Oturum Belirteci Ele Geçirme, Bilgi Çalan Kötü Amaçlı Yazılım ve Genel Oturum İptali¶

Bir saldırganın YouTube, Instagram, Discord veya X hesabınızdan kripto para birimi dolandırıcılığı yayınladığını, Gmail veya Microsoft 365 gelen kutunuzda yönlendirme kuralları oluşturduğunu veya telefonunuzda hiçbir 2FA kodunu tetiklemeden veya "Yeni Giriş" e-posta uyarısını tetiklemeden kurumsal bulut konsolunuza eriştiğini keşfetmek Infostealer Kötü Amaçlı Yazılımın neden olduğu Oturum Çerezi / Jeton Ele Geçirme (Çerez Geçme)'nin şaşmaz imzasıdır. Bir web sitesinde oturum açıp "Oturumumu açık tut" seçeneğini işaretlediğinizde, sunucu şifrelenmiş bir HTTP oturum çerezi veya OAuth taşıyıcı belirteci (Google'ın SID / SAPISID, Microsoft'un ESTSAUTHPERSISTENTveya Discord'un Authorization token) web tarayıcınızın yerel SQLite veritabanında saklanır.

Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys ve Atomic macOS Stealer (AMOS) dahil olmak üzere emtia bilgi hırsızı kötü amaçlı yazılım aileleri, geleneksel virüsler gibi bilgisayarınızda beklemez. Çoğu zaman sahte bir oyun modu, kırılmış yazılım yükleyicisi, sahte "ClickFix" PowerShell CAPTCHA istemi veya sponsor işbirliği PDF'si olarak gizlenen bir bilgi hırsızı 4 saniyeden kısa bir sürede yürütülür ve Chrome, Edge, Brave veya Firefox'unuzun şifresini çözer Cookies ve Login Data Bellekteki veritabanlarını sıkıştırır, bunları masaüstü kripto para birimi cüzdan dosyalarınızla sıkıştırır, arşivi bir Telegram veya C2 sunucusuna yükler ve kendini siler. Saldırgan çalınan oturum çerezlerinizi tespit edilmeyen bir tarayıcıya aktardığında (Multilogin, Dolphin{anty}veya Gologin), web sunucusu saldırganın zaten kimliği doğrulanmış bilgisayarınız olduğunu düşünür ve hem şifrenizi hem de iki faktörlü kimlik doğrulamanızı tamamen atlar.

Bunu şimdi yap¶

1. Etkilenen bilgisayardaki şifrelerinizi değiştirmeyi DURUN, derhal o PC veya Mac'in Wi-Fi bağlantısını kesin ve Ethernet kablosunu çıkarın. Bu, kurbanların yaptığı 1 numaralı hatadır: Discord, Steam veya Gmail'lerinin ele geçirildiğini fark ederler, virüs bulaşmış olan aynı masaüstü bilgisayarın başına otururlar ve Chrome'a ​​yepyeni şifreler yazarlar. Bir bilgi hırsızı kalıcılık yükleyicisi veya zamanlanmış görev o makinede hala etkinse, yeni şifrelerinizi ve yeni oturum çerezlerinizi hemen yakalayacak ve bunları doğrudan saldırgana geri gönderecektir. Parola değişikliklerinizin ve oturum iptallerinizin yüzde 100'ünü temiz bir akıllı telefondan (hücresel veri veya temiz Wi-Fi üzerinden) veya ayrı, el değmemiş bir dizüstü bilgisayardan yapın.
2. Şifreyi değiştirmenin tek başına çalınan oturum çerezlerini veya OAuth yenileme jetonlarını her zaman geçersiz kılmadığını unutmayın; "Tüm Oturumlardan Çıkış Yap"ı açıkça tıklamanız VE üçüncü taraf OAuth uygulamalarını iptal etmeniz GEREKİR. Çeşitli platformlarda (ve Google'ın belgelenmemiş MultiLogin / issueToken OAuth uç noktaları veya uzun ömürlü oturum belirteçleri), yalnızca şifrenizi değiştirmek veya 2FA'yı döndürmek, aşağıdaki tabloda yer alan platforma özel Genel Oturum ve Belirteç İptali adımlarını uygulamadığınız sürece mevcut ikincil oturum belirteçlerini veya OAuth masaüstü belirteçlerini canlı bırakabilir.
3. Etkilenen bilgisayarda yüklü bir kripto para birimi cüzdanı eklentiniz (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) varsa, paranızı yepyeni bir donanım cüzdanı başlangıç ​​cümlesine boşaltmak için hemen temiz bir telefon kullanın. Infostealer günlükleri, şifrelenmiş kasa dosyalarını otomatik olarak toplar (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn MetaMask için) tarayıcınızın kayıtlı şifrelerinin yanında. Saldırgan kriptonuza henüz dokunmamış olsa bile, kasa dosyanız zaten bir darknet pazarında çevrimdışı GPU kırıcıyı bekliyor. Bizim yürütün kripto para cüzdanı tahliyesi ve tohum cümlesi uzlaşması hemen yönlendirin.
4. İlk 10 dakika içinde "Apex Kimlik Hesaplarınızı" (Birincil E-posta, Şifre Yöneticisi, Apple/Google Hesabı ve Kurumsal SSO) güvence altına alın. Temiz akıllı telefonunuzda birincil Google / Gmail (myaccount.google.com/device-activity) ve Microsoft (mysignins.microsoft.com) hesapları ilk önce. Tüm masaüstü oturumlarını kapatın, ana şifreyi döndürün, saldırganın diğer hizmetlerden şifre sıfırlama e-postalarını gizlemek için oluşturduğu tüm gizli e-posta yönlendirme kurallarını silmek için Ayarlar > İletme ve POP/IMAP ile Filtreler/Kurallar'ı işaretleyin ve kayıtlı Şifre Anahtarlarını ve Kimlik Doğrulayıcı cihazlarını kontrol edin.
5. Windows Kayıt Defterinizi denetleyin Run Yakın zamanda "ClickFix" sahte CAPTCHA komutunu çalıştırdıysanız anahtarlar, Görev Zamanlayıcı ve PowerShell geçmişi (Win + R -> Ctrl + V). Günümüzde en hızlı büyüyen bilgi hırsızlığı vektörlerinden biri, bir web sayfasındaki sahte Cloudflare veya Google CAPTCHA açılır penceresidir ve size "Basın" talimatını verir. Win + R, basmak Ctrl + Vve tuşuna basın Enter insan olduğunuzu doğrulamak için" (sessizce gizli bir işlem yürütür) mshta.exe veya powershell -w hidden -enc ... komut panonuza kopyalandı).
6. İhlal kurumsal altyapıyı veya gaspı içeriyorsa bakış açınızı koruyun ve fiziksel güvenliği koruyun. Bilgi hırsızı günlükleri sıklıkla çalınan şifrenizden alıntı yapan otomatik fidye veya şantaj e-postalarını tetikler. Asla gaspçılara ödeme yapmayın; bizimkine bakın cinsel şantaj ve çevrimiçi şantaj kılavuzuna bakın ve fiziksel bir tehditle karşılaşırsanız yerel acil durum numaranızı arayın (Amerika Birleşik Devletleri ve Kanada'da 911, Avrupa Birliği genelinde 112, Birleşik Krallık'ta 999 veya acil numaralar dizin).

Bilgi hırsızı ve oturum çerezi ele geçirme olayı müdahale karar ağacı¶

flowchart TD
    Root["Şüpheli Oturum Çerezinin Ele Geçirilmesi veya Bilgi Hırsızı Kötü Amaçlı Yazılım Bulaşması"] --> IsolatePC["ADIM 1: Etkilenen PC/Mac'in Wi-Fi ve Ethernet Bağlantısını Derhal Kesin (Enfekte Olan Bilgisayardaki Parolaları DEĞİŞTİRMEYİN)"]

    IsolatePC --> CryptoCheck{"O PC'de Herhangi Bir Kripto Cüzdan Uzantısı (MetaMask, Phantom, Exodus) Var mıydı?"}
    CryptoCheck -->|"Evet"| EvacCrypto["Tüm Kripto Varlıklarını Yepyeni Bir Başlangıç Cümlesine Süpürmek İçin Derhal Temiz Bir Telefon/Donanım Cüzdanı Kullanın"]
    CryptoCheck -->|"HAYIR"| ApexLock["ADIM 2: Temiz Bir Akıllı Telefonda Önce Birincil E-postayı (Gmail, Outlook, Proton) Kilitleyin"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["3. ADIM: Tüm Kritik Hesaplarda Global Oturum + OAuth Token + Şifre İptalini Gerçekleştirin (Aşağıdaki Platform Matrisine bakın)"]

    GlobalRevoke --> ExportList["ADIM 4: Çevrimdışı Etkilenen Bilgisayarda, Tam Olarak Hangi Hesapların Çalındığını Bilmek İçin Kaydedilen Tüm Tarayıcı Şifrelerinin ve Çerezlerin Listesini Dışa Aktarın"]

    ExportList --> CleanOS["ADIM 5: Yalnızca Kişisel Belgeleri Yedekleyin -> İşletim Sistemini Temizle Silme/Yeniden Yükleme İşlemi Yapın -> Parola Anahtarlarını Yeniden Kaydedin ve Chrome Uygulamaya Bağlı Şifrelemeyi Etkinleştirin"]

Bilgi hırsızlarının 2FA ve DPAPI / Anahtar Zinciri şifrelemesini nasıl atladığını anlamak¶

200 kilobaytlık bir program, Google Chrome, Microsoft Edge ve Brave'in sabit diskinizde şifrelediği şifreleri ve oturum çerezlerini nasıl çalabilir?

1. Windows DPAPI (CryptUnprotectData) ve Chrome Uygulamaya Bağlı Şifreleme (v20):
2. Windows'ta Chromium tabanlı tarayıcılar (Chrome, Edge, Brave, Opera, Vivaldi) kayıtlı şifrelerinizi %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data ve içindeki oturum çerezleriniz \Network\Cookies.
3. Bu SQLite veritabanları, içinde saklanan bir AES-256-GCM ana anahtarıyla şifrelenir. %LOCALAPPDATA%\Google\Chrome\User Data\Local StateOturum açmış Windows kullanıcı hesabınıza bağlı Windows Veri Koruma API'si (DPAPI) tarafından korunmaktadır.
4. Bilgi hırsızını oturum açmış Windows kullanıcınız olarak çalıştırdığınız için, kullanıcı hesabınız altında çalışan herhangi bir işlem geçmişte CryptUnprotectData() Windows'tan anahtarın şifresini çözmesini istemek için. Ve Chrome 127+ Uygulamaya Bağlı Şifrelemeyi (v20 asansör hizmeti), modern bilgi hırsızları doğrudan başsız bir ortama enjekte ediyor chrome.exe hata ayıklama işlemi (--remote-debugging-port) veya Chrome'un kendisinden tüm canlı şifresi çözülmüş çerezleri boşaltmasını istemek için COM yükseltmesini kullanın.
5. macOS Anahtar Zinciri ve Atomic macOS Stealer (AMOS / PoseStealer):
6. Apple macOS'ta bilgi hırsızları kılık değiştirmiş .dmg indirmeler (Apple Gatekeeper'ı atlamak için genellikle "Sağ tıklamanızı -> Aç" yapmanızı veya simgeyi Terminal'e sürüklemenizi ister), "Sistem Tercihleri gizli bilgilerinize erişmek istiyor: Mac oturum açma şifrenizi girin" yazan sahte bir yerel macOS iletişim kutusu açar. Bu istemde Mac oturum açma parolanızı yazdığınız anda komut dosyasının kilidi açılır -/Library/Keychains/login.keychain-db ve Safari/Chrome çerezlerini, Apple Notes'u ve iCloud belirteçlerini kopyalar.
7. Google MultiLogin / OAuthLogin Token Yenileme İstismarı:
8. Güvenlik araştırmacıları, bilgi hırsızlarının yalnızca standart web çerezlerini çalmakla kalmayıp aynı zamanda belgelenmemiş verileri de çıkardıklarını ortaya çıkardı oauth_token Chrome'un ** hizmet jetonlarıWeb Data (token_service tablo)** SQLite dosyası. Kurban Google şifresini bir kez değiştirdikten sonra bile saldırganlar çalınan şifreyi daha önce tekrar oynatabiliyordu. token_service Google'ın dahili sistemine karşı OAuth jetonu OAuthLogin yepyeni geçerli nane için uç nokta SID Kullanıcı açıkça **güvenliği ihlal edilen Chrome cihazı oturumundan çıkış yapmadığı VE üçüncü taraf/OAuth cihaz erişimini iptal etmediği sürece tarayıcı çerezleri.

1. Adım: Küresel Oturum, Çerez, OAuth ve Geçiş Anahtarı İptal Matrisi¶

Temiz bir akıllı telefon veya temiz bir ikincil bilgisayar kullanarak bu tabloyu yukarıdan aşağıya doğru çalışın. Sipariş önemlidir: A Adımını (Tüm aktif oturumlarda/cihazlarda oturumu kapatın) ve B Adımını (Şifreyi değiştirin) ve C Adımını (2FA/Passkey'leri/OAuth/İletme Denetimi) her zaman birlikte yapın; yalnızca aktif oturumları sonlandırmadan şifrenizi değiştirirseniz, saldırganın canlı tarayıcı sekmesi oturumunuz açık kalır ve sizi izleyebilir veya hileli bir kurtarma yöntemi ekleyebilir.

Adım 2: Virüs bulaşmış bilgisayarınızda açığa çıkan HER hesabı nasıl bulabilirsiniz?¶

Temiz telefonunuzda ilk 10 kritik hesabınızı kilitledikten sonra göz korkutucu bir soruyla karşı karşıya kalırsınız: "Bu bilgisayarı dört yıldır kullanıyorum, bilgi hırsızı çalıştırıldığında 250 web sitemden hangisinin Chrome/Edge'de şifreleri veya aktif çerezleri kaydettiğini nasıl bileceğim?"

Virüs bulaşmış bilgisayarı yüzde 100 çevrimdışı tutarken (Wi-Fi KAPALI, Ethernet takılı değil), makineyi silmeden önce açın ve tam maruz kalma envanterinizi çıkarın:

1. Tarayıcı Kayıtlı Şifreler Listenizi Dışa Aktarın (CSV):
2. Tarayıcınızı çevrimdışı açın (chrome://password-manager/settings Chrome'da, edge://wallet/settings Edge'de veya about:logins Firefox'ta) ve kaydetmek için Şifreleri dışa aktar'ı tıklayın Chrome Passwords.csv temiz bir USB flash sürücüye.
3. Bu dosya kurtarmanız için neden altın değerindedir: Bilgi hırsızı tam olarak bu veritabanını çaldı. Sahip olmak Chrome Passwords.csv önünüzde size saldırganın şu anda sahip olduğu her bir web sitesi kullanıcı adının ve şifresinin tam kontrol listesini verir, böylece eski bir vergi portalını, havayolu mili hesabını veya kayıtlı bir kredi kartına sahip alışveriş sitesini kaçırmazsınız.
4. Hangi web sitelerinin etkin Oturum Çerezlerine sahip olduğunu inceleyin (chrome://settings/content/all):
5. Chrome veya Edge'de (çevrimdışıyken) 'ye gidinchrome://settings/content/all (veya edge://settings/content/all) ve Depolanan veriler veya En çok ziyaret edilenler'e göre sıralayın. Parola yazmadan oturum açtığınız herhangi bir web sitesi, oturum çerezi hırsızlığına karşı savunmasızdır ve oturumunun sonlandırılması gerekir.
6. Bağımsız Şifre Yöneticinizin (1Password, Bitwarden, KeePassXC) Enfeksiyon Anında Kilidinin Açık olup olmadığını kontrol edin:
7. Bilgi hırsızı çalıştırıldığında 1Password, Bitwarden veya KeePassXC kasanız KİLİTLİ ise: Kötü amaçlı yazılım yalnızca şifrelenmiş yerel kasa önbelleğini ele geçirebilir (data.json veya .kdbx), PBKDF2-SHA256 / Argon2id + Ana Parolanız (ve 1Password'de 34 karakterlik Gizli Anahtar) tarafından korunmaktadır. Ana Parolanız güçlüyse kasa içeriğiniz güvende kalır, ancak yine de bir önlem olarak Ana Parolanızı değiştirmelisiniz.
8. Kötü amaçlı yazılım çalıştırıldığında şifre yöneticisi tarayıcı uzantınızın bellekteki KİLİDİ ​​AÇIK ise (veya Şifre Yöneticisi Ana Şifrenizi Chrome'un yerleşik otomatik doldurma işlevine kaydettiyseniz): Bilgi hırsızının kasanızı boşalttığını veya Ana Şifrenizi ele geçirdiğini varsayalım ve kasanızdaki tüm kritik kimlik bilgilerini döndürün.

3. Adım: İşletim sistemini silmeden önce Infostealer kalıcılığını tespit edin ve ortadan kaldırın¶

Kişisel belgelerinizi yedeklemeden ve temiz bir işletim sistemi yeniden yüklemesi gerçekleştirmeden önce, bilgi hırsızının sisteminize nasıl girdiğini ve kalıcı bir ikincil yükleyiciyi (Zamanlanmış Görev, Kayıt Defteri gibi) düşürüp düşürmediğini inceleyebilirsiniz. Run tuşu, Başlangıç .lnk kısayol veya kötü amaçlı Chrome Uzantısı):

1. Bu Çevrimdışı PowerShell Kalıcılık Denetimini çalıştırın (Windows)¶

Çevrimdışı bilgisayarda PowerShell (Yönetici)'yi açın ve şu dört salt okunur adli kontrolü çalıştırın:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Bir Bilgi Hırsızlığından Sonra Neden Temiz İşletim Sisteminin Yeniden Kurulumu (USB Medyası aracılığıyla) Önerilir?¶

Defender hariç tutmaları temizledikten sonra Microsoft Defender Çevrimdışı Tarama ve Malwarebytes çalıştırılırken, bilinen kalıcı yükleyiciler kaldırılırken, emtia bilgi hırsızları sıklıkla ikincil bir RAT (Uzaktan Erişim Truva Atı), SystemBC SOCKS5 proxy veya clipper kötü amaçlı yazılımını (Windows panonuzu sessizce izler ve kopyalanan herhangi bir Bitcoin/Ethereum cüzdan adresini bilgisayar korsanının adresiyle değiştirir) paketler. - Kişisel belgelerinizi, fotoğraflarınızı ve Chrome Passwords.csv Çevrimdışı bilgisayarı kapattığınızda, aşağıdaki yönergeleri izleyerek temiz bir Windows 11 USB Yeniden Yükleme (veya macOS Tüm İçeriği ve Ayarları Sil) gerçekleştirin. kötü amaçlı yazılım, fidye yazılımı ve casus yazılım bulaşma kılavuzu.

3. MacOS ve Linux Sistemlerini Bilgi Çalan Eserler Açısından Denetleme (Atomic macOS Stealer / AMOS, Poseidonve Kötü Amaçlı Tarayıcı Uzantıları)¶

Etkilenen makineniz Windows PC yerine bir Apple MacBook/iMac veya Linux geliştirici iş istasyonuysa, kalıcılığı tespit etmek ve ortadan kaldırmak için şu çevrimdışı terminal kontrollerini çalıştırın:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Kurumsal ve Bulut Yönetici Sınırlaması (Microsoft Entra ID, Okta, Google Workspace ve AWS IAM)¶

Bilgi hırsızlığının bulaştığı bilgisayar, Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS veya Cloudflare'de etkin oturumları olan bir yazılım mühendisine, DevOps yöneticisine veya kurumsal çalışana aitse, yerel cihaz temizliği savaşın yalnızca yarısıdır. Bu bulut dizini iptallerini hemen gerçekleştirin:

• Microsoft Entra Kimliği (Revoke-MgUserSignInSession): Tek bir tarayıcıda "Oturumu kapat" seçeneğinin tıklatılması her zaman Birincil Yenileme Belirteçlerini (PRT'ler) veya Azure CLI'yi (az login / .azure/msal_token_cache.bin) diskten kopyalanan belirteçler. Bir Entra Yöneticisinin çalıştırılması gerekir Revoke-MgUserSignInSession -UserId user@company.com kullanıcının sıfırlamak için Microsoft Graph PowerShell'de signInSessionsValidFromDateTime tüm uç noktalardaki tüm Yenileme Belirteçlerini aynı anda niteleyebilir ve geçersiz kılabilirsiniz.
• AWS CLI ve Geliştirici Token Rotasyonu (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): Emtia bilgi hırsızları, her kullanıcının ana dizinini açıkça tarar. .aws/credentials, .ssh/id_ed25519, .gitconfig, .envve Docker/Kubernetes yapılandırma dosyaları. Tüm AWS IAM Erişim Anahtarlarını () derhal devre dışı bırakın ve döndürünAKIA...) AWS Konsolunda GitHub Kişisel Erişim Belirteçlerini (ghp_...) ve açığa çıkan SSH genel anahtarlarını üretim sunucularından silin (-/.ssh/authorized_keys).
• Masaüstü Mesajlaşma ve VPN İstemci Token Temizlemesi (Telegram Masaüstü tdata, Signal, Slack, OpenVPN, WireGuard): Web tarayıcılarının ötesinde, bilgi hırsızlığı modülleri özellikle %APPDATA%\Telegram Desktop\tdata dizin (bir saldırganın Telegram hesabınızın tamamını SMS kodu olmadan bilgisayarına kopyalamasına olanak tanır), %APPDATA%\Slack\storageve kaydedildi OpenVPN (.ovpn) / WireGuard (.conf) kurumsal VPN profilleri. Telefonunuzda Telegram'ı açın (Ayarlar > Cihazlar -> Diğer Tüm Oturumları Sonlandır), tüm Slack çalışma alanlarından çıkış yapın (slack.com/account/settings -> Diğer tüm oturumları kapatın) ve ağ yöneticinizden kurumsal VPN istemci sertifikanızı iptal edip yeniden yayınlamasını isteyin.

Önleme: Tarayıcınızı ve hesaplarınızı Bilgi Hırsızlarına karşı nasıl dirençli hale getirebilirsiniz?¶

Sisteminiz temizlendikten ve hesaplarınız kurtarıldıktan sonra, bir bilgi hırsızının dijital yaşamınızı bir daha asla ele geçirmemesi için şu beş savunmayı uygulayın:

• Şifrelerinizi ASLA web tarayıcınızın yerleşik şifre yöneticisinde (Chrome / Edge / Brave / Firefox Otomatik Doldurma) Donanım/Ana Anahtar olmadan saklamayın: Dünyadaki her bilgi hırsızlığı Chrome'u hedef alır Login Data İlk önce SQLite tablosu. KAPALI "Şifreleri kaydetmeyi öner" ayarını yapın chrome://password-manager/settings ve şifrelerinizi sistem kilitlendiğinde veya 5 dakika boşta kaldıktan sonra anında Otomatik Kilitlenecek şekilde yapılandırılmış, özel, sıfır bilgili bir şifre yöneticisinde (1Password, Bitwarden, Proton Pass veya KeePassXC) saklayın.
• Chrome 127+'da "Cihaza Bağlı Oturum Kimlik Bilgileri (DBSC)" ve "Uygulamaya Bağlı Şifreleme"yi etkinleştirin: Google Chrome veya Edge'in en son sürüme güncellendiğinden ve varsayılan sistem dizinine yüklendiğinden emin olun (C:\Program Files\Google\Chrome\Application) yani GoogleChromeElevationService Cihaza Bağlı Oturum Kimlik Bilgileri (DBSC) aracılığıyla çerez şifrelemesini sistem ayrıcalık düzeylerine ve TPM donanım anahtarlarına bağlayabilir.
• Windows Çalıştırma Kutusunu devre dışı bırakın (Win + R) veya mshta.exe "ClickFix" Sahte CAPTCHA Saldırılarını engellemek için: Hiçbir zaman ** tuşuna basmayınWin + R -> Ctrl + V -> Enter** Bir web sitesi CAPTCHA'sı, sahte Cloudflare ekranı veya "Mikrofonu Düzelt / Yazı Tipini Düzelt" açılır penceresi, Çalıştır iletişim kutunuza veya Terminalinize bir komut yapıştırmanızı istediğinde, Dünya üzerindeki hiçbir meşru web sitesi sizden kodu yapıştırmanızı isteyerek insanlığı doğrulamaz. Win + R veya macOS Terminali.
• Donanım Güvenlik Anahtarları (YubiKey) veya Geçiş Anahtarları Kullanın + Hassas İşlemler için Yeniden Kimlik Doğrulamayı Gerektirin: Çalınan oturum çerezleri ilk oturum açma istemlerini atlarken, büyük platformlar (Google, GitHub, Cloudflare, AWS, Coinbase), oturum çerezi olan herhangi birinin şifrenizi değiştirmesine, verilerinizi dışa aktarmasına veya para çekme işlemi eklemesine izin vermeden önce fiziksel bir FIDO2 YubiKey dokunuşu veya Geçiş Anahtarı biyometrik kontrolü gerektiren Aşamalı Kimlik Doğrulaması'nı (Sudo Modu) uygular. adresi.
• E-postanızın veya hırsız günlüğünüzün Darknet İzleme Veritabanlarında görünüp görünmediğini kontrol edin: Ziyaret edin haveibeenpwned.com (artık milyonlarca hırsız günlüğü kurbanı e-posta adresini ve güvenliği ihlal edilmiş alan adlarını indeksliyor) ve e-posta adresleriniz için ücretsiz darknet ihlali bildirimlerini etkinleştirin.
• Güvenilmeyen indirmeleri, oyun modlarını ve üçüncü taraf komut dosyalarını bir Sanal Makine veya Windows Sandbox içinde izole edin: Doğrulanmamış olarak asla çalıştırmayın .exe, .msi, .dmg, .batveya Python pip / Düğüm npm kurulum sonrası komut dosyalarını doğrudan doğrulanmış web tarayıcısı oturumlarınızı ve finansal oturum açma bilgilerinizi tutan ana bilgisayar işletim sistemine aktarın. Windows Sandbox'ı etkinleştirin (Windows özelliklerini aç veya kapat > Windows Sandbox aracılığıyla Windows 10/11 Pro ve Enterprise'da yerleşiktir) veya üçüncü taraf yardımcı programları test ederken sıfır kaydedilmiş tarayıcı çerezlerine sahip yalıtılmış bir sanal makine kullanın.

Sık sorulan sorular¶

İlgili kılavuzlar¶

• Kötü amaçlı yazılım, fidye yazılımı ve casus yazılım bulaşması
• MFA kimlik avı ve Ortadaki Düşman (AiTM) bypass'ı
• MFA kilitleme: kilitli hesaplar nasıl kurtarılır
• E-posta hesabının saldırıya uğraması, yönlendirme kuralları ve kurtarma
• Kripto para cüzdanı tahliyesi ve tohum cümlesi uzlaşması
• Parola yöneticisi kilitleme ve acil kasa kurtarma
• Acil numaralar dizini

Kaynaklar kontrol edildi¶

• Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) ve FBI (Amerika Birleşik Devletleri): Infostealer Kötü Amaçlı Yazılım (LummaC2, RedLine, Rhadamanthys) ve Belirteç/Oturum Hırsızlığının Azaltılması (CSAE24 / MITRE ATT&CK T1539: Çalma Web Oturumu Çerezi ve T1550.004: Web Oturumu Çerezi) hakkında Ortak Siber Güvenlik Tavsiyeleri.
• Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) (Amerika Birleşik Devletleri): NIST SP 800-63B: Dijital Kimlik Yönergeleri: Oturum Yönetimi, Yeniden Kimlik Doğrulama ve Belirteç Bağlama.
• World Wide Web Konsorsiyumu (W3C) ve Google Chromium Güvenlik Mimarisi: Cihaza Bağlı Oturum Kimlik Bilgileri (DBSC) Spesifikasyonu ve Chrome Uygulamaya Bağlı Şifreleme (v20 DPAPI Yüksekliği) Teknik Dokümantasyon.
• Ulusal Siber Güvenlik Merkezi (NCSC) (Birleşik Krallık): Kurumsal ve Tüketici Ortamlarında Kötü Amaçlı Yazılımları, Bilgi Hırsızlarını ve Oturum Ele Geçirmeyi Azaltma.
• Dünya Çapında Açık Uygulama Güvenliği Projesi (OWASP): Oturum Yönetimi Hile Sayfası ve OAuth 2.0 Token İptali (RFC 7009) Standartları.