Коротко
Когда вы входите, сайт сохраняет cookie сеанса в браузере, чтобы вам не входить снова. Вредоносная программа для кражи cookie (инфостилер) копирует эти cookie и отправляет злоумышленнику, который может открыть ваш аккаунт без пароля и кода 2FA — Google отмечает, что кража cookie происходит после входа, поэтому обходит двухфакторную аутентификацию. Решение — порядок действий: сначала очистите заражённое устройство, затем с чистого устройства смените пароли, выйдите из всех сеансов и проверьте данные восстановления, правила пересылки и подключённые приложения.
Как работает атака
- Вы запускаете файл, замаскированный под что-то полезное, — бриф «спонсорства», чит для игры, взломанную программу, фальшивую программу для PDF или расширение браузера.
- Вредоносная программа читает сохранённые в браузере пароли и cookie сеансов и за секунды отправляет их.
- Злоумышленник загружает cookie в свой браузер и уже вошёл в аккаунт: ни запроса пароля, ни кода.
- Он меняет почту, телефон и 2FA или тихо пользуется аккаунтом. Группа анализа угроз Google сообщала о каналах YouTube, захваченных таким способом, которые продавали или использовали для трансляций криптомошенничества.
Тревожные признаки
- Уведомление о входе или незнакомый сеанс — хотя часто уведомления нет вообще, потому что злоумышленник повторно использует уже открытый вами сеанс.
- Изменения, которых вы не делали: название канала, резервная почта, привязанные устройства, расходы на рекламу, публикации или сообщения.
- Сразу несколько аккаунтов ведут себя странно — признак того, что пароли и cookie взяты с одного заражённого компьютера.
- Вы недавно установили программу, мод или расширение не из официального магазина или открыли архив, присланный «брендом».
Очистка в таком порядке
Смена паролей на заражённом компьютере не помогает: вредоносная программа может перехватить и новые.
- Перестаньте входить с заражённого устройства. Проверьте его актуальной защитной программой и удалите незнакомые расширения — или сбросьте его, если можете.
- С чистого устройства в первую очередь защитите почтовый аккаунт: новый пароль, выход из других сеансов, проверка резервного телефона и почты.
- Смените пароли других затронутых аккаунтов и выйдите отовсюду: Аккаунт Google → Безопасность → Ваши устройства; Microsoft → Выйти везде; Центр аккаунтов → Где выполнен вход.
- Удалите то, что мог оставить злоумышленник: правила пересылки и фильтры, подключённые приложения, новые способы 2FA и данные восстановления.
- Включите ключ доступа или 2FA через приложение и сохраните новые резервные коды.
Почему двухфакторная аутентификация не остановила атаку
2FA проверяет вас в момент входа. Украденный cookie — доказательство, что вход уже состоялся, поэтому у сайта нет причин спрашивать снова. Поэтому Google разрабатывает Device Bound Session Credentials — они привязывают сеанс к устройству, на котором он создан, и скопированный cookie становится гораздо менее полезным в другом месте. Пока такая защита не стала повсеместной, лучшая оборона проста: не запускайте файлы, о которых вы не просили, и регулярно проверяйте сеансы — см. как проверить устройства с входом.
Если не удаётся вернуться
Если злоумышленник уже сменил почту и номер телефона, используйте собственный путь восстановления платформы: официальные ссылки для восстановления, взломанный канал YouTube или «Взломанный аккаунт Google». У нас служба восстановления взломанных аккаунтов работает только через эти официальные каналы.
Часто задаваемые вопросы
Может ли кто-то войти в мой аккаунт без пароля или кода 2FA?
Да. Если вредоносная программа украдёт cookie сеанса из браузера, злоумышленник может повторно использовать уже открытый вами сеанс — пароль или код не спросят, пока этот сеанс не закончится.
Выкинет ли хакера смена пароля?
На большинстве платформ это завершает другие сеансы, но делайте это с чистого устройства и также используйте «выйти везде». На заражённом компьютере новый пароль могут украсть снова.
Как понять, что на компьютере вредоносная программа для кражи cookie?
Типичные признаки — сразу несколько скомпрометированных аккаунтов после установки взломанных программ, читов для игр или неизвестных расширений. Проверьте систему актуальной защитной программой; если сомневаетесь, сбросьте устройство.
Остановит ли ключ доступа кражу cookie?
Ключ доступа защищает сам вход от фишинга, но cookie, украденным после входа, всё равно можно злоупотребить. Сочетайте ключи доступа с чистыми устройствами и выходом из неиспользуемых сеансов.
Источники: Google Threat Analysis Group — вредоносные программы для кражи cookie против авторов YouTube, Google — борьба с кражей cookie с помощью сеансов, привязанных к устройству, Справка аккаунта Google — устройства с доступом к аккаунту, Поддержка Microsoft — выйти из учётной записи Microsoft везде, Справка YouTube — очистить взломанный канал