevOps administrator, o corporate na empleyado na nagkaroon ng mga aktibong session sa Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS, o Cloudflare, ang paglilinis ng lokal na device ay kalahati lang ng labanan. Isagawa kaagad ang mga pagbawi ng cloud directory na ito:

• Microsoft Entra ID (Revoke-MgUserSignInSession): Ang pag-click sa "Mag-sign out" sa isang browser ay hindi palaging binabawi ang Primary Refresh Token (PRTs) o Azure CLI (az login / .azure/msal_token_cache.bin) mga token na kinopya mula sa disk. Dapat tumakbo ang isang Entra Administrator Revoke-MgUserSignInSession -UserId user@company.com sa Microsoft Graph PowerShell para i-reset ang user signInSessionsValidFromDateTime attribute at invalidate ang lahat ng Refresh Token sa lahat ng endpoint nang sabay-sabay.
• AWS CLI at Developer Token Rotation (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Ang mga commodity infostealers ay tahasang ini-scan ang home directory ng bawat user para sa .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, at Docker/Kubernetes config file. Kaagad na i-deactivate at i-rotate ang lahat ng AWS IAM Access Keys (AKIA...) sa AWS Console, bawiin ang GitHub Personal Access Token (ghp_...), at tanggalin ang nakalantad na mga pampublikong key ng SSH mula sa mga server ng produksyon (-/.ssh/authorized_keys).
• Desktop Messaging at VPN Client Token Purge (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): Higit pa sa mga web browser, partikular na kinokopya ng mga module ng infostealer ang %APPDATA%\Telegram Desktop\tdata direktoryo (na nagpapahintulot sa isang umaatake na i-clone ang iyong buong Telegram account sa kanilang PC nang walang SMS code), %APPDATA%\Slack\storage, at na-save OpenVPN (.ovpn) / WireGuard (.conf) mga profile ng corporate VPN. Buksan ang Telegram sa iyong telepono (Mga Setting > Mga Device -> Wakasan ang Lahat ng Iba Pang Session), i-sign out ang lahat ng Slack workspace (slack.com/account/settings -> I-sign out ang lahat ng iba pang session), at hilingin sa administrator ng iyong network na bawiin at muling ibigay ang iyong corporate VPN client certificate.

Pag-iwas: Paano gawin ang iyong browser at mga account na lumalaban sa Infostealers¶

Kapag malinis na ang iyong system at na-recover na ang iyong mga account, ipatupad ang limang depensang ito upang hindi na muling ma-hijack ng infostealer ang iyong digital na buhay:

• HUWAG mag-imbak ng mga password sa loob ng built-in na password manager ng iyong web browser (Chrome / Edge / Brave / Firefox Autofill) nang walang Hardware/Master Key: Ang bawat commodity infostealer sa Earth ay nagta-target ng Chrome's Login Data SQLite table muna. I-off ang OFF "Alok na mag-save ng mga password" sa chrome://password-manager/settings at iimbak ang iyong mga password sa loob ng nakalaang, walang kaalaman na tagapamahala ng password (1Password, Bitwarden, Proton Pass, o KeePassXC) na naka-configure sa Auto-Lock kaagad kapag nag-lock ang system o pagkatapos ng 5 minutong idle time.
• I-enable ang "Device-Bound Session Credentials (DBSC)" at "App-Bound Encryption" sa Chrome 127+: Tiyaking na-update ang Google Chrome o Edge sa pinakabagong bersyon at naka-install sa default na direktoryo ng system (C:\Program Files\Google\Chrome\Application) kaya ang GoogleChromeElevationService maaaring itali ang pag-encrypt ng cookie sa mga antas ng pribilehiyo ng system at TPM hardware key sa pamamagitan ng Device-Bound Session Credentials (DBSC).
• Huwag paganahin ang Windows Run Box (Win + R) o mshta.exe para harangan ang "ClickFix" Fake CAPTCHA Attacks: Huwag pindutin ang Win + R -> Ctrl + V -> Enter kapag ang isang website na CAPTCHA, pekeng Cloudflare screen, o "Ayusin ang Mikropono / Ayusin ang Font" na pop-up ay humiling sa iyo na mag-paste ng command sa iyong Run dialog o Terminal, walang lehitimong website sa Earth ang nagbe-verify sa sangkatauhan sa pamamagitan ng paghiling sa iyong i-paste ang code sa Win + R o macOS Terminal.
• Gumamit ng Mga Hardware Security Key (YubiKey) o Mga Passkey + Nangangailangan ng Muling Pagpapatotoo para sa Mga Sensitibong Pagkilos: Habang ang ninakaw na cookies ng session ay lumalampas sa mga paunang senyas sa pag-log in, ang mga pangunahing platform (Google, GitHub, Cloudflare, AWS, Coinbase) ay nagpapatupad ng Step-Up Authentication (Sudo Mode) na nangangailangan ng isang pisikal na biometric na pag-check ng FIDO2 o Yubi na nangangailangan ng isang pisikal na tseke ng FIDO2 o Yubi. baguhin ang iyong password, i-export ang data, o magdagdag ng withdrawal address.
• Suriin kung ang iyong email o log ng stealer ay lumabas sa Darknet Monitoring Databases: Bisitahin haveibeenpwned.com (na nag-i-index na ngayon ng milyun-milyong email address ng biktima ng log ng stealer at nakompromisong domain) at pinapagana ang mga libreng notification sa paglabag sa darknet para sa iyong mga email address.
• Ihiwalay ang mga hindi pinagkakatiwalaang pag-download, mga mod ng laro, at mga script ng third-party sa loob ng Virtual Machine o Windows Sandbox: Huwag kailanman tumakbo nang hindi na-verify .exe, .msi, .dmg, .bat, o Python pip / Node npm post-install na mga script nang direkta sa host operating system na nagtataglay ng iyong mga napatotohanang web browser session at mga pinansiyal na pag-login. I-enable ang Windows Sandbox (built in sa Windows 10/11 Pro at Enterprise sa pamamagitan ng I-on o i-off ang mga feature ng Windows > Windows Sandbox) o gumamit ng nakahiwalay na virtual machine na walang naka-save na cookies ng browser kapag sinusubukan ang mga third-party na utility.

Mga madalas itanong¶

Mga kaugnay na gabay¶

• Impeksyon sa malware, ransomware, at spyware
• MFA phishing at Adversary-in-the-Middle (AiTM) bypass
• MFA lockout: kung paano i-recover ang mga naka-lock na account
• Na-hack ang email account, mga panuntunan sa pagpapasa, at pagbawi
• Cryptocurrency wallet drain at seed phrase compromise
• Lockout ng password manager at pagbawi ng emergency vault
• Direktoryo ng mga numero ng emergency

Sinuri ang mga pinagmulan¶

• Cybersecurity and Infrastructure Security Agency (CISA) at FBI (United States): Pinagsanib na Cybersecurity Advisories sa Infostealer Malware (LummaC2, RedLine, Rhadamanthys) at Mitigating Token/Session Theft (CSAE24 / MITER ATT&CK T1539: Steal Web Session at T1539: Steal Web Session: Cookie).
• National Institute of Standards and Technology (NIST) (United States): NIST SP 800-63B: Digital Identity Guidelines: Session Management, Reauthentication, at Token Binding.
• World Wide Web Consortium (W3C) at Google Chromium Security Architecture: Device Bound Session Credentials (DBSC) Specification at Chrome App-Bound Encryption (v20 DPAPI Elevation) Teknikal na Dokumentasyon.
• National Cyber ​​Security Center (NCSC) (United Kingdom): Pagbabawas ng Malware, Infostealers, at Session Hijacking sa Enterprise at Consumer Environment.
• Buksan ang Worldwide Application Security Project (OWASP): Session Management Cheat Sheet at OAuth 2.0 Token Revocation (RFC 7009) Standards.