Викрадення маркера сеансу, зловмисне програмне забезпечення Infostealer і глобальне скасування сеансу¶

Виявлення того, що зловмисник щойно опублікував шахрайство з криптовалютою з вашого облікового запису YouTube, Instagram, Discord або X, створив правила пересилання у вашій папці «Вхідні» Gmail або Microsoft 365 або отримав доступ до вашої корпоративної хмарної консолі без жодного запуску коду 2FA на вашому телефоні чи електронного сповіщення «Новий вхід» , це безпомилкова ознака викрадення файлів cookie/токена сеансу (Pass-the-Cookie), спричинене зловмисним програмним забезпеченням Infostealer. Коли ви входите на веб-сайт і ставите прапорець «Залишати мене в системі», сервер видає зашифрований файл cookie сеансу HTTP або маркер носія OAuth (наприклад, Google SID / SAPISID, Microsoft ESTSAUTHPERSISTENT, або Discord Authorization маркер), що зберігається в локальній базі даних SQLite вашого веб-браузера.

Сімейства шкідливих програм Commodity infostealer, зокрема Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys і Atomic macOS Stealer (AMOS), не чекають на вашому комп’ютері, як традиційні віруси. Часто замаскований під фальшиву модифікацію гри, зламаний інсталятор програмного забезпечення, підроблений запит PowerShell CAPTCHA «ClickFix» або PDF-файл співпраці спонсорів, інфокрадійка виконується за менше 4 секунд, розшифровує ваш Chrome, Edge, Brave або Firefox Cookies і Login Data бази даних у пам’яті, заархівовує їх разом із файлами гаманця криптовалюти на робочому столі, завантажує архів на сервер Telegram або C2 і видаляє сам себе. Коли зловмисник імпортує ваші викрадені файли cookie сеансу в браузер із засобом виявлення (Multilogin, Dolphin{anty}, або Gologin), веб-сервер вважає, що зловмисник є вашим уже автентифікованим комп’ютером, повністю обходячи ваш пароль і вашу двофакторну автентифікацію.

Зробіть це зараз¶

1. Припиніть змінювати свої паролі на зараженому комп’ютері, негайно від’єднайте цей ПК або Mac від Wi-Fi та від’єднайте кабель Ethernet. Це помилка №1, яку роблять жертви: вони помічають, що їх Discord, Steam або Gmail зламано, сідають за той самий заражений настільний ПК і вводять абсолютно нові паролі в Chrome. Якщо на цьому комп’ютері все ще активний завантажувач постійного завантаження infostealer або заплановане завдання, воно негайно захопить ваші нові паролі та нові файли cookie сеансу та надішле їх назад зловмиснику. Виконуйте 100-відсоткову зміну пароля та відкликання сеансу з чистого смартфона (з стільниковим зв’язком даних або чистого Wi-Fi) або окремого недоторканого ноутбука.
2. Зрозумійте, що сама зміна пароля НЕ завжди робить недійсними викрадені сеансові файли cookie або маркери оновлення OAuth, ви ПОВИННІ явно натиснути «Вийти з усіх сеансів» ТА відкликати сторонні програми OAuth. На кількох платформах (і з незадокументованим Google MultiLogin / issueToken Кінцеві точки OAuth або токени тривалого сеансу), проста зміна пароля або ротація 2FA може залишити наявні вторинні токени сеансу або токени OAuth для робочого столу, якщо ви не виконаєте кроки Глобального сеансу та відкликання токена для конкретної платформи в таблиці нижче.
3. Якщо на зараженому комп’ютері встановлено програмне розширення гаманця для криптовалют (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum), скористайтеся чистим телефоном прямо зараз, щоб евакуювати свої кошти в нову початкову фразу апаратного гаманця. Журнали Infostealer автоматично збирають зашифровані файли сховища (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn для MetaMask) разом із збереженими паролями вашого браузера. Навіть якщо зловмисник ще не торкнувся вашої криптографії, ваш файл сховища вже стоїть на даркнет-ринку в очікуванні офлайн-зломщика GPU. Виконати наш злив криптовалютного гаманця та компрометація початкової фрази керівництво негайно.
4. Захистіть свої «Акаунти Apex Identity» (основну електронну адресу, менеджер паролів, обліковий запис Apple/Google і корпоративну систему єдиного входу) протягом перших 10 хвилин. На чистому смартфоні відкрийте свій основний Google/Gmail (myaccount.google.com/device-activity) і Microsoft (mysignins.microsoft.com) облікові записи спочатку. Вийдіть із усіх сеансів комп’ютера, змініть головний пароль, перевірте Налаштування > Пересилання та POP/IMAP і Фільтри/Правила, щоб видалити будь-які приховані правила пересилання електронної пошти, створені зловмисником, щоб приховати електронні листи для зміни пароля від інших служб, і перевірте зареєстровані ключі доступу та пристрої автентифікації.
5. Аудит вашого реєстру Windows Run ключі, планувальник завдань і історія PowerShell, якщо ви нещодавно запустили підроблену команду CAPTCHA "ClickFix" (Win + R -> Ctrl + V). Одним із найшвидше зростаючих векторів викрадання інформації сьогодні є фальшиве спливаюче вікно Cloudflare або Google CAPTCHA на веб-сторінці, яке пропонує вам "Натиснути Win + R, натисніть Ctrl + Vі натисніть Enter перевірити, що ви людина" (який мовчки виконує прихований mshta.exe або powershell -w hidden -enc ... команду скопійовано в буфер обміну).
6. Зберігайте перспективу та захищайте фізичну безпеку, якщо зловмисники стосуються корпоративної інфраструктури або здирництва. Журнали Infostealer часто запускають автоматичні електронні листи з вимогою викупу або сексуального здирства, у яких цитується ваш викрадений пароль. Ніколи не платіть здирникам; побачити наш сексуальне здирство та онлайн-шантаж і якщо ви зіткнетеся з фізичною загрозою, зателефонуйте на місцевий номер служби екстреної допомоги (911 у Сполучених Штатах і Канаді, 112 у всьому Європейському Союзі, 999 у Сполученому Королівстві або див. номери екстрених служб каталог).

Інфостеалер і дерево рішень про викрадання файлів cookie сеансу¶

flowchart TD
    Root["Підозра про викрадення сеансових файлів cookie або зараження зловмисним програмним забезпеченням Infostealer"] --> IsolatePC["КРОК 1. Негайно від’єднайте заражений ПК/Mac від Wi-Fi та Ethernet (НЕ змінюйте паролі на зараженому ПК)"]

    IsolatePC --> CryptoCheck{"Чи були на цьому ПК будь-які розширення крипто-гаманця (MetaMask, Phantom, Exodus)?"}
    CryptoCheck -->|"так"| EvacCrypto["Негайно використовуйте чистий гаманець телефону/апаратного забезпечення, щоб перевести всі криптоактиви на абсолютно нову початкову фразу"]
    CryptoCheck -->|"немає"| ApexLock["КРОК 2. На чистому смартфоні спочатку заблокуйте основну електронну пошту (Gmail, Outlook, Proton)"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["КРОК 3. Виконайте глобальний сеанс + маркер OAuth + відкликання ключа доступу для всіх критичних облікових записів (див. Матрицю платформи нижче)"]

    GlobalRevoke --> ExportList["КРОК 4. Експортуйте список усіх збережених паролів і файлів cookie на офлайн-інфікованому комп’ютері, щоб точно знати, які облікові записи було вкрадено"]

    ExportList --> CleanOS["КРОК 5. Створіть резервні копії лише особистих документів -> Виконайте чисте видалення/перевстановлення ОС -> Повторно зареєструйте ключі доступу та ввімкніть шифрування, пов’язане з програмою Chrome"]

Розуміння того, як Infostealers обходять шифрування 2FA та DPAPI / Keychain¶

Як 200-кілобайтна програма може викрасти паролі та файли cookie сеансу, які Google Chrome, Microsoft Edge і Brave шифрують на вашому жорсткому диску?

1. Windows DPAPI (CryptUnprotectData) і Chrome-App-Bound Encryption (v20):
2. У Windows браузери на основі Chromium (Chrome, Edge, Brave, Opera, Vivaldi) зберігають ваші збережені паролі %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data і файли cookie сесії всередині \Network\Cookies.
3. Ці бази даних SQLite зашифровано головним ключем AES-256-GCM, який зберігається в %LOCALAPPDATA%\Google\Chrome\User Data\Local State, який захищено Windows Data Protection API (DPAPI), пов’язаним з вашим обліковим записом користувача Windows, у який ви ввійшли.
4. Оскільки ви запустили infostealer як ваш власний користувач Windows, будь-який процес, запущений під вашим обліковим записом користувача, міг історично викликати CryptUnprotectData() щоб попросити Windows розшифрувати ключ. І щоб обійти Chrome 127+ App-Bound Encryption (v20 обслуговування ліфта), сучасні інфокрадії впорскують прямо в безголового chrome.exe процес налагодження (--remote-debugging-port) або скористайтеся підвищенням прав COM, щоб попросити сам Chrome вивести всі живі розшифровані файли cookie.
5. macOS Keychain & Atomic macOS Stealer (AMOS / PoseStealer):
6. На Apple macOS викрадачі інформації під виглядом .dmg завантажень (часто з проханням «Клацнути правою кнопкою миші -> Відкрити» або перетягнути піктограму до Терміналу, щоб обійти Apple Gatekeeper) з’являється підроблене рідне діалогове вікно macOS із написом «Системні параметри хочуть отримати доступ до вашої конфіденційної інформації: введіть пароль для входу в Mac». Щойно ви введете свій пароль для входу на комп’ютер Mac у цьому запиті, сценарій розблокується -/Library/Keychains/login.keychain-db і копіює файли cookie Safari/Chrome, Apple Notes і маркери iCloud.
7. Google MultiLogin / OAuthLogin Експлойт регенерації маркерів:
8. Дослідники безпеки виявили, що інфокрадії не лише викрадають стандартні файли cookie, вони також витягують незадокументовані oauth_token службові маркери від Chrome Web Data (token_service таблиця) файл SQLite. Навіть після того, як жертва один раз змінить свій пароль Google, зловмисники можуть відтворити вкрадений раніше token_service Маркер OAuth проти внутрішнього Google OAuthLogin кінцева точка для створення абсолютно нової дійсності SID файли cookie веб-переглядача, якщо користувач явно не вийшов із скомпрометованого сеансу пристрою Chrome ТА не скасував доступ до пристрою третьої сторони/OAuth.

Крок 1. Матриця глобального сеансу, файлів cookie, OAuth і відкликання ключа доступу¶

Використовуючи чистий смартфон або чистий додатковий комп’ютер, опрацюйте цю точну таблицю зверху вниз. Порядок має значення: завжди виконуйте Крок A (Вийти з усіх активних сеансів/пристроїв) і Крок B (Змінити пароль) і Крок C (Аудит 2FA/Паролі/OAuth/Пересилання) разом. Якщо ви змінюєте лише свій пароль, не припиняючи активні сеанси, вкладка веб-переглядача зловмисника залишатиметься в системі та зможе стежити за вами або додати шахрая метод відновлення.

Крок 2: Як дізнатися КОЖЕН обліковий запис, який було відкрито на вашому зараженому комп’ютері¶

Після того, як ви заблокували свої 10 найбільш важливих облікових записів на своєму чистому телефоні, ви зіткнулися з важким запитанням: "Я користувався цим комп’ютером протягом чотирьох років, як я можу дізнатися, на якому з моїх 250 веб-сайтів були збережені паролі чи активні файли cookie в Chrome/Edge, коли запускався інформаційний викрадач?"

Тримаючи заражений комп’ютер на 100 відсотків офлайн (Wi-Fi ВИМКНЕНО, Ethernet від’єднано), увімкніть його та витягніть точний інвентаризаційний інвентар перед тим, як очистити машину:

1. Експортуйте список паролів, збережених у браузері (CSV):
2. Відкрийте браузер в автономному режимі (chrome://password-manager/settings у Chrome, edge://wallet/settings в Edge, або about:logins у Firefox) і натисніть Експортувати паролі, щоб зберегти Chrome Passwords.csv на чистий флеш-накопичувач USB.
3. Чому цей файл є золотим для вашого відновлення: інфокрадій викрав саме цю базу даних. мати Chrome Passwords.csv перед вами дає вам точний контрольний список кожного окремого імені користувача та пароля веб-сайту, якими зараз володіє зловмисник, тож ви не пропустите старий податковий портал, обліковий запис миль авіакомпанії чи сайт покупок зі збереженою кредитною карткою.
4. Перевірте, які веб-сайти мали активні файли cookie сеансу (chrome://settings/content/all):
5. У Chrome або Edge (у режимі офлайн) перейдіть до chrome://settings/content/all (або edge://settings/content/all) і відсортуйте за Збереженими даними або Найчастіше відвідуваними. Будь-який веб-сайт, на якому ви залишалися в системі, не вводячи пароль, був уразливим до крадіжки файлів cookie сеансу, і його сеанс потрібно припинити.
6. Перевірте, чи ваш автономний менеджер паролів (1Password, Bitwarden, KeePassXC) був розблокований у момент зараження:
7. Якщо ваше сховище 1Password, Bitwarden або KeePassXC було ЗАБЛОКУВАНО під час запуску інформаційного викрадача: зловмисне програмне забезпечення могло захопити лише зашифрований кеш локального сховища (data.json або .kdbx), який захищено PBKDF2-SHA256 / Argon2id + ваш головний пароль (і 34-значний секретний ключ у 1Password). Якщо ваш майстер-пароль надійний, вміст вашого сховища залишається в безпеці, хоча вам все одно слід змінити головний пароль як запобіжний захід.
8. Якщо ваше розширення для браузера диспетчера паролів було РОЗБЛОКУВАНО в пам’яті під час запуску зловмисного програмного забезпечення (або якщо ви зберегли головний пароль для диспетчера паролів у вбудованому автозаповненні Chrome): припустімо, що викрадач інформації викинув ваше сховище або захопив ваш головний пароль, і поверніть усі важливі облікові дані у вашому сховищі.

Крок 3: пошук і видалення стійкості Infostealer перед видаленням ОС¶

Перш ніж створити резервну копію ваших особистих документів і виконати чисту перевстановлення ОС, ви можете перевірити, як інформаційний викрадач увійшов у вашу систему та чи не скинув він постійний вторинний завантажувач (наприклад, заплановане завдання, реєстр Run ключ, Запуск .lnk ярлик або зловмисне розширення Chrome):

1. Запустіть цей автономний аудит стійкості PowerShell (Windows)¶

Відкрийте PowerShell (Admin) на офлайн-комп’ютері та запустіть ці чотири криміналістичні перевірки лише для читання:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. Чому після Infostealer рекомендується перевстановити чисту ОС (через носій USB).¶

Під час запуску Microsoft Defender Offline Scan і Malwarebytes після очищення виключень Defender видаляє відомі завантажувачі постійної інформації, викрадачі інформації про товари часто комплектують вторинний RAT (троян віддаленого доступу), проксі-сервер SystemBC SOCKS5 або зловмисне програмне забезпечення для кліпера (яке мовчки відстежує ваш буфер обміну Windows і замінює всі скопійовані файли). адреса гаманця Bitcoin/Ethereum з адресою хакера). - Після того, як ви скопіювали свої особисті документи, фотографії та Chrome Passwords.csv в автономному режимі ПК виконайте чисту перевстановлення Windows 11 USB (або macOS Видалити весь вміст і налаштування), дотримуючись наших посібник із зараження шкідливими програмами, програмами-вимагачами та шпигунськими програмами.

3. Перевірка систем macOS і Linux на артефакти Infostealer (Atomic macOS Stealer / AMOS, Poseidonі шкідливі розширення веб-переглядача)¶

Якщо ваша інфікована машина , це Apple MacBook/iMac або робоча станція розробника Linux, а не ПК з Windows, запустіть ці перевірки автономного терміналу, щоб виявити та знищити стійкість:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. Enterprise & Cloud Admin Containment (Microsoft Entra ID, Okta, Google Workspace і AWS IAM)¶

Якщо комп’ютер, заражений інфокрадою, належав інженеру-програмісту, адміністратору DevOps або співробітнику компанії, який мав активні сеанси в Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS або Cloudflare, локальне очищення пристрою , це лише половина успіху. Негайно виконайте ці відкликання хмарного каталогу:

• Ідентифікатор Microsoft Entra (Revoke-MgUserSignInSession): натискання «Вийти» в одному браузері не завжди скасовує основні маркери оновлення (PRT) або Azure CLI (az login / .azure/msal_token_cache.bin) токени скопійовано з диска. Необхідно запустити адміністратора Entra Revoke-MgUserSignInSession -UserId user@company.com у Microsoft Graph PowerShell, щоб скинути налаштування користувача signInSessionsValidFromDateTime атрибут і зробити недійсними всі маркери оновлення на всіх кінцевих точках одночасно.
• AWS CLI та ротація маркерів розробника (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): викрадачі інформації про товари явно сканують домашній каталог кожного користувача .aws/credentials, .ssh/id_ed25519, .gitconfig, .envта конфігураційні файли Docker/Kubernetes. Негайно дезактивуйте та поверніть усі ключі доступу AWS IAM (AKIA...) у Консолі AWS відкликайте Жетони особистого доступу GitHub (ghp_...) і видаліть відкриті ключі SSH із робочих серверів (-/.ssh/authorized_keys).
• Обмін повідомленнями на комп’ютері та видалення токенів клієнта VPN (Telegram Desktop tdata, Signal, Slack, OpenVPN, WireGuard): окрім веб-браузерів, модулі infostealer спеціально копіюють %APPDATA%\Telegram Desktop\tdata каталог (який дозволяє зловмиснику клонувати весь ваш обліковий запис Telegram на своєму ПК без SMS-коду), %APPDATA%\Slack\storage, і збережено OpenVPN (.ovpn) / WireGuard (.conf) корпоративні профілі VPN. Відкрийте Telegram на телефоні (Налаштування > Пристрої -> Завершити всі інші сеанси), вийдіть із усіх робочих областей Slack (slack.com/account/settings -> Вийдіть із усіх інших сеансів) і попросіть свого мережевого адміністратора відкликати та повторно видати ваш корпоративний сертифікат клієнта VPN.

Профілактика: як зробити ваш браузер і облікові записи стійкими до Infostealers¶

Коли ваша система буде очищена, а ваші облікові записи відновлено, застосуйте ці п’ять засобів захисту, щоб інфокрадій більше ніколи не міг викрасти ваше цифрове життя:

• НІКОЛИ не зберігайте паролі у вбудованому менеджері паролів вашого веб-браузера (Chrome / Edge / Brave / Firefox Autofill) без апаратного/головного ключа: кожен інформаційний крадій на Землі націлений на Chrome Login Data Спочатку таблиця SQLite. Вимкніть ВИМК "Пропонувати зберігати паролі" chrome://password-manager/settings і зберігайте ваші паролі в спеціальному менеджері паролів із нульовим знанням (1Password, Bitwarden, Proton Pass або KeePassXC), налаштованому на Автоматичне блокування одразу після блокування системи або через 5 хвилин простою.
• Увімкніть «Облікові дані сеансу, прив’язані до пристрою (DBSC)» і «Шифрування, прив’язане до програми» в Chrome 127+: переконайтеся, що Google Chrome або Edge оновлено до останньої версії та встановлено в системному каталозі за умовчанням (C:\Program Files\Google\Chrome\Application) тому GoogleChromeElevationService може прив’язувати шифрування файлів cookie до системних рівнів привілеїв і апаратних ключів TPM через Облікові дані сеансу, пов’язані з пристроєм (DBSC).
• Вимкнути Windows Run Box (Win + R) або mshta.exe щоб заблокувати фальшиві атаки CAPTCHA "ClickFix": ніколи не натискайте Win + R -> Ctrl + V -> Enter коли веб-сайт CAPTCHA, підроблений екран Cloudflare або спливаюче вікно «Виправити мікрофон / Виправити шрифт» просить вас вставити команду в діалогове вікно «Виконати» або термінал, жоден законний веб-сайт на Землі ніколи не перевіряє людство, просячи вас вставити код у Win + R або термінал macOS.
• Використовуйте апаратні ключі безпеки (YubiKey) або ключі доступу + вимагайте повторної автентифікації для конфіденційних дій: у той час як викрадені файли cookie сеансу обходять початкові запити входу, основні платформи (Google, GitHub, Cloudflare, AWS, Coinbase) застосовують Step-Up Authentication (Sudo Mode), що вимагає фізичного натискання FIDO2 YubiKey або біометрична перевірка ключа доступу, перш ніж дозволити будь-кому, хто має сеансовий файл cookie, змінити ваш пароль, експортувати дані або додати адресу для зняття.
• Перевірте, чи з’явився ваш електронний лист або журнал крадіїв у базах даних моніторингу Darknet: відвідайте haveibeenpwned.com (який тепер індексує мільйони електронних адрес жертв журналу крадіжок і скомпрометованих доменів) і вмикає безкоштовні сповіщення про порушення безпеки в темній мережі для ваших електронних адрес.
• Ізолюйте ненадійні завантаження, модифікації ігор і сценарії сторонніх розробників у віртуальній машині або Windows Sandbox: ніколи не запускайте неперевірені .exe, .msi, .dmg, .batабо Python pip / Вузол npm сценарії після встановлення безпосередньо в головній операційній системі, яка зберігає ваші автентифіковані сеанси веб-браузера та фінансові входи. Увімкніть Windows Sandbox (вбудовану в Windows 10/11 Pro і Enterprise через Увімкнути або вимкнути функції Windows > Windows Sandbox) або використовуйте ізольовану віртуальну машину з нульовими збереженими файлами cookie браузера під час тестування утиліт сторонніх розробників.

Часті запитання¶

Пов'язані посібники¶

• Зараження шкідливими програмами, програмами-вимагачами та шпигунськими програмами
• Обхід фішингу MFA та Adversary-in-the-Middle (AiTM).
• Блокування MFA: як відновити заблоковані облікові записи
• Обліковий запис електронної пошти зламано, правила пересилання та відновлення
• Вичерпання гаманця криптовалюти та компрометація початкової фрази
• Блокування менеджера паролів і аварійне відновлення сховища
• Довідник екстрених номерів

Джерела перевірені¶

• Агентство з кібербезпеки та безпеки інфраструктури (CISA) і ФБР (Сполучені Штати): Спільні консультації щодо кібербезпеки щодо зловмисного програмного забезпечення Infostealer (LummaC2, RedLine, Rhadamanthys) і пом’якшення крадіжки токенів/сеансів (CSAE24 / MITRE ATT&CK T1539: викрадення файлів cookie веб-сеансу & T1550.004: Інтернет Сеансовий файл cookie).
• Національний інститут стандартів і технологій (NIST) (Сполучені Штати): NIST SP 800-63B: Рекомендації щодо цифрової ідентифікації: керування сеансами, повторна автентифікація та прив’язка маркерів.
• Консорціум World Wide Web (W3C) і архітектура безпеки Google Chromium: Специфікація пов’язаних із пристроєм облікових даних сеансу (DBSC) і шифрування, пов’язане з програмою Chrome (v20 DPAPI Elevation) Технічна документація.
• Національний центр кібербезпеки (NCSC) (Велика Британія): Пом’якшення зловмисного програмного забезпечення, інформаційних крадіжок і викрадення сеансів у корпоративному та споживчому середовищах.
• Відкритий всесвітній проект безпеки додатків (OWASP): Шпаргалка керування сеансами та стандарти відкликання маркерів OAuth 2.0 (RFC 7009).