Session Token Hijacking, Infostealer Malware, and Global Session Revocation¶

Discovering that an attacker just posted cryptocurrency scams from your YouTube, Instagram, Discord, or X account, created forwarding rules in your Gmail or Microsoft 365 inbox, or accessed your corporate cloud console without ever triggering a 2FA code on your phone or a "New Login" email alert is the unmistakable signature of Session Cookie / Token Hijacking (Pass-the-Cookie) caused by Infostealer Malware. When you log into a website and check "Keep me signed in", the server issues an encrypted HTTP session cookie or OAuth bearer token (such as Google's SID / SAPISID, Microsoft's ESTSAUTHPERSISTENT, or Discord's Authorization token) stored inside your web browser's local SQLite database.

Commodity infostealer malware families, including Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys, and Atomic macOS Stealer (AMOS), do not wait around on your computer like traditional viruses. Often disguised as a fake game mod, cracked software installer, fake "ClickFix" PowerShell CAPTCHA prompt, or sponsor collaboration PDF, an infostealer executes in under 4 seconds, decrypts your Chrome, Edge, Brave, or Firefox Cookies 和 Login Data databases in memory, zips them up with your desktop cryptocurrency wallet files, uploads the archive to a Telegram or C2 server, and deletes itself. When the attacker imports your stolen session cookies into an anti-detect browser (Multilogin, Dolphin{anty}, 或 Gologin), the web server thinks the attacker is your already-authenticated computer, completely bypassing both your password and your two-factor authentication.

現在就這樣做¶

1. STOP changing your passwords on the infected computer, immediately disconnect that PC or Mac from Wi-Fi and unplug its Ethernet cable. This is the #1 mistake victims make: they notice their Discord, Steam, or Gmail was hijacked, sit down at the exact same infected desktop PC, and type brand-new passwords into Chrome. If an infostealer persistence loader or scheduled task is still active on that machine, it will immediately capture your new passwords and fresh session cookies and send them right back to the attacker. Do 100 percent of your password changes and session revocations from a clean smartphone (on cellular data or clean Wi-Fi) or a separate, untouched laptop.
2. Understand that changing a password alone does NOT always invalidate stolen session cookies or OAuth refresh tokens, you MUST explicitly click "Sign Out of All Sessions" AND revoke third-party OAuth apps. On several platforms (and with Google's undocumented MultiLogin / issueToken OAuth endpoints or long-lived session tokens), simply changing your password or rotating 2FA can leave existing secondary session tokens or OAuth desktop tokens alive unless you execute the platform-specific Global Session & Token Revocation steps in the table below.
3. **如果您在受感染的電腦上安裝了軟體加密貨幣錢包擴充功能（MetaMask、Phantom、Rabby、Trust Wallet、Coinbase Wallet、Exodus、Electrum），請立即使用乾淨的手機將您的資金轉移到全新的硬體錢包種子短語。 ** Infostealer 日誌會自動收集加密的保管庫檔案（Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn 對於 MetaMask）以及瀏覽器保存的密碼。即使攻擊者尚未觸及您的加密貨幣，您的保管庫檔案也已經位於暗網市場上等待離線 GPU 破解者。執行我們的 加密貨幣錢包流失和種子短語妥協 立即指導。
4. **在前 10 分鐘內保護您的「Apex Identity 帳戶」（主電子郵件、密碼管理器、Apple/Google 帳戶和企業 SSO）。 ** 在乾淨的智慧型手機上，打開您的主 Google / Gmail (myaccount.google.com/device-activity) 和 微軟 (mysignins.microsoft.com) 首先是帳戶。登出所有桌面會話，輪換主密碼，檢查 設定 > 轉發和 POP/IMAP 和 過濾器/規則 以刪除攻擊者為隱藏來自其他服務的密碼重置電子郵件而創建的任何隱藏電子郵件轉發規則，並檢查註冊的密鑰和身份驗證器設備。
5. 審核您的 Windows 登錄 Run 金鑰、任務排程器和 PowerShell 歷史記錄（如果您最近執行了「ClickFix」假驗證碼命令（Win + R -> Ctrl + V). 如今成長最快的資訊竊取者載體之一是網頁上的虛假 Cloudflare 或 Google CAPTCHA 彈出窗口，指示您 "按 Win + R, 按 Ctrl + V，然後按 Enter 驗證你是人類」（它默默地執行一個隱藏的 mshta.exe 或 powershell -w hidden -enc ... 命令已複製到剪貼簿）。
6. **如果違規行為涉及公司基礎設施或勒索，保持正確的觀點並保護人身安全。 ** Infostealer 日誌經常觸發自動勒索或性勒索電子郵件，其中引用您被盜的密碼。絕不向勒索者付錢；看看我們的 性勒索和線上勒索 指南，如果您面臨人身威脅，請撥打當地的緊急電話號碼（美國和加拿大為 911，歐盟地區為 112，英國為 999），或查看我們的 緊急號碼 目錄）。

Infostealer 和會話 cookie 劫持事件回應決策樹¶

flowchart TD
    Root["疑似會話 Cookie 劫持或 Infostealer 惡意軟體感染"] --> IsolatePC["STEP 1: Immediately Disconnect Infected PC/Mac from Wi-Fi & Ethernet (Do NOT Change Passwords on Infected PC)"]

    IsolatePC --> CryptoCheck{"Were Any Crypto Wallet Extensions (MetaMask, Phantom, Exodus) on That PC?"}
    CryptoCheck -->|"是的"| EvacCrypto["Use a Clean Phone/Hardware Wallet Immediately to Sweep All Crypto Assets to a Brand-New Seed Phrase"]
    CryptoCheck -->|"否"| ApexLock["STEP 2: On a Clean Smartphone, Lock Down Primary Email (Gmail, Outlook, Proton) First"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["STEP 3: Execute Global Session + OAuth Token + Passkey Revocation Across All Critical Accounts (See Platform Matrix Below)"]

    GlobalRevoke --> ExportList["STEP 4: On Offline Infected PC, Export List of All Saved Browser Passwords & Cookies to Know Exactly Which Accounts Were Stolen"]

    ExportList --> CleanOS["STEP 5: Back Up Personal Documents Only -> Perform Clean OS Wipe/Reinstall -> Re-enroll Passkeys & Enable Chrome App-Bound Encryption"]

Understanding how Infostealers bypass 2FA and DPAPI / Keychain encryption¶

How can a 200-kilobyte program steal passwords and session cookies that Google Chrome, Microsoft Edge, and Brave encrypt on your hard drive?

1. Windows DPAPI (CryptUnprotectData) and Chrome App-Bound Encryption (v20）：
2. On Windows, Chromium-based browsers (Chrome, Edge, Brave, Opera, Vivaldi) store your saved passwords inside %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data and your session cookies inside \Network\Cookies。
3. These SQLite databases are encrypted with an AES-256-GCM master key stored in %LOCALAPPDATA%\Google\Chrome\User Data\Local State, which is protected by the Windows Data Protection API (DPAPI) tied to your logged-in Windows user account.
4. Because you ran the infostealer as your own logged-in Windows user, any process running under your user account could historically call CryptUnprotectData() to ask Windows to decrypt the key. And to bypass Chrome 127+ App-Bound Encryption (v20 elevator service), modern infostealers inject directly into a headless chrome.exe debugging process (--remote-debugging-port) or use COM elevation to ask Chrome itself to dump all live decrypted cookies.
5. macOS 鑰匙圈和 Atomic macOS Stealer (AMOS / PoseStealer)：
6. 在 Apple macOS 上，資訊竊取者偽裝成 .dmg 下載（通常要求您*「右鍵點擊->開啟」或將圖示拖曳到終端機以繞過Apple Gatekeeper）會彈出一個假的本機macOS對話框，上面寫著*「系統偏好設定想要存取您的機密資訊：輸入您的Mac登入密碼」**。當您在提示中輸入 Mac 登入密碼時，腳本就會解鎖 -/Library/Keychains/login.keychain-db 並複製 Safari/Chrome cookie、Apple Notes 和 iCloud 令牌。
7. Google MultiLogin / OAuthLogin 令牌再生漏洞：
8. 安全研究人員透露，資訊竊取者不僅竊取標準網路 cookie，還提取未記錄的 oauth_token 來自 Chrome 的服務代幣Web Data （token_service 表）** SQLite 檔案。即使受害者更改了一次 Google 密碼，攻擊者也可以重播被盜的密碼 token_service 針對 Google 內部的 OAuth 令牌 OAuthLogin 端點鑄造全新有效 SID 瀏覽器 cookie，除非使用者明確登出受損的 Chrome 裝置會話並撤銷第三方/OAuth 裝置存取。

第 1 步：全域會話、Cookie、OAuth 和金鑰撤銷矩陣¶

使用乾淨的智慧型手機或乾淨的輔助電腦，從上到下按照這個精確的表進行操作。 順序事項：始終一起執行步驟 A（註銷所有活動會話/設備） 和 步驟 B（更改密碼） 和 步驟 C（審核 2FA/密鑰/OAuth/轉發），如果您僅更改密碼而不終止活動會話，攻擊者的實時瀏覽器選項卡將保持登錄狀態，並可以監視您或添加惡意恢復方法。

第 2 步：如何找出受感染计算机上暴露的每个帐户¶

After you have locked down your top 10 critical accounts on your clean phone, you face a daunting question: "I have used that computer for four years, how do I know which of my 250 websites hador sek site s d​​ion sorgos s d​​ryional sorgoals s d​​ions sentor s d​​l 250 sex /dor swional sstor ad 00000s sstd infostealer ran?"

While keeping the infected computer 100 percent offline (Wi-Fi OFF, Ethernet unplugged), turn it on and extract your exact exposure inventory before wiping the machine:

1. 匯出您的瀏覽器儲存的密碼清單（CSV）：
2. 離線開啟瀏覽器（chrome://password-manager/settings 在 Chrome 中， edge://wallet/settings 在邊緣，或 about:logins 在 Firefox 中）并单击 导出密码 进行保存 Chrome Passwords.csv 到一個乾淨的 USB 隨身碟。
3. 为什么这个文件对于您的恢复来说是黄金：信息窃取者窃取了这个确切的数据库。擁有 Chrome Passwords.csv 前面的內容為您提供了攻擊者現在擁有的每個網站使用者名稱和密碼的準確清單，因此您不會錯過舊的稅務入口網站、航空里程帳戶或使用已儲存信用卡的購物網站。
4. 檢查哪些網站具有活動會話 Cookie（chrome://settings/content/all）：
5. 在 Chrome 或 Edge 中（离线时），转到 chrome://settings/content/all（或 edge://settings/content/all）並按 儲存的資料 或 訪問次數最多 排序。任何您在未輸入密碼的情況下保持登入狀態的網站都容易受到會話 cookie 盜竊的影響，並且需要終止其會話。
6. 檢查您的獨立密碼管理器（1Password、Bitwarden、KeePassXC）在感染時是否已解鎖：
7. 如果您的 1Password、Bitwarden 或 KeePassXC 金庫在資訊竊取程式運行時被鎖定：惡意軟體只能取得加密的本機金庫快取（data.json 或 .kdbx），受 PBKDF2-SHA256 / Argon2id + 您的主密碼（以及 1Password 中的 34 個字元的金鑰）保護。如果您的主密碼強度較高，您的保管庫內容仍然安全，但作為預防措施，您仍應輪換您的主密碼。
8. 如果您的密碼管理器瀏覽器擴充功能在惡意軟體運行時在記憶體中解鎖（或者如果您將密碼管理器主密碼保存在 Chrome 的內建自動填充中。）：假設資訊竊取者轉儲了您的保管庫或捕獲了您的主密碼，並輪換了保管庫內的所有關鍵憑證。

步驟 3：在擦除作業系統之前尋找並根除 Infostealer 持久性¶

在備份您的個人文件並執行乾淨的作業系統重新安裝之前，您可以檢查資訊竊取者如何進入您的系統以及它是否刪除了持久的輔助載入程式（例如排程任務，註冊表） Run 鍵、啟動 .lnk 快捷方式或惡意 Chrome 擴充功能）：

1. 執行此離線 PowerShell 持久性審核 (Windows)¶

在離線 PC 上開啟 PowerShell（管理員） 並執行這四個只讀取證檢查：

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. 為什麼在資訊竊取者之後建議重新安裝乾淨的作業系統（透過 USB 媒體）¶

在清除 Defender 排除後執行 Microsoft Defender 離線掃描 和 Malwarebytes 時，會刪除已知的持久性載入程序，商品資訊竊取者經常會捆綁輔助 RAT（遠端存取木馬）、SystemBC SOCKS5 代理程式或 clipper 惡意軟體（它會默默地監視您的 Windows 程式碼/位元位址交換器/位元錢包的任何一個新位元組交換機的地址），並將任何新位元組替換為程式碼和程式碼）。 - 一旦您複製了您的個人文件、照片和 Chrome Passwords.csv 關閉離線電腦，按照我們的方法執行乾淨的 Windows 11 USB 重新安裝（或 macOS 擦除所有內容和設定） 惡意軟體、勒索軟體和間諜軟體感染指南。

3. 審核 macOS 和 Linux 系統中的 Infostealer 工件 (Atomic macOS Stealer / AMOS, Poseidon和惡意瀏覽器擴充功能）¶

如果您的受感染電腦是 Apple MacBook/iMac 或 Linux 開發人員工作站而不是 Windows PC，請執行以下離線終端檢查來偵測並根除持久性：

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. 企業和雲端管理員遏制（Microsoft Entra ID、Okta、Google Workspace 和 AWS IAM）¶

如果被資訊竊取者感染的電腦屬於軟體工程師、DevOps 管理員或在 Microsoft Entra ID (Azure AD)、Okta、Google Workspace、AWS 或 Cloudflare 中進行活動會話的公司員工，則本機裝置清理只是成功的一半。立即執行這些雲端目錄撤銷：

• Microsoft Entra ID (Revoke-MgUserSignInSession)：在单个浏览器中单击“注销”并不总是会撤销主刷新令牌 (PRT) 或 Azure CLI (az login / .azure/msal_token_cache.bin) 從磁碟複製的令牌。 Entra 管理員必須執行 Revoke-MgUserSignInSession -UserId user@company.com 在 Microsoft Graph PowerShell 中重置用户的 signInSessionsValidFromDateTime 属性并使所有端点上的所有刷新令牌同时失效。
• AWS CLI 和開發人員令牌輪替（-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config)：商品資訊竊取者明確掃描每個使用者的主目錄以查找 .aws/credentials, .ssh/id_ed25519, .gitconfig, .env和 Docker/Kubernetes 設定檔。立即停用並輪換所有 AWS IAM 存取金鑰 (AKIA...) 在 AWS 控制台中，撤销 GitHub 个人访问令牌 (ghp_...)，並從生產伺服器中刪除暴露的 SSH 公鑰 (-/.ssh/authorized_keys）。
• 桌面訊息傳遞和 VPN 用戶端令牌清除（Telegram 桌面 tdata、Signal、Slack、OpenVPN、WireGuard）：除了 Web 浏览器之外，infostealer 模块专门复制 %APPDATA%\Telegram Desktop\tdata 目录（允许攻击者将您的整个 Telegram 帐户克隆到他们的 PC 上，而无需短信代码）， %APPDATA%\Slack\storage, and saved OpenVPN (.ovpn) / WireGuard (.conf) 企業 VPN 設定檔。在手机上打开 Telegram（设置 > 设备 -> 终止所有其他会话），注销所有 Slack 工作区（slack.com/account/settings -> 登出所有其他會話)，並要求您的網路管理員撤銷並重新頒發您的公司 VPN 用戶端憑證。

预防：如何使您的浏览器和帐户抵御信息窃取者¶

一旦您的系統乾淨且帳戶已恢復，請實施以下五種防禦措施，以便資訊竊取者永遠無法再次劫持您的數位生活：

• 如果沒有硬體/主金鑰，切勿將密碼儲存在網頁瀏覽器的內建密碼管理器（Chrome / Edge / Brave / Firefox 自動填入）中：地球上的每個商品資訊竊取者都以 Chrome 為目標 Login Data SQLite table first.关闭 klzzwxh:0160 chrome://password-manager/settings 並將您的密碼儲存在專用的零知碼管理器（1Password、Bitwarden、Pron Pass 或 KeePassXC**）中，配置為 系統鎖定時或 5 分鐘空閒時間後立即自動鎖定。
• 在 Chrome 127+ 中啟用「裝置綁定會話憑證 (DBSC)」和「應用程式綁定加密」：確保 Google Chrome 或 Edge 已更新到最新版本並安裝在預設系統目錄中 (C:\Program Files\Google\Chrome\Application) so the GoogleChromeElevationService 可以透過 裝置綁定會話憑證 (DBSC) 將 cookie 加密綁定到系統權限等級和 TPM 硬體金鑰。
• 停用 Windows 運行框 (Win + R）或 mshta.exe 阻止「ClickFix」假驗證碼攻擊：切勿按 Win + R -> Ctrl + V -> Enter 當網站驗證碼、假 Cloudflare 螢幕或「修復麥克風/修復字體」彈出視窗要求您將命令貼到「執行」對話方塊或終端機時，地球上沒有任何合法網站會透過要求您將程式碼貼到 Win + R 或 macOS 終端機。
• 使用硬體安全金鑰 (YubiKey) 或金鑰 + 敏感操作需要重新驗證：雖然被竊的會話 cookie 會繞過初始登入提示，但主要平台（Google、GitHub、Cloudflare、AWS、Coinbase）會強制執行 逐步驗證（Sudo 模式），要求在允許擁有會話檢查程式的任何人更改密碼、Key12 Yubi）
• 检查您的电子邮件或窃取者日志是否出现在暗网监控数据库上：访问haveibeenpwned.com（現在已索引了數百萬個竊取者日誌受害者電子郵件地址和受感染的網域）並為您的電子郵件地址啟用免費的暗網違規通知。
• 隔离虚拟机或 Windows 沙箱内不受信任的下载、游戏模组和第三方脚本：切勿在未经验证的情况下运行 .exe, .msi, .dmg, .bat，或Python pip / 節點 npm 直接在主机操作系统上安装后脚本，该操作系统保存经过身份验证的网络浏览器会话和财务登录信息。啟用 Windows Sandbox（透過 開啟或關閉 Windows 功能 > Windows Sandbox 內建於 Windows 10/11 專業版和企業版）或在測試第三方實用程式時使用已儲存瀏覽器 cookie 為零的隔離虛擬機器。

常見問題¶

相關指南¶

• 惡意軟體、勒索軟體和間諜軟體感染
• MFA 網路釣魚和中間對手 (AiTM) 繞過
• MFA 鎖定：如何恢復鎖定的帳戶
• 電子郵件帳號被駭、轉寄規則和恢復
• 加密貨幣錢包流失和種子短語妥協
• Password manager lockout and emergency vault recovery
• 緊急號碼目錄

來源已檢查¶

• 網路安全與基礎設施安全局 (CISA) 和 FBI（美國）：*關於 Infostealer 惡意軟體（LummaC2、RedLine、Rhadamanthys）和減輕令牌/會話盜竊的聯合網路安全諮詢（CSAE24 / MITRE ATT&CK T1539：Webookie 和 T1550.004 會話。
• 美國國家標準與技術研究院 (NIST)（美國）：NIST SP 800-63B：數位身分指南：會話管理、重新驗證和令牌綁定。
• 万维网联盟 (W3C) 和 Google Chromium 安全架构：设备绑定会话凭证 (DBSC) 规范和 Chrome 应用程序绑定加密 (v20 DPAPI 海拔）技術文件。
• 国家网络安全中心 (NCSC)（英国）：减少企业和消费者环境中的恶意软件、信息窃取者和会话劫持。
• 开放全球应用程序安全项目 (OWASP)：会话管理备忘单和 OAuth 2.0 令牌撤销 (RFC 7009) 标准。