המחשב ממשיך לעבוד בדיוק כמו קודם. אין קבצים מוצפנים, אין דרישת כופר, ואין אפילו האטה שתעורר חשד. שבועיים אחר כך מגיעה התראה על התחברות לחשבון הגוגל שלכם ממדינה אחרת, ואף אחד בבית לא מבין מאיפה זה בא. נוזקת גניבת מידע (infostealer) היא הסוג שמתנהג בדיוק כך: היא רצה כמה שניות, מעתיקה את מה שכבר שמור אצלכם, ונעלמת.

מה היא לוקחת, וכמה זמן זה לוקח לה

בואו נדמיין פורץ אחר. הוא לא מחפש את הטלוויזיה ולא מתכוון לגור אצלכם בסלון. הוא נכנס לארבעים שניות, מצלם את צרור המפתחות שתלוי ליד הדלת ואת הפתק עם הקודים שמודבק על המקרר, ומחזיר כל דבר למקום. הדירה נראית בדיוק כמו שהשארתם אותה, והבעיה תתחיל במקום אחר לגמרי.

צרור המפתחות הדיגיטלי הוא רשימת הסיסמאות ששמרתם בדפדפן, קובץ אחד שמרכז את כל החשבונות החשובים, וזו המטרה הראשונה. איתו נלקחים גם הפרטים שהדפדפן ממלא בשבילכם, ארנקי מטבעות קריפטו למי שיש, ובעיקר פיסות המידע שמחזיקות אתכם מחוברים לחשבון בלי להקליד סיסמה בכל פעם. על אלה כתבנו בהרחבה במה זה חטיפת session, והנקודה החשובה כאן אחת: אימות דו-שלבי נבדק בשלב ההתחברות, וההעתקה הזאת קורית אחריו.

כמה מזה באמת שווה משהו לתוקף? חוקרי Okta עברו על אוסף שנוזקה כזאת אספה מ-5,871 מחשבים, ומצאו ש1,843 כרטיסי כניסה בתוכו עוד היו בתוקף ביום שבו הקובץ הופץ. המספרים הם של Okta, והחברה אומרת שלא בדקה כמה מהחשבונות נפרצו בפועל.

ואיפה נדבקים בזה?

כמעט תמיד בהורדה שעשיתם ביודעין. גרסה "חופשית" של תוכנה בתשלום או צ'יט למשחק הם הקלאסיקה, כי מי שמוריד אותם מצפה מראש שהאנטי-וירוס יתלונן, ולוחץ "התעלם" בדרך.

שתי דרכים נוספות פוגשות גם את הזהירים. הראשונה היא התוצאה הראשונה בחיפוש, זו שנראית כמו האתר הרשמי ואינה הוא, וזה בדיוק מה שפרסום זדוני קונה בכסף. השנייה היא עמוד שמבקש מכם להדביק פקודה אחת בחלון של המערכת כדי "לתקן" וידאו שלא מתנגן, התרגיל שנקרא ClickFix. בשני המקרים לא נוצלה שום חולשה בטלפון או במחשב. אתם הרצתם את זה.

מה עושים

הוציאו את הסיסמאות מהדפדפן. בכרום נכנסים להגדרות > מנהל הסיסמאות, מוחקים את מה ששמור שם, ועוברים למנהל סיסמאות שנפתח רק עם סיסמה אחת, כך שהרשימה כבר לא יושבת בקובץ שנוזקה יכולה להעתיק בשלמותו.

אם אתם חושדים שהרצתם משהו, טפלו בזה ממכשיר אחר ונקי, לא מזה שבחשד. החליפו משם את הסיסמאות החשובות, ואחר כך נתקו במפורש את כל ההתחברויות הפעילות: בגוגל דרך myaccount.google.com תחת אבטחה ואז המכשירים שלך, בוואטסאפ דרך הגדרות ואז מכשירים מקושרים.

ואם השירות מציע passkey, הפעילו אותו. אין שם סיסמה שמורה שאפשר להעתיק, והמפתח עצמו לא עובר למי שמריץ קוד על המחשב.

הנוזקה הזאת כבר מזמן לא במחשב כשמגלים אותה. מה שנשאר ממנה הוא עותק של המפתחות, אצל מישהו אחר.