Afstandtoegang trojan (ScreenConnect, AnyDesk, RustDesk, UltraViewer) tegniese ondersteuning bedrogspul: trek ethernet, doodmaak dienste en bankvries¶

Wanneer 'n swendelaar jou oortuig om 'n afgeleë werkskerm-instrument te installeer of 'n afstandmoniteringsagent op jou rekenaar uitvoer, kry hulle regstreekse, onbeperkte beheer oor jou muis, sleutelbord, lêerstelsel en aktiewe blaaiersessies. Terwyl hy 'n vals sekuriteitskandering of 'n swart privaatheidsgordyn op jou monitor vertoon, dreineer die operateur stilswyend tjekrekeninge, oes gestoorde wagwoorde en installeer aanhoudende agtergronddienste wat standaard herselflaaie oorleef. Hierdie gids verskaf onmiddellike stappe om die aanvaller se dataskakel te verbreek, onbewaakte afstandtoegangsdienste permanent uit te roei en jou bank- en kredietinfrastruktuur te sluit voordat fondse die draadnetwerk skoonmaak.

Doen dit nou¶

1. Verbreek alle internetverbindings fisies en onmiddellik. Ontkoppel die Ethernet-kabel van die agterkant van jou rekenaar of roeteerder, draai die fisiese Wi-Fi-skakelaar op jou skootrekenaar, of druk en hou die kragknoppie op jou Wi-Fi-roeteerder vir 10 sekondes totdat alle ligte donker word. Moenie tyd mors om teen die swendelaar te veg vir beheer van die muiswyser om op die ontkoppelknoppie te klik nie.
2. Forseer die afskakeling van die gekompromitteerde rekenaar as die skerm verduister is. As die aanvaller "Blank Guest Monitor" geaktiveer het of jou sleutelbordinvoer gesluit het, druk en hou jou rekenaar se fisiese kragknoppie vir 10 volle sekondes totdat die masjien heeltemal afskakel. Laat dit afgeskakel terwyl jy jou finansiële rekeninge van 'n aparte, skoon toestel beveilig.
3. Bel jou bank se bedrogafdeling vanaf 'n onafhanklike foon. Gebruik 'n selfoon om die amptelike nommer wat op die agterkant van jou debiet- of kredietkaart gedruk is, te bel, of bel jou plaaslike noodnommer (911 in die Verenigde State en Kanada, 112 regoor die Europese Unie, 999 in die Verenigde Koninkryk) as 'n aktiewe afpersingsbedreiging voorkom; sien noodnommers vir internasionale kontakte. Gee die bank opdrag om 'n onmiddellike harde bevriesing op alle tjek-, spaar- en kredietlynrekeninge te plaas, en eis 'n noodherroeping op enige hangende Outomatiese Clearing House (ACH), bank- of intydse betalingsoordragte.
4. Herroep aktiewe sessiekoekies en verander wagwoorde vanaf 'n skoon slimfoon. Gebruik jou foon op sellulêre data (nie aan jou huis-Wi-Fi gekoppel as die gekompromitteerde rekenaar weer aan is nie), meld aan by jou primêre e-pos, bankportale en wolkbergingsrekeninge. Beëindig alle aktiewe aanmeldsessies, herroep onherkende Multi-Factor Authentication (MFA) toestelle, en draai jou wagwoorde.
5. Laai die besmette rekenaar in Veilige Modus Sonder Netwerk. Skakel die gekompromitteerde rekenaar net weer aan terwyl dit van die internet ontkoppel is, deur Windows Veilige Modus of macOS Veilige Modus in te gaan om onbewaakte agtergronddienste te inspekteer en te verwyder (ScreenConnect Client, AnyDesk Service, RustDesk Service) voordat die bedryfstelsel derdeparty-netwerkbestuurders laai.

Verstaan ​​die anatomie van 'n kommersiële RMM en afgeleë lessenaaraanval¶

Moderne tegniese ondersteuning swendelary, terugbetalingsbedrog en banknabootsingsaanvalle maak selde staat op pasgemaakte rekenaarvirusse. In plaas daarvan misbruik bedreigingsakteurs wettige, digitaal ondertekende afstandmonitering en bestuur (RMM) sagteware en kommersiële afgeleë werkskermgereedskap. Omdat hierdie uitvoerbares geldige kriptografiese kode-ondertekeningsertifikate van betroubare sagtewareverskaffers dra, blokkeer standaard antivirusprogramme soos Windows Defender of macOS XProtect nie hul installasie nie.

Hoe aanvallers wettige afgeleë ondersteuning binaries bewapen¶

Wanneer 'n slagoffer 'n tolvrye nommer bel wat op 'n vals blaaier-opspringer verskyn, op 'n dringende faktuur-e-pos antwoord, of instruksies van 'n vals bankbedrogondersoeker volg, beveel die operateur hulle om 'n uitvoerbare of MSI-installeerder af te laai. Die platforms wat die meeste misbruik word, sluit in:

• ConnectWise ScreenConnect (voorheen Beheer): Word dikwels ontplooi via 'n pasgemaakte .msi of .exe pakket gehuisves op 'n aanvaller-beheerde bediener. Sodra dit uitgevoer is, word dit geïnstalleer as 'n aanhoudende Windows-stelseldiens (ScreenConnect Client (xxxx)) hardloop met NT AUTHORITY\SYSTEM voorregte, wat stille, onbewaakte toegang verleen wanneer die rekenaar aanlyn is.
• Enige lessenaar (anydesk.exe): Dikwels gebruik in kruisplatform-swendelary wat Windows, macOS en mobiele toestelle teiken. Aanvallers gee die slagoffer opdrag om die 9-syfer AnyDesk-adres hardop voor te lees, administratiewe verhoging aan te vra en 'n "Unnattended Access Password" te stel om weer te koppel terwyl die slagoffer slaap.
• RustDesk (rustdesk.exe): 'n Oopbron-afgeleë werkskermnutsding wat deur bedrogsindikate bevoordeel word omdat hulle self-gasheer kan lewer vir bedieners, wat die verwyderings van verskaffersmisbruik omseil.
• UltraViewer, TeamViewer, Zoho Assist en SimpleHelp: Gewoonlik saamgeketting. 'n Swendelaar wat via UltraViewer of AnyDesk koppel, sal dikwels 'n verborge installasie stilweg installeer ScreenConnect of SimpleHelp pakket in die agtergrond as 'n rugsteun-agterdeur.

Noodwerkvloei: verbreek die verbinding en herstel skade¶

Gebruik die volgende operasionele vloeidiagram om 'n aktiewe afgeleë sessie te stop, die werkstasie te isoleer en te bepaal of die masjien in Veilige modus skoongemaak kan word of 'n volledige bedryfstelsel uitvee vereis.

flowchart TD
    A["Aktiewe of onlangse bedrogspul met afstandtoegang bespeur"] --> B["Ontkoppel die Ethernet-kabel fisies en skakel die Wi-Fi-roeteerder af"]
    B --> C{"Is die skerm verduister of die muis gesluit?"}
    C -- "Ja" --> D["Hou rekenaar se fisiese kragknoppie vir 10 sekondes om af te dwing"]
    C -- "Nee" --> E["Skakel vliegtuigmodus AAN en skakel rekenaar normaalweg af"]
    D --> F["Gebruik skoon slimfoon op sellulêre data om bankbedrogafdeling te bel"]
    E --> F
    F --> G["Vries kontrolering/spaargeld, herroepdrade/Zelle, sluit kredietburo's"]
    G --> H["Van skoon slimfoon: draai e-pos-/bankwagwoorde en doodmaaksessies"]
    H --> I{"Het Scammer onbewaakte toegang gehad of CMD/PowerShell uitgevoer?"}
    I -- "Ja (hoë risiko)" --> J["Begin rekenaar vanlyn in veilige modus om slegs persoonlike dokumente te red"]
    I -- "Nee (kort toesigsessie)" --> K["Begin vanlyn in veilige modus om RMM-dienste en -sertifikate te suiwer"]
    J --> L["Voer volledige skoon OS-herinstallering uit via USB-media vanaf skoon rekenaar"]
    K --> M["Verwyder dienste, geskeduleerde take, toepassingdata en ouditblaaieruitbreidings"]

Vergelyking van gereedskap vir afstandtoegang wat deur swendelaars misbruik word¶

Voordat jy probeer om 'n masjien skoon te maak of die voorval by jou bank se forensiese bedrogspan aan te meld, identifiseer watter afstandhulpmiddel(s) geïnstalleer is. Onthou dat swendelaars gereeld twee of drie verskillende nutsgoed tydens 'n enkele sessie installeer, sodat as jy die sigbare lessenaarikoon deïnstalleer, hul verborge sekondêre diens aktief bly.

Stap-vir-stap bankdienste en finansiële triage (eerste 30 minute)¶

In 'n bedrogspul met afstandtoegang is die rekenaarinfeksie slegs die afleweringsmeganisme; die primêre noodgeval is akute finansiële diefstal. Aanvallers gebruik sielkundige en tegniese truuks, soos om die HTML-bronkode te wysig (Inspect Element) van jou bank se webblad om 'n toevallige te simuleer $40,000 oorbetaling in plaas van $400, om jou te mislei om geld te bedraad, geskenkbewyse te koop of kontant in 'n Bitcoin OTM te deponeer. Selfs as jy geweier het om geld te stuur, kan 'n aanvaller met afstandtoegang oordragte direk begin terwyl jou skerm verduister is.

1. Plaas 'n onmiddellike harde vriespunt en begin oordragherroepings¶

Bel dadelik jou finansiële instelling se toegewyde bedrogafdeling deur 'n skoon foon te gebruik. Stel dit duidelik: "My rekenaar is deur 'n afstandtoegang-trojaan gekompromitteer tydens 'n tegniese ondersteuning/banknabootsing-bedrogspul. 'n Ongemagtigde party het regstreekse toegang tot my aanlynbanksessie gehad." Eis die volgende spesifieke aksies:

• Aanlynbankprofiel-uitsluiting: Laat die bank jou aanlyn- en mobiele bankaanmeldbewyse heeltemal deaktiveer en alle aktiewe OAuth-tokens en sessiekoekies ongeldig maak.
• ACH-, draad- en RTP-herroeping (SWIFT / Fedwire / Faster Payments): Vra die verteenwoordiger om jou rekening te inspekteer vir enige hangende of in tou uitgaande Outomatiese Clearing House (ACH) oordragte, binnelandse/internasionale bankoorplasings, Zelle / Venmo betalings, of "Bill Pay"-tjeks wat vir toekomstige datums geskeduleer is. Swendelaars skeduleer dikwels 'n Bill Pay-tjek of post-gedateerde ACH-oordragstel om 3 tot 5 dae later uit te voer in die hoop dat jy dit nie sal agterkom nie.
• Rekeningnommervervanging: Omdat die aanvaller waarskynlik jou volledige roetering- en kontrolerekeningnommers bekyk het (of PDF-bankstate van jou blaaier afgelaai het), is die vries van die debietkaart alleen onvoldoende. Jy moet versoek dat die bank die gekompromitteerde rekeningnommers sluit en jou saldo's oorskakel na splinternuwe rekeningnommers met "Plaats geen debiete" (PND) beperkings op die ou rekeninge.
• Kyk vir versteekte interne oordragte of kontantvoorskotte: Aanvallers neem gereeld 'n kontantvoorskot van jou gekoppelde kredietkaart of Home Equity Line of Credit (HELOC) en dra dit eers na jou tjekrekening oor, óf om jou te laat glo dat hulle jou "per ongeluk oorbetaal" het, óf om maksimum likiditeit saam te voeg voordat die gekombineerde balans in die buiteland bedraad word. Sê vir die bankbedrogspesialis om te kyk of enige intra-bankoorplasings tussen jou spaar-, kredietkaart- of makelaarsrekeninge plaasgevind het.

2. Vries kredietburo's en kyk vir nuwe leningsaansoeke¶

Terwyl dit aan jou rekenaar gekoppel is, soek swendelaars gereeld jou Downloads of Documents dopgehou vir sleutelwoorde soos tax, 1040, W2, passport, license, of password en eksfiltreer jou belastingopgawes en ID-skanderings.

1. Plaas 'n gratis Sekuriteitsbevriesing onmiddellik by alle groot kredietburo's met jou skoon slimfoon:
2. In die Verenigde State: Vries Equifax (1-888-298-0045), Experian (1-888-397-3742), TransUnion (1-800-916-8800), en ChexSystems (1-800-428-9687).
3. In die Verenigde Koninkryk: Kontak Experian, Equifax en TransUnion, en registreer vir Cifas Protective Registration.
4. In Kanada: Plaas kredietbevriesings of bedrogwaarskuwings met Equifax Canada en TransUnion Canada.
5. In Australië: Versoek 'n kredietverbod deur Equifax, Illion en Experian.
6. Hersien jou kredietverslag onmiddellik vir harde navrae wat die afgelope 24 uur gedoen is; swendelaars doen dikwels aansoek vir direkte aanlyn persoonlike lenings in 'n agtergrondblaaieroortjie terwyl hulle met jou praat.

Uitwissing van afstandtoegangsdienste in veilige modus (Windows en macOS)¶

As jy besluit om die masjien te inspekteer, forensiese logboeke vir wetstoepassing te bewaar, of onvervangbare persoonlike foto's te red voordat jy die hardeskyf uitvee, moet nooit die rekenaar in normale modus selflaai terwyl jy aan die internet gekoppel is nie. Die oomblik wanneer 'n normale selflaai voltooi met Wi-Fi aktief, 'n aanhoudende ScreenConnect of AnyDesk diens sal huis toe bel na die swendelaar se konsole en hulle waarsku dat jou masjien weer aanlyn is.

Fase 1: Begin in veilige modus sonder netwerk¶

Op Windows 10 en Windows 11¶

1. Maak seker dat die Ethernet-kabel ontkoppel is en dat jou huis-Wi-Fi-roeteerder ontkoppel is of dat die vliegtuigmodus aktief is.
2. Skakel die rekenaar aan. By die Windows-aantekenskerm, hou die Linker Shift-sleutel in terwyl jy Power -> Herbegin klik.
3. Op die blou herstelskerm, kies Probleemsporing -> Gevorderde opsies -> Opstartinstellings -> Herbegin.
4. Wanneer die opstartopsieslys verskyn, druk 4 of F4 (Enable Safe Mode). Moenie 5 druk nie (Safe Mode with Networking).

Op macOS (Apple Silicon en Intel)¶

1. Skakel die Mac af en skakel jou Wi-Fi-roeteerder af.
2. Apple Silicon (M1/M2/M3/M4): Hou die Power-knoppie in totdat "Laai opstartopsies" verskyn. Kies jou opstartskyf, hou Shift in en klik Gaan voort in veilige modus.
3. Intel Mac: Skakel die Mac aan en hou dadelik die Shift-sleutel in totdat die aanmeldvenster verskyn.

Fase 2: Jag en beëindiging van aanhoudende Windows-dienste¶

Standaard deïnstallasie via "Voeg programme by of verwyder" slaag dikwels nie daarin om pasgemaakte te verwyder nie ScreenConnect MSI bou omdat aanvallers die deïnstalleerder-inskrywing van die Windows-register verwyder of veelvuldige gevalle onder ewekansige heksadesimale diensname ontplooi.

1. In Windows Veilige modus, druk Win + R, tik services.msc, en druk Enter.
2. Klik op die Naam-kolom om alfabeties te sorteer, en inspekteer elke diens noukeurig vir die volgende name:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Let wel: Daar kan twee of drie apart wees ScreenConnect Client inskrywings met verskillende 16-karakter alfanumeriese stringe tussen hakies, waar elkeen 'n ander swendelaar-bediener verteenwoordig).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent of SimpleHelp Remote Access
9. Vir elke verdagte diens wat jy kry, regskliek dit en kies Eienskappe.
10. Lees die Pad na uitvoerbare-veld aandagtig deur en skryf dit neer (byvoorbeeld, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Verander die Opstarttipe aftreklys na Gedeaktiveer, klik Stop (indien loop), en klik Pas toe en OK.
12. Maak dan 'n verhoogde opdragprompt oop (Win + X -> Terminal (Admin) of Opdragprompt (Admin)) en verwyder die diensregistrasies permanent deur die presiese diensnaam wat in die eiendomsvenster gelys is:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Vir ScreenConnect, bevraagteken alle geïnstalleerde gevalle en vee elkeen uit volgens sy presiese dienssleutelnaam:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Fase 3: Skoonmaak van geskeduleerde take, opstartgidse en versteekte dopgehou¶

Selfs nadat 'n Windows-diens uitgevee is, konfigureer aanvallers dikwels 'n geskeduleerde taak wat die afgeleë agent weer aflaai via powershell.exe of mshta.exe elke keer as 'n gebruiker aanmeld.

1. Druk Win + R, tik taskschd.msc, en druk Enter om Taakskeduleerder oop te maak.
2. Klik Taakskeduleerder-biblioteek in die linkerpaneel. Brei elke subgids uit en inspekteer die Actions-oortjie van elke geskeduleerde taak. Vee enige taak uit wat binaries begin vanaf C:\Users\<User>\AppData\, C:\ProgramData\, of beroep curl, bitsadmin, powershell -WindowStyle Hidden, of enige uitvoerbare rekenaar op afstand.
3. Druk Win + R, tik shell:startup, en druk Enter. Vee enige kortpaaie of .bat / .vbs skrifte geplaas in jou gebruiker Startup gids. Herhaal dit deur te tik shell:common startup om die stelselwye Startup-lêergids te inspekteer.
4. Aktiveer die kyk van verborge lêers in Lêerverkenner (Bekyk -> Wys -> Versteekte items) en vee die toepassingsgidse en konfigurasiekas vir alle afgeleë nutsgoed handmatig uit:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ en C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ en C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ en C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Fase 4: Verwyder macOS LaunchDaemons, LaunchAgents en privaatheidtoekennings¶

Op macOS vestig afstandtoegangnutsmiddels volharding deur LaunchDaemons (stelselwyd) en LaunchAgents (gebruikersvlak), gekombineer met macOS TCC (Deursigtigheid, Toestemming en Beheer) toestemmings vir Skermopname en Toeganklikheid.

1. Terwyl jy in macOS Veilige modus (vanlyn) is, maak Finder oop, druk Cmd + Shift + G (Go to Folder), en inspekteer die volgende drie gidse een vir een:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Sleep enige .plist lêers wat bevat connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, of simplehelp na die asblik.
6. Volgende, maak oop /Applications/ en /Library/Application Support/ en skuif enige ooreenstemmende afstandtoegang-appbondels en ondersteuningsvouers na die asblik.
7. Maak Stelselinstellings -> Privaatheid en sekuriteit oop. Gaan twee kritieke afdelings na:
8. Skerm- en stelseloudio-opname: Kies enige afstandsondersteuningsinstrument wat gelys is en klik op die minus (-) knoppie om sy vermoë om jou skerm te sien herroep.
9. Toeganklikheid: Kies enige afstandondersteuningsinstrument en klik op die minus (-) -knoppie om sy vermoë om jou muiswyser te beheer en toetsaanslagen te sintetiseer herroep.
10. Volledige skyftoegang: Verifieer dat geen onbekende toepassing of terminaalomhulsel volle skyftoegang toegestaan ​​is nie.

Omkeer van Windows-wagwoordslotte en vals selflaaibaniere¶

Voordat hulle ontkoppel word, sluit wraaksugtige swendelaars gereeld slagoffers uit hul rekenaars en eis 'n losprys vir die wagwoord. Hulle gebruik drie primêre metodes:

1. Verander jou plaaslike Windows-wagwoord (net user) of die byvoeging van 'n skelm admin-rekening¶

Terwyl hul skermgordyn aktief is, maak swendelaars dikwels 'n verhoogde opdragprompt oop en hardloop net user <YourUsername> <NewPassword> of skep 'n agterdeur administrateur rekening (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Hoe om na te gaan en reg te stel: In veilige modus, maak 'n verhoogde opdragprompt oop (cmd.exe as Administrateur) en tik net user. As jy 'n onbekende rekening sien, vee dit dadelik uit met net user <RogueAccountName> /delete. As jou plaaslike wagwoord verander is, begin vanaf 'n Windows-installasie-USB na die Windows-herstelomgewing (WinRE) om 'n vorige stelselherstelpunt te herstel, of meld aan met jou gekoppelde Microsoft-rekening nadat jy jou wagwoord op 'n skoon slimfoon teruggestel het.

2. Aktiveer 'n opstartboodskapbanier via Register (LegalNoticeCaption)¶

Scammers wysig dikwels HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System deur instelling LegalNoticeCaption en LegalNoticeText om 'n vals Microsoft Security-uitsluitfoonnommer te vertoon voor aanmelding. * Hoe om reg te stel: Dit is bloot 'n kosmetiese teksskerm voor die normale Windows-aanmelding. Klik OK of druk Enter om dit te omseil, maak oop regedit in Veilige modus, gaan na HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System, en maak die teks binne skoon LegalNoticeCaption en LegalNoticeText.

3. Safe Boot PIN-uitsluitings (bcdedit)¶

Microsoft het die nalatenskap verwyder syskey.exe hulpmiddel in Windows 10 weergawe 1709. Vandag merk swendelaars eerder Veilige selflaai binne msconfig en herlaai jou rekenaar vanlyn. Omdat Windows Hello-PIN's dikwels misluk op die Veiligemodus-aanmeldskerm sonder netwerktoegang, word slagoffers in 'n selflaailus vasgevang. * Hoe om reg te stel: Hou Shift + Herbegin by die aanmeldskerm, kies Foutspoor -> Gevorderde opsies -> Opdragprompt, en hardloop:

bcdedit /deletevalue {current} safeboot

Herbegin die rekenaar normaalweg (hou jou internetroeteerder ontkoppel) sodat jy met jou kaswagwoord of PIN kan aanmeld en die afstandsagteware kan verwyder.

Waarom blaaiersessiediefstal en inligtingstelers 'n volledige OS-vee vereis¶

Selfs as jy die ScreenConnect, AnyDesk, of RustDesk dienste in Veilige modus, moet jy evalueer of die swendelaar 'n sekondêre Infostealer (Lumma, RedLine, Vidar, Stealc) of jou blaaierprofielgids gekopieer.

Tydens 'n onbewaakte afstandsessie neem dit minder as 8 sekondes vir 'n aanvaller om 'n PowerShell-skrip te laat loop wat jou Google Chrome-, Microsoft Edge- of Brave-gebruikersdatagids kopieer (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) saam met die plaaslike DPAPI meester-dekripsiesleutel. Met daardie lêers op hul bediener beskik die aanvaller oor:

1. Elke wagwoord wat in jou webblaaier se ingeboude wagwoordbestuurder gestoor is.
2. ** Aktiewe sessiekoekies (Cookies en Network\Cookies SQLite-databasisse):** Selfs as jou e-pos of bank twee-faktor-verifikasie gebruik (2FA), met jou gedekripteerde sessie-token-koekie kan die aanvaller jou blaaierprofiel in 'n antidetectie-blaaier op hul masjien invoer en toegang tot jou Gmail-, Outlook-, Amazon- of cryptocurrency-uitruilrekening kry sonder om 'n wagwoord of 2FA kode.
3. Blaaier-gebaseerde kripto-geldeenheid-beursiekluise (MetaMask, Phantom, Rabby): Geënkripteerde kluislêers binne Local Extension Settings word geëksfiltreer vir vanlyn brute-dwing.

Wanneer jy 'n skoon USB-bedryfstelsel moet herinstalleer¶

Alhoewel veilige modus-diensverwydering voldoende is as jy die swendelaar binne 10 sekondes van die installering van AnyDesk betrap het en hulle nooit administrateurverheffing of toegang sonder toesig gegee het nie, moet jy die skyf uitvee en 'n skoon OS-installasie vanaf 'n USB-stokkie uitvoer indien enige van die volgende voorgekom het:

• Jou skerm het swart geword (Blank Guest Monitor) of jou muis/sleutelbord was gesluit.
• Jy het 'n opdragprompt gesien (cmd.exe) of PowerShell-venster flits op die skerm.
• Jy het die rekenaar sonder toesig gelos terwyl die swendelaar 'n vals sekuriteitskandering uitgevoer het.
• Jy het geïnstalleer ConnectWise ScreenConnect (wat loop as SYSTEM by verstek en laat onsigbare agtergronddop-skripuitvoering toe).

Om 'n veilige herinstallering uit te voer: 1. Terwyl vanlyn in Veilige modus is, prop 'n splinternuwe USB-flitsaandrywer in die gekompromitteerde rekenaar en kopieer net persoonlike datalêers (.jpg, .pdf, .docx, .xlsx, gesinsvideo's). Moet nooit kopieer nie .exe, .msi, .bat, .ps1, of blaaierprofielvouers. 2. Gebruik 'n ander, skoon rekenaar, laai die amptelike Windows Media Creation Tool van Microsoft af (microsoft.com/software-download) of skep 'n selflaaibare macOS-installeerder. 3. Begin die gekompromitteerde rekenaar vanaf die skoon USB-installeerder, verwyder alle bestaande partisies op die primêre skyf (Drive 0), en installeer 'n nuwe kopie van die bedryfstelsel.

Behou jou wettige reg op bankterugbetaling¶

Banke probeer gereeld om bedrogterugbetalingseise in afstandtoegang-swendelary te weier deur te argumenteer dat omdat jy "Download" op AnyDesk of ScreenConnect geklik het, jy die transaksies "gemagtig" het of met growwe nalatigheid opgetree het. Om te weet hoe statutêre verbruikersbankbeskerming in jou jurisdiksie werk, is van kritieke belang wanneer jy met jou bank se bedrogeisbeoordelaar praat.

In die Verenigde State: Wet op Elektroniese Fondsoordrag (EFTA) en Regulation E (12 CFR § 1005)¶

Kragtens die federale Wet op Elektroniese Fondsoordrag (Regulation E), die Buro vir Finansiële Beskerming van Verbruikers (CFPB) het amptelike toesighoudende riglyne uitgereik wat bepaal dat: * Geïnduseerde toegang is steeds 'n "ongemagtigde elektroniese fondsoorplasing": Onder 12 CFR § 1005.2(m), word 'n elektroniese fondsoorplasing geïnisieer deur 'n persoon wat toegang tot 'n verbruiker se rekening verkry het deur bedrog of roof deur die wet gedefinieer as 'n ongemagtigde EFT, selfs al is die verbruiker mislei om 'n wagwoord, 'n eenmalige wagkode te verskaf, of afgeleë rekenaarsagteware te installeer. * Nalatigheid kan nie gebruik word om jou eis te ontken nie: Die CFPB se amptelike interpretasie van Regulation E (Comment 6(b)-2) verklaar dat verbruikersnalatigheid (soos om te val vir 'n uitvissing-opspringer of die verlening van afgeleë werkskermtoegang aan 'n swendelaar) nie deur 'n bank gebruik kan word om groter aanspreeklikheid op die verbruiker as Regulation E laat toe ($50 maksimum indien aangemeld binne 2 werksdae; $500 maksimum binne 60 dae). * Ontskei tussen swendelaar-geklikte vs. verbruiker-geklik-oordragte: As die swendelaar die muis beweeg en "Stuur" agter 'n swart skerm geklik het tydens die AnyDesk/ScreenConnect-sessie, is dit 'n Ongemagtigde EFT gedek deur Regulation E. Sê skriftelik aan die bank: "Ek het nie die knoppie vir hierdie oordrag geïnisieer, gemagtig of geklik nie; 'n kriminele bedreigingsakteur het die oordrag op afstand uitgevoer met 'n afstandtoegang-trojaan terwyl ek my skerm gesluit het, wat 'n ongemagtigde EFT ingevolge 12 CFR § 1005.2(m) uitmaak." Heg jou bewaarde connection_trace.txt log of Windows Event Viewer Service Control Manager logs (Event ID 7045 wat die presiese minuut die ScreenConnect of AnyDesk diens geïnstalleer is) as forensiese bewys.

In die Verenigde Koninkryk, Europese Unie, Kanada en Australië¶

• Verenigde Koninkryk (PSR & FOS): As die swendelaar jou rekenaar direk beheer het om fondse te skuif, rapporteer dit as 'n ongemagtigde betaling ingevolge die Betaaldiensteregulasies 2017. As die swendelaar jou skerm gemanipuleer het (Inspect Element valse terugbetaling) om jou te mislei om self 'n vinniger betaling te magtig, rapporteer dit onder die betalingsdienstereguleerder se (PSR) verpligtend Gemagtigde stootbetaling (APP) Bedrog-terugbetalingsreëls en eskaleer enige ontkenning aan die Finansiële Ombudsmandiens (FOS).
• Europese Unie, Kanada en Australië: Rapporteer die voorval onmiddellik aan jou bank en nasionale polisie, en beklemtoon dat 'n afstandtoegang-trojaan die sessie uitgevoer of gemanipuleer het. Eskaleer onopgeloste bankdispute na die Ombudsman vir Bankdienste en Beleggings (OBSI) in Kanada of die Australiese Finansiële Klagte-owerheid (AFCA) in Australië onder die ePayments Code.

Na-voorval remediëring en verslagdoening kontrolelys¶

Voltooi elke item in hierdie kontrolelys voordat jy jou tuisnetwerk herkoppel of normale aanlynbankdienste hervat:

• Fisiese isolasie bevestig: Gekompromitteerde rekenaar is fisies van Ethernet en Wi-Fi ontkoppel voor enige verdere foutsporing.
• Bankrekeninge gevries en hernommer: Alle tjek-, spaar- en HELOC-rekeningnommers wat op die rekenaar sigbaar was, is gesluit en heruitgereik met nuwe rekeningnommers.
• Geskeduleerde Bill Pay- en ACH-toue is skoongemaak: Geverifieer met 'n banktoesighouer dat geen toekomsgedateerde Bill Pay-tjeks, eksterne bankskakels (Plaid), of staande draadinstruksies is bygevoeg tydens die afgeleë sessie.
• Kredietvries aktief: Sekuriteitvries geplaas met Equifax, Experian, TransUnion en ChexSystems.
• E-pos-aanstuurreëls geoudit: Aangeteken by Gmail/Outlook/Yahoo vanaf 'n skoon slimfoon en gemerk Instellings -> Aanstuur en POP/IMAP en Reëls / Filters vir versteekte reëls wat e-posse wat outomaties uitvee of aanstuur "Bank", "Fraud", "Wire", of "Security Alert".
• Blaaierwagwoordkluis geroteer: Elke wagwoord wat in Chrome-, Edge-, Firefox- of Safari-wagwoordbestuurders gestoor is, is van 'n skoon toestel verander.
• Forensiese logs gestoor en amptelike verslae ingedien: Lêer verslae by die FBI IC3 (ic3.gov) en FTC (reportfraud.ftc.gov) in die VSA, Aksiebedrog (actionfraud.police.uk) in die VK, die Canadian Anti-Fraud Centre, of Scamwatch (scamwatch.gov.au) in Australië. Rapporteer ook die installeerder se binêre of verbindings-ID aan connectwise.com/company/trust/report-abuse of anydesk.com/en/abuse.

Gereelde vrae¶

Die swendelaar het my my Windows Event Viewer gewys en netstat in Command Prompt en dit was vol duisende waarskuwings, foute en "BUITELANDSE ADRES"-verbindings. Is my rekenaar werklik gekap voordat ek hulle gebel het?¶

Nee. Beide `eventvwr` (Windows Event Viewer) en `netstat` is normale administratiewe hulpmiddels wat in elke kopie van Windows ingebou is, en swendelaars misbruik dit as sielkundige rekwisiete. Elke gesonde Windows-rekenaar genereer duisende roetine geel waarskuwing- en rooi foutlogboeke in Event Viewer tydens normale opstart- en agtergrondopdaterings, en `netstat` lys elke normale agtergrondverbinding wat jou blaaier en bedryfstelsel met wolkbedieners maak as 'n "Buitelandse adres." Jou rekenaar was heeltemal veilig tot die oomblik dat jy die beller se instruksies gevolg het om hul afstandtoegangnutsding af te laai en te laat loop.

Hoe het die swendelaar my regte bankwebwerf laat wys dat hulle per ongeluk gedeponeer het $40,000 in my tjekrekening in as hulle nie die bank se bediener kan hack nie?¶

Terwyl hy via AnyDesk of ScreenConnect aan jou rekenaar gekoppel is, verduister die swendelaar jou skerm vir 15 sekondes, regskliek jou banksaldo in jou webblaaier en klik **"Inspekteer" (`Developer Tools`)**. Dit maak die plaaslike HTML-teks oop wat in jou blaaieroortjie vertoon word. Die swendelaar tik eenvoudig `$45,200.00` oor jou ware `$5,200.00` balanseer en voeg 'n vals teksreëllesing by `"ACH REFUND OVERPAYMENT +$40,000.00"` op jou skerm. Hierdie wysiging bestaan slegs binne jou blaaieroortjie se tydelike geheue (`DOM`) en verdwyn sodra jy die bladsy herlaai (`F5`) of kontroleer jou saldo op jou slimfoontoepassing. Alternatiewelik dra hulle oor `$40,000` van jou eie spaarrekening of kredietlyn na jou tjekrekening en herbenoem die skerm om jou te mislei om jou eie geld aan hulle te koppel.

Is ek veilig om my Wi-Fi weer aan te skakel as ek AnyDesk of UltraViewer vanaf die beheerpaneel verwyder het?¶

Gewoonlik nie sonder om Windows-dienste te inspekteer nie (`services.msc`) eers in Veilige modus. Professionele tegniese ondersteuning bedrogspul inbelsentrums weet dat slagoffers dikwels AnyDesk of UltraViewer deïnstalleer sodra hulle ophang. Daarom, binne die eerste twee minute nadat hulle aan jou rekenaar gekoppel is, gebruik swendelaars gereeld stil lêeroordrag om 'n sekondêre, versteekte **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) of **SimpleHelp**-agent wat nie 'n lessenaarkortpad skep nie en binne wegkruip `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Tensy jy in die veilige modus verifieer dat daar geen skelm is nie `SYSTEM` dienste of geskeduleerde take bestaan, of 'n volledige USB-bedryfstelsel-vee uit te voer, herkoppel aan Wi-Fi kan onmiddellik beheer van jou rekenaar terug aan die aanvaller gee.

Kan 'n swendelaar toegang tot ander rekenaars of slimfone op my Wi-Fi-huisnetwerk kry net omdat ek AnyDesk op een skootrekenaar geïnstalleer het?¶

Die installering van AnyDesk of ScreenConnect kompromitteer die spesifieke rekenaar waar jy die installeerder gebruik het, nie jou fone of ander skootrekenaars direk nie. As jy egter **Google Chrome, Microsoft Edge of Apple iCloud-wagwoord en sessiesinkronisering** oor jou skootrekenaar en slimfoon gebruik, sal enige wagwoorde wat die swendelaar steel of verander op die besmette skootrekenaar jou gedeelde wolkrekeninge beïnvloed. Ook, terwyl dit aan jou skootrekenaar gekoppel is, kan 'n aanvaller by jou tuisroeteerder se administrasiebladsy aanmeld (`192.168.1.1`) as dit steeds die verstek admin wagwoord gebruik en jou router s'n verander `DNS` instellings. Nadat u die besmette skootrekenaar geïsoleer het, stel u Wi-Fi-roeteerder in die fabriek terug of verifieer die DNS-instellings en administrateurwagwoord vanaf 'n skoon toestel.

Verwante gidse¶

• Tegniese ondersteuning opwip-bedrogspul en verwydering van AnyDesk/TeamViewer op afstand werkskerms
• Sessiekoekiekaping, infostealer-wanware en wagwoordherroeping
• Valse CAPTCHA ClickFix PowerShell Win+R-knipbord-wanware en Lumma Infostealer-remediëring
• Gemagtigde stootbetaling (APP) app-bedrog: Zelle, Venmo en Faster Payments nabootsing en terugbetaling regte
• Bankrekening skending
• Noodnommers volgens land

Bronne en amptelike leiding¶

• Agentskap vir kuberveiligheid en infrastruktuursekuriteit (CISA), Federale Buro vir Ondersoek (FBI), Nasionale Veiligheidsagentskap (NSA), & Multi-State Inligting Deel en Analise Sentrum (MS-ISAC) (Verenigde State): Gesamentlike kuberveiligheidsadvies (AA23-025A): Beskerming teen kwaadwillige gebruik van afstandmonitering en bestuur (RMM) Sagteware.
• Buro vir Finansiële Beskerming van Verbruikers (CFPB) (Verenigde State): Elektroniese Fondsoordragte (Regulation E, 12 CFR Part 1005) Amptelike interpretasies en algemene vrae oor ongemagtigde EFT's en bedrieglik-geïnduseerde toegang.
• Federale Handelskommissie (FTC) (Verenigde State): Hoe om tegniese ondersteuningswendelary op te spoor, te vermy en aan te meld.
• Nasionale Kuberveiligheidsentrum (NCSC) & Aksiebedrog (Verenigde Koninkryk): Beskerming van toestelle teen ongemagtigde afstandtoegangnutsgoed en skermdelingbedrog.
• ConnectWise Trust & Security Response Center: Identifiseer en verwyder Rogue ScreenConnect (ConnectWise Control) Kliëntgevalle.