Attack-Techniques
Pass-the-Cookie
Angreppsteknik där stulna sessionskakor från webbläsare återanvänds för att kapa aktiva molnsessioner och kringgå tvåfaktorsautentisering (MFA).
🔬 Forensisk Betydelse & Utredningsmetodik
Kritisk för utredning av molnintrång (M365, Google Workspace, AWS). Utredaren måste korrelera klientens lokala databaser (Cookies.sqlite, Web Data) med identitetsleverantörens inloggningsloggar för att upptäcka avvikande IP-adresser och User-Agents.
🛠️ Praktiska Triage- & Analyskommandon (Cheat Sheet)
⚡ Analysera SQLite-kakor i Chromium-profil
sqlite3 "Cookies" "SELECT host_key, name, path, expires_utc, is_secure FROM cookies WHERE host_key LIKE '%microsoft%' OR host_key LIKE '%google%';"
Identifierar lagrade autentiseringskakor och sessionsnycklar i webbläsarprofilen.
⚙️ Tekniska Parametrar & Verktygsstöd
- Filsystemsplacering (på undersökt media):
%LocalAppData%\Google\Chrome\User Data\Default\Network\Cookies - Forensiska verktyg:
- MITRE ATT&CK:
T1539 ↗ - Standarder:
NIST SP 800-63B
🔍 Förekomst i Forensix Intelligence & Fallstudier
📰 TanStack-attack ledde till kloning av 170 privata kodförråd hos säkerhetsbolaget CrowdSec
📰 Kritisk cPanel-sårbarhet utnyttjas i omfattande massangrepp mot webbhotell
📰 Smishing Triad: Den globala fabriken bakom SMS-bedrägerier och banktömningar
📰 Japans Digital Agency drabbat av dataintrång: 246 000 personakter läckta via VPN-brist
📰 Forensix Dagsbriefing: 16 september 2026 – Android-nolldag, cPanel-angrepp och iranska spionkampanjer