PROBLEMA Sessioni profili clonati

[Barbo186]

Ciao, scusatemi per il disturbo.

Scrivo qui perché sono disperato: all'inizio di ottobre mi hanno rubato l'account Instagram, sono entrati in altri account (Steam, ecc...) e da poco hanno fatto l'accesso pure su Twitch, facendo l'abbonamento ad un profilo "fantoccio" per ricavare soldi da queste azioni illegali. Tutto questo è accaduto perché ho installato un trojan (non posso nasconderlo).

Le mie risposte a questo evento sono state tante e forse vane: cambiato tutte le password, scollegato tutti i dispositivi (rimettendo quelli miei), azzerato i dispositivi esenti dall'autentificazione a due fattori, fatto tabula rasa e sto controllando ogni giorno se ci sono nuovi accessi nei miei account.

Ho notato che a volte vengo disconnesso da alcuni profili "meno importanti" ed ogni volta devo controllare se è successo qualcosa di preoccupante. Ho in aggiunta notato che i siti a cui accedo con il mio computer rilevano un IP diverso rispetto a quello suo effettivo, è normale oppure mi è stato direttamente clonato il dispositivo?

Desidero una risposta, è da mesi che questa storia va avanti ed è molto stressante.

Ringrazio tutti e buon 2024.

 

[Aquila91]

Ciao,
Se hai cambiato tutte le password mi sembra strano che riescono ad entrare sui tuoi profili. Penso che il trojan in questione abbia infetta più dispositivi.

Usa un dispositivo che non è mai stato sotto la stessa rete del dispositivo infetto e che non abbia in alcun modo comunicato con le stesse reti del tuo dispositivo. Da qui cambia password a tutte l'email e devono essere tutte diverse. Successivamente inizia a cambiare le password degli account di tutti i siti in cui hai accesso e a impostare l'autenticazione a due fattori, assicurati che tra l'email e numeri di recupero ci siano solo i tuoi. Fatto questo bisogna verificare se il virus è presente ancora sul tuo dispositivo e anche su altri (telefono compreso). Occhio se hai un conto in banca in tal caso intervieni anche lì con un cambio password e autenticazione a due fattori.

Per eliminare il trojan usa questa guida

https://forum.tomshw.it/threads/antivirus-antimalware-consigli-opinioni-e-dubbi-degli-utenti.538549/

Prima di eliminare il trojan (sempre se lo trovi) fai uno screen e postalo così cerchiamo di capire di cosa si tratta e di utilizzare le procedure corrette



Ultima cosa.. non salvare la password su nessun browser, account... Nulla e tieni sotto controllo...

 

[Barbo186]

Ciao Aquila91, grazie per esserti preoccupato.

Posso dirti che in tutto questo periodo, tutti gli altri membri del mio nucleo familiare non hanno avuto le mie stesse "esperienze". Questo significa che sicuramente non ha infettato la rete.

Riguardo le password, le ho cambiate tutte: tutte le email e tutti i miei account; ed ho impostato anche l'autentificatore a due fattori. Ho fatto mille scansioni (con Bitdefender) ed a volte ho controllato di persona i file che ho sul desktop o sui vari dischi. Non ho un conto bancario.

Riguardo la guida che mi hai consigliato, sei sicuro che sia quella giusta? Da quel che vedo è una discussione tra vari utenti sui loro antivirus.

Riguardo il trojan, ancora me lo ricordo: era un file chiamato "Setup.exe" che, appena avviato, non faceva nulla ma non riuscivi né a spostarlo né a cancellarlo. Lo ha bloccato l'antivirus dopo poco.

Grazie.

 

[Italicus Magnus]

Ti devi proteggere il pc in tempo reale, gli accounts, le passwords, le connessioni di rete ed il browser.

1. Per prima cosa devi proteggere il pc. Ti installi una suite di sicurezza completa come Kaspersky Plus o Kaspersky Standard. Le differenze tra i due prodotti le trovi qui elencate https://support.kaspersky.com/help/Kaspersky/Win21.8/it-IT/152975.htm

Le chiavi scontate le puoi comprare su siti come Kinguin, G2A, CdKey ed in tutti gli altri siti di chiavi. Mi raccomando paga solo con Paypal. O in alternativa le compri direttamente sullo store ufficiale di Kaspersky a prezzo pieno.

Devi assicurarti di avere il pc pulito da virus, malwares, keyloggers. Fai una scansione completa del pc con Kaspersky (la scansione completa non quella rapida), poi ne fai una gratuita con Malwarebytes https://it.malwarebytes.com/ (nelle opzioni del programma attivi l'anti rootkit), poi ne fai una con Hitman Pro (la trial) https://www.hitmanpro.com/en-us/hmp, una con Norton Power Eraser https://support.norton.com/sp/it/it/home/current/solutions/kb20100824120155EN

---------------------------------------------------------------

2. Per proteggere tutte le passwords devi migrarle tutte in un password manager. Lo fai con uno di questi due prodotti:

a) Con il password manager illimitato all'interno di Kaspersky Plus.
b) Utilizzando Bitwarden (prodotto gratuito ed open source) nel caso in cui hai optato per Kaspersky Standard e non Kaspersky Plus.

Qui sotto ti metto una guida in italiano per principianti

Una volta migrate tutte le passwords nel password manager, dovrai rimuovere al browser che usi la possibilita' di ricordare e compilare passwords. Questo lo si fa nelle impostazioni del browser.

Le passwords devono essere tutte uniche, univoche e complesse. Devono utilizzare sia maiuscole, minuscole, numeri e simboli. La lunghezza delle passwords di di almeno 14-16 caratteri minimo.

-------------------------------------------------------------------------

3. Per proteggere le connessioni lo si fa con un dns. Cloudflare 1.1.1.1 settandolo sia nel router/connessione di rete che nel browser.

Se il tuo router prevede la possibilita' di settare dns a piacimento lo fai direttamente da li. Questa la procedura https://developers.cloudflare.com/1.1.1.1/setup/router/ e poi lo setti nel browser andando nelle impostazioni di sicurezza dove ci sta la voce dns.

Visualizza allegato 471320

Se il tuo router non prevede la possibilita' di settare dns a piacimento, allora lo setti prima nelle connessioni di rete utilizzando la procedura https://developers.cloudflare.com/1.1.1.1/setup/windows/ e poi lo dovrai settare pure nel browser come descritto in precedenza.

----------------------------------------------------------------------------

4. Devi attivare la verfifica in due passaggi ovunque possibile. I codici generati solo tramite app sullo smartphone (Authy, 2FAS, Google Authentificator eccetera)

Niente codici backup mandati tramite email o sms, niente account associati tra di loro come nel caso Instagram-Facebook.


-----------------------------------------------------------------------------------

5. Il browser che usi va protetto con l'estensione Ublock Origin, che dovra' lavorare in tandem con l'estensione di Kaspersky ed eventualmente quella di Bitwarden.

-------------------------------------------------------------------------------

6. Sarebbe meglio che imposti nel browser, ed in automatico, la cancellazione dei dati di navigazione ogni volta che chiudi il browser. Questo serve per evitare che ti clonino la sessione di lavoro bypassando le protezioni.

 

[Aquila91]

Ciao Aquila91, grazie per esserti preoccupato.

Posso dirti che in tutto questo periodo, tutti gli altri membri del mio nucleo familiare non hanno avuto le mie stesse "esperienze". Questo significa che sicuramente non ha infettato la rete.

Riguardo le password, le ho cambiate tutte: tutte le email e tutti i miei account; ed ho impostato anche l'autentificatore a due fattori. Ho fatto mille scansioni (con Bitdefender) ed a volte ho controllato di persona i file che ho sul desktop o sui vari dischi. Non ho un conto bancario.

Riguardo la guida che mi hai consigliato, sei sicuro che sia quella giusta? Da quel che vedo è una discussione tra vari utenti sui loro antivirus.

Riguardo il trojan, ancora me lo ricordo: era un file chiamato "Setup.exe" che, appena avviato, non faceva nulla ma non riuscivi né a spostarlo né a cancellarlo. Lo ha bloccato l'antivirus dopo poco.

Perdonami era questo:

https://forum.tomshw.it/threads/rimozione-malware-in-un-pc-infetto.492602/

Comunque ripeto è anomalo che hanno riavuto accesso al tuo account.. prova a comunque con la guida in questo link

Aggiornaci

 

[Barbo186]

Ti devi proteggere il pc in tempo reale, gli accounts, le passwords, le connessioni di rete ed il browser.

1. Per prima cosa devi proteggere il pc. Ti installi una suite di sicurezza completa come Kaspersky Plus o Kaspersky Standard. Le differenze tra i due prodotti le trovi qui elencate https://support.kaspersky.com/help/Kaspersky/Win21.8/it-IT/152975.htm

Le chiavi scontate le puoi comprare su siti come Kinguin, G2A, CdKey ed in tutti gli altri siti di chiavi. Mi raccomando paga solo con Paypal. O in alternativa le compri direttamente sullo store ufficiale di Kaspersky a prezzo pieno.

Devi assicurarti di avere il pc pulito da virus, malwares, keyloggers. Fai una scansione completa del pc con Kaspersky (la scansione completa non quella rapida), poi ne fai una gratuita con Malwarebytes https://it.malwarebytes.com/ (nelle opzioni del programma attivi l'anti rootkit), poi ne fai una con Hitman Pro (la trial) https://www.hitmanpro.com/en-us/hmp, una con Norton Power Eraser https://support.norton.com/sp/it/it/home/current/solutions/kb20100824120155EN

---------------------------------------------------------------

2. Per proteggere tutte le passwords devi migrarle tutte in un password manager. Lo fai con uno di questi due prodotti:

a) Con il password manager illimitato all'interno di Kaspersky Plus.
b) Utilizzando Bitwarden (prodotto gratuito ed open source) nel caso in cui hai optato per Kaspersky Standard e non Kaspersky Plus.

Qui sotto ti metto una guida in italiano per principianti

Una volta migrate tutte le passwords nel password manager, dovrai rimuovere al browser che usi la possibilita' di ricordare e compilare passwords. Questo lo si fa nelle impostazioni del browser.

Le passwords devono essere tutte uniche, univoche e complesse. Devono utilizzare sia maiuscole, minuscole, numeri e simboli. La lunghezza delle passwords di di almeno 14-16 caratteri minimo.

-------------------------------------------------------------------------

3. Per proteggere le connessioni lo si fa con un dns. Cloudflare 1.1.1.1 settandolo sia nel router/connessione di rete che nel browser.

Se il tuo router prevede la possibilita' di settare dns a piacimento lo fai direttamente da li. Questa la procedura https://developers.cloudflare.com/1.1.1.1/setup/router/ e poi lo setti nel browser andando nelle impostazioni di sicurezza dove ci sta la voce dns.

Visualizza allegato 471320

Se il tuo router non prevede la possibilita' di settare dns a piacimento, allora lo setti prima nelle connessioni di rete utilizzando la procedura https://developers.cloudflare.com/1.1.1.1/setup/windows/ e poi lo dovrai settare pure nel browser come descritto in precedenza.

----------------------------------------------------------------------------

4. Devi attivare la verfifica in due passaggi ovunque possibile. I codici generati solo tramite app sullo smartphone (Authy, 2FAS, Google Authentificator eccetera)

Niente codici backup mandati tramite email o sms, niente account associati tra di loro come nel caso Instagram-Facebook.


-----------------------------------------------------------------------------------

5. Il browser che usi va protetto con l'estensione Ublock Origin, che dovra' lavorare in tandem con l'estensione di Kaspersky ed eventualmente quella di Bitwarden.

-------------------------------------------------------------------------------

6. Sarebbe meglio che imposti nel browser, ed in automatico, la cancellazione dei dati di navigazione ogni volta che chiudi il browser. Questo serve per evitare che ti clonino la sessione di lavoro bypassando le protezioni.

Ti rispondo ora per quel che ho gia fatto:

Come gestore di password sto usando Keepass, molto sicuro e consigliato da tante persone. Come antivirus uso Bitdefender, va bene lo stesso?

Post unito automaticamente: 30 Dicembre 2023

Perdonami era questo:

https://forum.tomshw.it/threads/rimozione-malware-in-un-pc-infetto.492602/

Comunque ripeto è anomalo che hanno riavuto accesso al tuo account.. prova a comunque con la guida in questo link

Aggiornaci

Sicuramente loro hanno copiato la sessione quando è successa "tutta quella roba". Si sono tenuti la sessione clonata fino ad oggi (ovviamente quando me ne sono accorto ho cambiato password e attivato l'autentificatore a due fattori). Vi posso avvertire se risuccede di nuovo.

Post unito automaticamente: 30 Dicembre 2023

3. Per proteggere le connessioni lo si fa con un dns. Cloudflare 1.1.1.1 settandolo sia nel router/connessione di rete che nel browser.

Se il tuo router prevede la possibilita' di settare dns a piacimento lo fai direttamente da li. Questa la procedura https://developers.cloudflare.com/1.1.1.1/setup/router/ e poi lo setti nel browser andando nelle impostazioni di sicurezza dove ci sta la voce dns.

Fatto, mi puoi parlare di questo DNS?

 

[Italicus Magnus]

Bitdefender va bene uguale, ma pero' la versione a pagamento. Keepass va bene.

Segui anche gli altri suggerimenti che ho elencato.

 

[Barbo186]

Bitdefender va bene uguale, ma pero' la versione a pagamento. Keepass va bene.

Segui anche gli altri suggerimenti che ho elencato.

Ho la versione a pagamento, non ti preoccupare. Uso Keepass anche per generare le password, è ottimo.

Ho impostato la DNS. Me ne puoi parlare di più?

Gli unici codici backup sono stati scritti, niente email.

 

[Italicus Magnus]

Se hai Bitdefender a pagamento non e' possibile che ti hanno infettato. A meno che non lo hai disabilitato temporaneamente per copia incollare crack di giochi piratati. Oppure che lo tieni spesso disabilitato. Senno' non si spiega.

Cosa sia Cloudflare te lo spiegano qua https://www.cloudflare.com/it-it/learning/dns/what-is-1.1.1.1/

 

[Barbo186]

Se hai Bitdefender a pagamento non e' possibile che ti hanno infettato. A meno che non lo hai disabilitato temporaneamente per copia incollare crack di giochi piratati. Oppure che lo tieni spesso disabilitato. Senno' non si spiega.

Cosa sia Cloudflare te lo spiegano qua https://www.cloudflare.com/it-it/learning/dns/what-is-1.1.1.1/

Ho già spiegato come sono stato infettato, fatto sta che il danno è stato fatto ed è mio dovere sistemare (anche grazie al vostro aiuto, molto gentili).

Nei prossimi giorni controllerò le "attività" e vi aggiornerò. Vi auguro un felice anno nuovo.

 

[Italicus Magnus]

Senza offesa ma ha tutto ugualmente poco senso.

1. Bitdefender a pagamento il trojan non dovrebbe nemmeno fartelo cliccare, perche' essendo una protezione in tempo reale riconosce immediatamente la minaccia appena provi a scaricare il file. E anche qualora provassi ad aprire il file, nel secondo in cui fa doppio click il file te lo blocca all'istante. A meno che, come ho detto, non vai in giro a navigare con l'antivirus disattivato. O che tieni l'antivirus disattivato quando devi far partire giochi craccati.

2. Hai preso un malware, hai fatto mille scansioni ed il malware non viene trovato?

3. Se usi un password manager, come hanno fatto a rubarti le password? Le passwords all'interno del password manager sono crittografate. A meno che non hai scritto la master password del password manager su un file di testo all'interno del computer. E ti hanno rubato i codici d'accesso.

Twitch aveva il 2FA attivo?
Steam aveva lo Steam Guard attivo?
Gli account Google avevano il 2FA attivo?

 

[Barbo186]

Senza offesa ma ha tutto ugualmente poco senso.

1. Bitdefender a pagamento il trojan non dovrebbe nemmeno fartelo cliccare, perche' essendo una protezione in tempo reale riconosce immediatamente la minaccia appena provi a scaricare il file. E anche qualora provassi ad aprire il file, nel secondo in cui fa doppio click il file te lo blocca all'istante. A meno che, come ho detto, non vai in giro a navigare con l'antivirus disattivato. O che tieni l'antivirus disattivato quando devi far partire giochi craccati.

2. Hai preso un malware, hai fatto mille scansioni ed il malware non viene trovato?

3. Se usi un password manager, come hanno fatto a rubarti le password? Le passwords all'interno del password manager sono crittografate. A meno che non hai scritto la master password del password manager su un file di testo all'interno del computer. E ti hanno rubato i codici d'accesso.

Twitch aveva il 2FA attivo?
Steam aveva lo Steam Guard attivo?
Gli account Google avevano il 2FA attivo?

Scusami se ti rispondo solo ora.

1. Se non mi sbaglio, disattivandolo temporaneamente non ti blocca dallo scaricare virus. Facendo doppio click su di esso, l'antivirus non lo ha bloccato all'instante, ma è riuscito a metterlo in quarantena, rendendolo quindi innoquo.

2. Il malware è entrato in quarantena e quindi cancellato, se non trovo nulla significa che non c'è nessun malware.

3. Non mi hanno rubato le password, anzi, non usavo neanche un password manager prima di tutto questo. Ti spiego: appena avviato il trojan, ha clonato le sessioni di tutti gli account registrati su Chrome (significa che se in quel momento se ero loggato su Steam con il mio account, loro avevano la possibilità di entrare senza Steam Guard). Dico questo poiché altri account non loggati su Chrome (quali ad esempio Discord) non sono stati proprio toccati. Anche se i miei account google non hanno ricevuto attacchi, ho cambiato immediatamente password e sembra proprio che loro siano salvi.

Riguardo Twitch, questo è l'unico account senza 2FA attivo che è stato colpito: infatti loro hanno sicuramente mantenuto la sessione clonata fino all'attacco, in quel momento non ho pensato a cambiare password ed attivare 2FA (cose che ho fatto dopo).

Finisco dicendoti che ora sia Twitch che gli account Google hanno 2FA attivo e Steam ha lo Steam Guard attivo. Sicuramente gli account Steam e Google sono al sicuro: non hanno ricevuto attacchi da mesi.

 

[Italicus Magnus]

La cosa migliore che potresti fare e' un formattone. Poi col pc pulito ci rinstalli l'antivirus, il password manager e compagnia bella. Tanto che ci sei, potresti pure creare una nuova email ed usare quella per tutto. La vecchia la disattivi.

 

[Barbo186]

La cosa migliore che potresti fare e' un formattone. Poi col pc pulito ci rinstalli l'antivirus, il password manager e compagnia bella. Tanto che ci sei, potresti pure creare una nuova email ed usare quella per tutto. La vecchia la disattivi.

Ho già formattato e reinstallato tutto quello che mi serviva.

Ammetto che non voglio cambiare email, ho materiale e conversazioni (anche con assistenze) che ancora mi servono e quindi non posso cancellarlo. L'email non è stata colpita ed ho attivato le misure necessarie per una giusta protezione.

Post unito automaticamente: 31 Dicembre 2023

Per ora sembra essere tutto in sicurezza, appena ci sono problemi vi avviso.

 

[Barbo186]

Scusate se vi disturbo dopo una lunga assenza, ho solo una domanda riguardante gli IP pubblici: perché cambiano sempre?

Noto che il dispositivo con cui sono collegato a Steam (il mio computer) presenta un IP che a volte cambia, esponendo inoltre una posizione diversa (ad esempio, ora dice che sto a Napoli mentre giorni fa la posizione era a Roma, la città dove vivo).

Forse potrei sembrare paranoico, ma è una mia curiosità.

Grazie