Remote access trojan (ScreenConnect, AnyDesk, RustDesk, UltraViewer) tech support scam: pag-agaw kan ethernet, paggadan nin mga serbisyo, asin pag-freeze kan bangko¶

Kun an sarong scammer nakumbinsir ka na mag-instalar nin sarong remote desktop tool o nag-eeksekutar nin sarong remote monitoring agent sa saimong kompyuter, sinda nagkakaigwa nin live, daing limitasyon na kontrol sa saimong mouse, keyboard, file system, asin aktibong mga sesyon kan browser. Mantang nagpapahiling nin sarong pekeng pag-scan sa seguridad o sarong itom na kurtina sa privacy sa saimong monitor, an operator silensio na nag-uubos kan mga checking account, nag-aani nin mga na-save na password, asin nag-iinstalar nin mga serbisyo sa background na nagdadanay na nakaligtas sa mga standard na reboot. An giya na ini nagtatao nin tulos na mga lakdang tanganing putolon an data link kan paraatake, permanenteng mahale an mga serbisyo sa pag-access sa harayo na dai inaataman, asin i-lock down an saimong imprastraktura sa bangko asin kredito bago an mga pondo mag-clear kan wire network.

Gibohon ini ngonyan¶

1. Iputol an gabos na koneksyon sa internet sa pisikal asin tulos. I-unplug an Ethernet cable sa likod kan saimong desktop o router, i-flip an pisikal na Wi-Fi switch sa saimong laptop, o pinduton asin kapotan an power button sa saimong Wi-Fi router sa laog nin 10 segundo sagkod na an gabos na ilaw magdiklom. Dai magsayang nin oras sa pagprobar na labanan an scammer para sa kontrol kan mouse cursor tanganing i-click an disconnect button.
2. Pwersahon na i-shutdown an nakompromisong kompyuter kun an screen naka-itom. Kun an paraatake nag-enable kan "Blank Guest Monitor" o naka-lock kan saimong input sa keyboard, pinduton asin kapotan an pisikal na power button kan saimong kompyuter sa laog nin 10 bilog na segundo sagkod na an makina lubos na ma-off. Pabayaan ining naka-off mantang pigseseguro mo an saimong mga pinansiyal na kuwenta gikan sa sarong separado, malinig na aparato.
3. Apodan an departamento nin pandadaya kan saimong bangko gikan sa sarong independienteng telepono. Maggamit nin cellular phone tanganing apodan an opisyal na numero na nakaimprenta sa likod kan saimong debit o credit card, o apodan an saimong lokal na numero nin emerhensya (911 sa Estados Unidos asin Canada, 112 sa bilog na Unyon Europeo, 999 sa Reino Unido) kun may nangyayaring aktibong banta nin pangingikil; hilingon mga numero nin emerhensya para sa mga internasyonal na kontak. Instruksionan an bangko na magbugtak nin tulos na hard freeze sa gabos na checking, savings, asin line-of-credit accounts, asin maghagad nin emerhensiyang pag-recall sa anuman na nakabinbin na Automated Clearing House (ACH), wire, o real-time na mga pagbalyo nin pagbayad.
4. Bawion an mga aktibong sesyon na cookies asin liwaton an mga password gikan sa sarong malinig na smartphone. Gamit an saimong telepono sa cellular data (bakong konektado sa saimong Wi-Fi sa harong kun an nakompromisong PC nakabukas na giraray), mag-log in sa saimong pangenot na email, mga portal sa bangko, asin mga account sa pagtipig sa panganuron. Tapuson an gabos na aktibong sesyon nin pag-login, bawion an mga dai namidbid na mga aparatong Multi-Factor Authentication (MFA), asin i-rotate an saimong mga sekretong panlaog.
5. I-boot an naulakitan na kompyuter sa Safe Mode na Mayong Networking. Ibalik sana an nakompromisong kompyuter mantang nakadiskonekta sa internet, na naglalaog sa Windows Safe Mode o macOS Safe Mode tanganing inspeksyunan asin haleon an mga serbisyo sa background na dai inaataman (ScreenConnect Client, AnyDesk Service, RustDesk Service) bago an operating system mag-load nin mga third-party network driver.

Pagsabot kan anatomiya kan sarong komersyal na RMM asin pag'atake sa harayong desktop¶

An mga modernong scam sa teknikal na suporta, mga pandadaya sa refund, asin mga pag'atake sa pagsaginsagin sa bangko bihirang magsarig sa mga virus sa kompyuter na nakasurat nin pasadya. Imbes, an mga aktor nin pananakot inaabuso an lehitimo, digital na pinirmahan na Remote Monitoring and Management (RMM) software asin komersyal na mga kasangkapan sa harayong desktop. Nin huli ta an mga executable na ini nagdadara nin balidong mga sertipiko nin pagpirma nin cryptographic code gikan sa mga pinagtitiwalaan na mga paratinda nin software, an mga standard na programa nin antivirus arog kan Windows Defender o macOS XProtect dai nagbabawal kan saindang pag-instalar.

Kun pano pig-armas kan mga paraatake an mga lehitimong remote support binary¶

Kun an sarong biktima nag-aapod sa sarong toll-free na numero na ipinapahiling sa sarong pekeng pop-up kan browser, nagsisimbag sa sarong apuradong email nin invoice, o nagsusunod sa mga instruksyon gikan sa sarong pekeng imbestigador nin pandadaya sa bangko, an operator nagdidirehir sa sainda na mag-download nin sarong executable o MSI installer. An mga pinaka-inaabuso na mga plataporma kabali an:

• ConnectWise ScreenConnect (dating Control): Parati na pigbubugtak sa paagi nin sarong pinasadyang .msi o .exe pakete na naka-host sa sarong server na kontrolado nin paraatake. Kun natapos na, ini nag-iinstalar bilang sarong persistent Windows System Service (ScreenConnect Client (xxxx)) nagdadalagan kaiba an NT AUTHORITY\SYSTEM mga pribilehiyo, na nagtatao nin silensio, daing inaataman na pag-access kun an kompyuter online.
• AnyDesk (anydesk.exe): Parating ginagamit sa mga cross-platform scam na nagtatarget sa Windows, macOS, asin mga mobile device. An mga paraatake nagtutukdo sa biktima na basahon nin makosog an 9-digit na adres kan AnyDesk, maghagad nin administratibong elevation, asin magbugtak nin "Unattened Access Password" tanganing makakonektar giraray mantang an biktima nagtuturog.
• RustDesk (rustdesk.exe): Sarong open-source na remote desktop tool na paborito kan mga scam syndicate huli ta kaya nindang mag-self-host nin mga relay server, na piglilihisan an mga pag-abuso kan mga paratinda.
• UltraViewer, TeamViewer, Zoho Assist, asin SimpleHelp: Parati na pinagkakadenahan. An sarong scammer na nagkokonektar sa paagi kan UltraViewer o AnyDesk parateng silensio na nag-iinstalar nin sarong natatagong ScreenConnect o SimpleHelp pakete sa likod bilang sarong backup backdoor.

Emerhensiyang dalagan nin trabaho: pagputol kan koneksyon asin pag-triage kan danyos¶

Gamiton an minasunod na operational flowchart tanganing mapundo an sarong aktibong remote session, i-isolate an workstation, asin determinaran kun baga an makina pwedeng linigon sa Safe Mode o nangangaipo nin kumpletong operating system wipe.

flowchart TD
    A["Aktibo o Bagong Remote Access Scam an Nadetektaran"] --> B["Pisikal na I-unplug an Ethernet Cable asin Power Off an Wi-Fi Router"]
    B --> C{"Naka-black Out an Screen o Naka-lock an Mouse?"}
    C -- "Iyo" --> D["Kaputan an PC Physical Power Button sa laog nin 10 Segundo tanganing Piriton na I-off"]
    C -- "Dai" --> E["I-ON an Mode kan Eroplano asin I-Sut Down an PC nin Normal"]
    D --> F["Gamiton an Malinig na Smartphone sa Cellular Data tanganing Mag-apod sa Bank Fraud Dept"]
    E --> F
    F --> G["I-freeze an Pag-check/Savings, I-recall an mga Wire/Zelle, I-lock an mga Credit Bureau"]
    G --> H["Gikan sa Malinig na Smartphone: I-rotate an mga Email/Bank Password asin Gadanon an mga Sesyon"]
    H --> I{"An Scammer daw Igwa nin Unattended Access o Nagpadalagan nin CMD/PowerShell?"}
    I -- "Iyo (Halangkaw na Peligro)" --> J["I-boot an PC Offline sa Safe Mode tanganing Iligtas an Personal na mga Dokumento Sana"]
    I -- "Dai (Malipot na Sesyon na Pinapamahalaan)" --> K["Mag-boot nin Offline sa Ligtas na Mode tanganing Linigon an mga Serbisyo asin Sertipiko kan RMM"]
    J --> L["Maggibo nin Full Clean OS Reinstall sa paagi kan USB Media Hale sa Clean PC"]
    K --> M["Haleon an mga Serbisyo, mga Nakaiskedyul na Gibohon, AppData, asin mga Ekstensyon kan Browser sa Pag-audit"]

Pagkumpara kan mga kasangkapan sa pag-access sa harayo na inaabuso kan mga paradaya¶

Bago magprobar na linigon an sarong makina o ireport an pangyayari sa forensic fraud team kan saimong bangko, aramon kun arin na mga remote tool an nakabugtak. Tandaan na an mga scammer regular na nag-iinstalar nin duwa o tolong manlaen-laen na kasangkapan sa laog nin sarong sesyon tanganing kun ika mag-uninstall kan nahihiling na icon kan desktop, an saindang natatagong segundaryong serbisyo magdadanay na aktibo.

Lakdang-sa-lakdang na pagbangko asin pag-triage pinansyal (Enot na 30 minutos)¶

Sa sarong remote access scam, an impeksyon sa kompyuter iyo sana an mekanismo nin paghatod; an pangenot na emerhensya iyo an grabeng paghabon pinansyal. An mga paraatake naggagamit nin mga sikolohikal asin teknikal na trick, arog kan pag-edit kan HTML source code (Inspect Element) kan webpage kan saimong bangko tanganing mag-simulate nin sarong aksidenteng $40,000 sobrang bayad imbes na $400, tanganing dayaon ka sa pag-wire nin kuwarta, pagbakal nin mga gift card, o pagdeposito nin kuwarta sa sarong Bitcoin ATM. Dawa kun nagsayuma kang magpadara nin kwarta, an sarong paraatake na may remote access pwedeng magpoon nin mga pagbalyo nin direkta mantang an saimong screen naka-black out.

1. Magbugtak nin tulos na hard freeze asin magpoon nin mga pag-recall sa pagbalyo¶

Apod tulos an dedikadong departamento nin pandadaya kan saimong institusyon pinansyal gamit an malinig na telepono. Sabihon nin malinaw: "An sakuyang kompyuter nakompromiso nin sarong remote access trojan sa laog nin sarong tech support/bank impersonation scam. Sarong dai awtorisadong partido an nagkaigwa nin live access sa sakuyang online banking session." Hagadon an minasunod na mga espesipikong aksyon:

• Online Banking Profile Lockout: Ipa-disable sa bangko an saimong mga kredensyal sa pag-login sa online asin mobile banking asin i-invalidate an gabos na aktibong OAuth token asin session cookies.
• ACH, Wire, asin RTP Recall (SWIFT / Fedwire / Faster Payments): Hagadon sa representante na inspeksyunan an saimong account para sa anuman na nakabinbin o nakapila na paluwas na Automated Clearing House (ACH) mga pagbalyo, domestic/international wire transfers, Zelle / Venmo mga pagbayad, o mga tseke na "Bill Pay" na nakaiskedyul para sa mga maabot na petsa. An mga paradaya parateng nag-iiskedyul nin tseke sa Bill Pay o post-dated ACH transfer na itinalaan na gibohon pakalihis nin 3 sagkod 5 aldaw na naglalaom na dai mo naririsa.
• Pagsalida nin Numero nin Kuwenta: Nin huli ta an paraatake posibleng nahiling an saimong bilog na mga numero nin pag-agi asin pag-check (o nag-download nin mga pahayag sa bangko sa PDF hale sa saimong browser), an pag-freeze kan debit card sana bakong igo. Kaipuhan mong hagadon na isara kan bangko an mga nakompromisong numero nin account asin ibalyo an saimong mga balanse sa mga bagong numero nin account na may "Post No Debits" (PND) mga restriksyon sa mga lumang account.
• Hilingon an mga Natatagong Internal na Pagbalyo o mga Cash Advance: An mga paraatake parateng nagkukua nin cash advance gikan sa saimong naka-link na credit card o Home Equity Line of Credit (HELOC). Sabihan an espesyalista sa pandadaya sa bangko na helingon kun igwa nin mga pagbalyo sa laog kan bangko na nangyari sa pag-ultanan kan saimong mga savings, credit card, o brokerage account.

2. I-freeze an mga credit bureau asin helingon an mga bagong aplikasyon sa pautang¶

Mantang konektado sa saimong PC, an mga scammer regular na naghahanap kan saimong Downloads o Documents mga folder para sa mga keyword arog kan tax, 1040, W2, passport, license, o password asin i-exfiltrate an saimong mga tax return asin ID scan.

1. Magbugtak nin libreng Security Freeze sa gabos na mayor na credit bureau tulos gamit an saimong malinig na smartphone:
2. Sa Estados Unidos: I-freeze an Equifax (1-888-298-0045), Experian (1-888-397-3742), TransUnion (1-800-916-8800), asin ChexSystems (1-800-428-9687).
3. Sa United Kingdom: Kontakon an Experian, Equifax, asin TransUnion, asin magparehistro para sa Cifas Protective Registration.
4. Sa Canada: Ibugtak an mga pag-freeze nin kredito o mga alerto sa pandadaya sa Equifax Canada asin TransUnion Canada.
5. Sa Australia: Maghagad nin pagbabawal sa kredito sa paagi kan Equifax, Illion, asin Experian.
6. Repasohon tulos an saimong credit report para sa mga masakit na kahaputan na ginibo sa laog kan nakaaging 24 oras; an mga scammer parateng nag-aaplay para sa instant online personal loans sa sarong background browser tab mantang nakikipag-olay saimo.

Pagpara kan mga serbisyo sa pag-access sa harayo sa Safe Mode (Windows asin macOS)¶

Kun magdesisyon kang inspeksyunan an makina, ipreserbar an mga forensic log para sa mga nagpapaotob kan ley, o iligtas an dai masasalidahan na personal na mga retrato bago punasan an hard drive, dai nanggad i-boot an kompyuter sa normal na mode mantang konektado sa internet. Sa oras na an sarong normal na boot matapos na may aktibo na Wi-Fi, sarong persistent ScreenConnect o AnyDesk an serbisyo maapod sa harong kan console kan scammer asin aabisuhan sinda na an saimong makina nakabalik na sa online.

Yugto 1: Pag-boot sa Ligtas na Mode na Mayong Pag-network¶

Sa Windows 10 asin Windows 11¶

1. Siguraduhon na an Ethernet cable naka-unplug asin an saimong Wi-Fi router sa harong naka-unplug o an Airplane Mode aktibo.
2. I-on an PC. Sa Windows sign-in screen, pinduton an Left Shift na susi mantang pigpipindot an Power -> Restart.
3. Sa asul na screen nin pagbawi, pilion an Troubleshoot -> Advanced options -> Startup Settings -> Restart.
4. Kun an lista nin mga opsyon sa pagpoon maglataw, pinduton an 4 o F4 (Enable Safe Mode). Dai magpindot nin 5 (Safe Mode with Networking).

Sa macOS (Apple Silicon asin Intel)¶

1. I-off an Mac asin i-off an saimong Wi-Fi router.
2. Apple Silicon (M1/M2/M3/M4): I-hold an Power button sagkod na an "Loading startup options" maglataw. Pilion an saimong startup disk, pinduton an Shift, asin i-click an Ipadagos sa Safe Mode.
3. Intel Mac: I-on an Mac asin tulos na kapotan an Shift key sagkod na maglataw an login window.

Phase 2: Paghanap asin pagtapos kan mga nagdadanay na Serbisyo kan Windows¶

An pamantayan na pag-uninstall sa paagi nin "Idagdag o Haleon an mga Programa" parateng dai nakakahale kan mga pinasadyang ScreenConnect An MSI nagtutugdok huli ta an mga paraatake hinahale an entry kan uninstaller gikan sa Windows Registry o nagdedeploy nin dakol na mga instance sa irarom kan mga randomized hexadecimal na pangaran nin serbisyo.

1. Sa Windows Safe Mode, pinduton an Win + R, klase services.msc, asin pinduton an Enter.
2. I-click an Pangaran na kolum tanganing i-sort sosog sa alpabeto, asin maingat na inspeksyunan an lambang serbisyo para sa minasunod na mga pangaran:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Tandaan: Pwedeng igwa nin duwa o tolong magkasuhay ScreenConnect Client mga entry na may manlaen-laen na 16-karakter na alphanumeric strings sa mga parentesis, kun saen an lambang saro nagrerepresentar nin manlaen-laen na scammer server).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent o SimpleHelp Remote Access
9. Para sa lambang kaduda-dudang serbisyo na saimong makukua, i-right-click ini asin pilion an Properties.
10. Basahon nin maingat an Path to executable na larangan asin isurat ini (halimbawa, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Baguhon an Startup type dropdown sa Disabled, i-click an Stop (kun nagdadalagan), asin i-click an Apply asin OK.
12. Sunod, buksan an sarong nakataas na Command Prompt (Win + X -> Terminal (Admin) o Command Prompt (Admin)) asin permanenteng buraon an mga rehistrasyon kan serbisyo gamit an eksaktong pangaran kan serbisyo na nakalista sa bintana kan mga propyedad:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Para sa ScreenConnect, hapoton an gabos na naka-instalar na mga pangyayari asin buraon an lambang saro sa paagi kan eksaktong pangaran kan susi kan serbisyo:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Ika-3 na Yugto: Paglinig kan mga Nakaiskedyul na Gibohon, mga folder nin Pagpoon, asin mga natatagong direktoryo¶

Dawa pagkatapos na an sarong Windows Service napara, an mga paraatake parateng nagkokompigura nin sarong nakaiskedyul na gibohon na nagda-download giraray kan harayong ahente sa paagi nin powershell.exe o mshta.exe kada mag-log in an sarong paragamit.

1. Pinduton Win + R, klase taskschd.msc, asin pinduton an Enter tanganing buksan an Task Scheduler.
2. I-click an Task Scheduler Library sa wala na pane. Palawakon an lambang subfolder asin inspeksyunan an Mga Aksyon na tab kan lambang nakaiskedyul na gibohon. Buraon an anuman na gibohon na naglulunsar nin mga binary gikan sa C:\Users\<User>\AppData\, C:\ProgramData\, o nag-aapod curl, bitsadmin, powershell -WindowStyle Hidden, o anuman na remote desktop executable.
3. Pinduton Win + R, klase shell:startup, asin pinduton an Enter. Buraon an anuman na mga shortcut o .bat / .vbs mga script na ibinugtak sa saimong user Startup folder. Utruhon ini sa paagi nin pag-type shell:common startup tanganing inspeksyunan an folder kan Startup sa bilog na sistema.
4. I-enable an paghiling nin mga natatagong file sa File Explorer (Hilingon -> Ipahiling -> Mga Natatagong bagay) asin mano-manong buraon an mga direktoryo kan aplikasyon asin mga cache nin pagsasaayos para sa gabos na mga harayong kasangkapan:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ asin C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ asin C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ asin C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Ika-4 na Yugto: Paghale kan macOS LaunchDaemons, LaunchAgents, asin mga Privacy Grants¶

Sa macOS, an mga kasangkapan sa pag-access sa harayo nag-eestablisar nin pagdadanay sa paagi nin LaunchDaemons (bilog na sistema) asin LaunchAgents (user-level), na pinagsararo sa macOS TCC (Transparency, Consent, and Control) na mga permiso para sa Screen Recording asin Accessibility.

1. Mantang nasa macOS Safe Mode (offline), buksan an Finder, pinduton Cmd + Shift + G (Go to Folder), asin inspeksyunan an minasunod na tolong direktoryo nin saro-saro:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Iguyod an arin man .plist mga file na igwa nin connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, o simplehelp sa Basurahan.
6. Sunod, buksan /Applications/ asin /Library/Application Support/ asin ibalyo an anuman na katumbas na mga remote access app bundles asin mga folder nin suporta sa Basurahan.
7. Buksan an Mga Setting kan Sistema -> Privacy & Security. Hilingon an duwang kritikal na seksyon:
8. Screen & System Audio Recording: Pilion an arin man na remote support tool na nakalista asin i-click an minus (-) button tanganing bawion an kakayahan kaini na hilingon an saimong display.
9. Accessibility: Pilion an arin man na remote support tool asin i-click an minus (-) button tanganing bawion an kakayahan kaini na kontrolon an saimong mouse cursor asin mag-synthesize nin mga keystroke.
10. Bug-os na Pag-access sa Disk: Beripikaron na mayo nin dai aram na aplikasyon o terminal wrapper an tinawan nin Bilog na Pag-access sa Disk.

Pagbaliktad kan mga kandado kan password kan Windows asin mga pekeng boot banner¶

Bago magdiskonekta, an mga parabalos na parabalos parateng pig-lock an mga biktima sa saindang mga kompyuter asin naghahagad nin pantubos para sa sekretong panlaog. Naggagamit sinda nin tolong pangenot na paagi:

1. Pagbabago kan saimong lokal na sekretong panlaog sa Windows (net user) o pagdagdag nin sarong rogue admin account¶

Mantang an saindang kurtina sa screen aktibo, an mga scammer parateng nagbubukas nin sarong halangkaw na Command Prompt asin nagdadalagan net user <YourUsername> <NewPassword> o maggibo nin backdoor administrator account (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Kun pano tsekan asin ayuson: Sa Ligtas na Mode, buksan an sarong nakataas na Command Prompt (cmd.exe bilang Administrador) asin i-type net user. Kun makahiling ka nin bakong pamilyar na account, buraon mo tulos ini gamit an net user <RogueAccountName> /delete. Kun an saimong lokal na sekretong panlaog binago, mag-boot gikan sa sarong Windows Installation USB pasiring sa Windows Recovery Environment (WinRE) tanganing ibalik an sarong nakaaging System Restore Point, o mag-sign in gamit an saimong naka-link na Microsoft Account pagkatapos na i-reset an saimong password sa sarong malinig na smartphone.

2. Pag-enable nin sarong startup message banner sa paagi kan Registry (LegalNoticeCaption) )¶

An mga paradaya parating nagbabago HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System sa paagi nin pagbugtak LegalNoticeCaption asin LegalNoticeText tanganing ipahiling an sarong pekeng numero nin telepono kan Microsoft Security lockout bago mag-login. * Kun pano aayuson: Ini purong sarong kosmetikong text screen bago an normal na Windows login prompt. I-click an OK o pinduton an Enter tanganing malampasan ini, buksan regedit sa Safe Mode, magduman sa HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System, asin linigon an teksto sa laog LegalNoticeCaption asin LegalNoticeText.

3. Safe Boot PIN lockouts (bcdedit) )¶

Hinale kan Microsoft an legasiya syskey.exe kasangkapan sa Windows 10 bersyon 1709. Ngonyan, an mga scammer imbes na nagtitik nin Safe boot sa laog msconfig asin i-reboot an saimong PC offline. Nin huli ta an mga PIN kan Windows Hello parateng dai nagigibo sa Safe Mode login screen na mayong access sa network, an mga biktima nakukulong sa sarong boot loop. * Kun pano aayuson: I-hold an Shift + Restart sa login screen, pilion an Troubleshoot -> Advanced options -> Command Prompt, asin paandaron:

bcdedit /deletevalue {current} safeboot

I-restart an kompyuter nin normal (na dai nakasaksak an saimong internet router) tanganing maka-log in ka gamit an saimong naka-cache na password o PIN asin mahale an harayong software.

Kun tano ta an paghabon nin sesyon kan browser asin mga infostealer nangangaipo nin bilog na OS wipe¶

Dawa kun buraon mo an ScreenConnect, AnyDesk, o RustDesk mga serbisyo sa Safe Mode, dapat mong ebalwaron kun baga an scammer nag-deploy nin sarong segundaryong Infostealer (Lumma, RedLine, Vidar, Stealc) o kinopya an saimong direktoryo kan profile kan browser.

Sa laog nin sarong dai inaasikasong remote session, ini minaabot nin mas hababa sa 8 segundo para sa sarong paraatake na magpadalagan nin sarong PowerShell script na nagkokopya kan saimong Google Chrome, Microsoft Edge, o Brave user data directory (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) kaiba an lokal DPAPI master decryption key. Sa mga file na iyan sa saindang server, an paraatake igwa nin:

1. An lambang sekretong panlaog na nakatago sa built-in na tagapamahala nin sekretong panlaog kan saimong web browser.
2. Mga aktibong cookies sa sesyon (Cookies asin Network\Cookies SQLite databases): Dawa kun an saimong email o bangko naggagamit nin duwang-factor na pagpapatunay (2FA), na igwa kan saimong decrypted session token cookie nagtutugot sa paraatake na mag-import kan saimong browser profile sa sarong antidetect browser sa saindang makina asin ma-access an saimong Gmail, Outlook, Amazon, o cryptocurrency exchange account na dai nangangaipo nin password o 2FA kodigo.
3. Mga bodega nin pitaka nin cryptocurrency na nakabase sa browser (MetaMask, Phantom, Rabby): Mga naka-encrypt na mga sagunson kan vault sa laog Local Extension Settings pig-exfiltrate para sa offline brute-forcing.

Kun kaipuhan mong maggibo nin malinig na USB operating system na mag-install giraray¶

Mantang an paghale kan serbisyo sa Safe Mode igo na kun nadakop mo an scammer sa laog nin 10 segundos pagkatapos kan pag-instalar kan AnyDesk asin dai mo sinda tinawan nin Administrator elevation o unattended access, kaipuhan mong punasan an drive asin gibohon an malinig na pag-instalar kan OS gikan sa sarong USB stick kun an arin man sa mga minasunod nangyari:

• An saimong screen nagin itom (Blank Guest Monitor) o an saimong mouse/keyboard naka-lock.
• Nahiling mo an sarong Command Prompt (cmd.exe) o PowerShell window flash sa screen.
• Binayaan mo an kompyuter na mayong nag-aataman mantang an paradaya naggigibo nin pekeng pag-scan sa seguridad.
• Nagbugtak ka ConnectWise ScreenConnect (na nagdadalagan bilang SYSTEM sa paagi nin default asin nagtutugot nin dai nahihiling na pag-ekseher kan script kan shell sa likod).

Tanganing makagibo nin ligtas na pag-instalar giraray: 1. Mantang offline sa Safe Mode, isaksak an sarong bagong marhay na USB flash drive sa nakompromisong PC asin kopyahon an personal data file sana (.jpg, .pdf, .docx, .xlsx, mga video kan pamilya). Dai nanggad magkopya .exe, .msi, .bat, .ps1, o mga folder nin profile kan browser. 2. Gamit an sarong iba, malinig na kompyuter, i-download an opisyal na Windows Media Creation Tool hale sa Microsoft (microsoft.com/software-download) o maggibo nin sarong bootable na macOS installer. 3. I-boot an nakompromisong PC gikan sa malinig na USB installer, buraon an gabos na eksistidong partisyon sa primary drive (Drive 0), asin mag-instalar nin bagong kopya kan operating system.

Pagpreserbar kan saimong legal na deretso sa bayad sa bangko¶

An mga bangko parateng nagpoprobar na ipagsikwal an mga paghagad nin pagbayad nin pandadaya sa mga scam sa remote access sa paagi nin pag-argumento na huli ta nag-click ka nin "Download" sa AnyDesk o ScreenConnect, ika "nag-awtorisar" kan mga transaksyon o naghiro na may grabeng kapabayaan. An pakaaram kun pano an mga proteksyon sa pagbangko kan mga konsumidor na itinao kan ley sa saimong hurisdiksyon mahalagang marhay kun nakikipag-olay sa parahatol nin paghahagad nin pandadaya kan saimong bangko.

Sa Estados Unidos: Electronic Fund Transfer Act (EFTA) asin Regulation E (12 CFR § 1005) )¶

Sa irarom kan federal Electronic Fund Transfer Act (Regulation E), an Consumer Financial Protection Bureau (CFPB) nagpaluwas nin opisyal na giya sa superbisyon na nagsasabi na: * An induced access sarong "Dai Awtorisadong Elektronikong Pagbalyo nin Pondo": Sa irarom kan 12 CFR § 1005.2(m), an sarong elektronikong pagbalyo nin pondo na pinonan kan sarong tawo na nakakua nin access sa account kan sarong konsumidor sa paagi nin pandadaya o paghabon tinatawan nin kahulugan kan ley bilang sarong dai awtorisadong EFT, dawa kun an konsumidor naloko sa pagtao nin sarong sekretong panlaog, sarong beses na password, o pag-instalar nin software sa harayong desktop. * An kapabayaan dai pwedeng gamiton tanganing isikwal an saimong paghahagad: An Opisyal na Interpretasyon kan CFPB kan Regulation E (Comment 6(b)-2) nagsasabi na an kapabayaan kan konsumidor (arog kan pagkahulog sa sarong phishing pop-up o pagtao nin remote desktop access sa sarong scammer) dai pwedeng gamiton kan sarong bangko tanganing magbugtak nin mas dakulang paninimbagan sa konsumidor kisa Regulation E nagtutugot ($50 pinakahalangkaw kun ibinareta sa laog nin 2 aldaw nin negosyo; $500 pinakahalangkaw sa laog nin 60 aldaw). * Iiba an mga pagbalyo na pig-click kan Scammer kumpara sa mga pig-click kan mga konsumidor: Kun an scammer pigbalyo an mouse asin pig-click an "Ipadara" sa likod kan sarong itom na screen sa laog kan sesyon kan AnyDesk/ScreenConnect, ini sarong Unauthorized EFT na sakop kan Regulation E. Sabihan an bangko sa paagi nin pagsurat: *"Dai ako an nagpoon, nag-awtorisar, o nag-click kan buton para sa pagbalyong ini; sarong kriminal na aktor nin pananakot an nag-eksekutar kan pagbalyo sa harayo gamit an sarong Remote Access Trojan mantang pig-lock an sakuyang screen, na minakompuesto nin sarong dai awtorisadong EFT sa irarom kan 12 CFR § 1005.2(m)."*Napreserbar an saimong Attach." connection_trace.txt log o mga log kan Windows Event Viewer Service Control Manager (Event ID 7045 nagpapahiling kan eksaktong minuto kan ScreenConnect o AnyDesk an serbisyo pig-instalar) bilang forensic proof.

Sa Reino Unido, Unyon Europeo, Canada, asin Australia¶

• Reino Unido (PSR & FOS): Kun an scammer direktang nagkontrol kan saimong kompyuter tanganing ibalyo an mga pondo, ireport ini bilang sarong Dai Awtorisadong Pagbayad sa irarom kan Payment Services Regulations 2017. Kun an scammer nagmaniobra kan saimong screen (Inspect Element pekeng refund) tanganing dayaon ka na mag-awtorisar nin Mas Marikas na Pagbayad, ireport ini sa irarom kan Payment Services Regulator's (PSR) mandatory Awtorisadong Push Payment (APP) Pandadaya mga patakaran sa pagbayad asin ipalakop an anuman na pagnegar sa Serbisyo sa Financial Ombudsman (FOS).
• European Union, Canada, asin Australia: Ireport tulos an pangyayari sa saimong bangko asin nasyonal na pulis, na pigduduon na sarong remote access trojan an nag-ekseher o nagmaniobra kan sesyon. Ipalakop an mga dai naresolberan na iriwal sa bangko sa Ombudsman para sa mga Serbisyo asin Pamumuhunan sa Bangko (OBSI) sa Canada o an Australian Financial Complaints Authority (AFCA) sa Australia sa irarom kan ePayments Code.

Listahan sa paghusay asin pagreport pagkatapos kan insidente¶

Kumpletuhon an lambang bagay sa checklist na ini bago ikonektar giraray an saimong network sa harong o ibalik an normal na online banking:

• Nakumpirma an pisikal na pagsolo: An nakompromisong kompyuter pisikal na nadiskonekta sa Ethernet asin Wi-Fi bago an ano man na dugang pang pag-troubleshoot.
• An mga bank account pig-freeze asin pig-re-numbered: An gabos na numero kan checking, savings, asin HELOC account na nahihiling sa kompyuter isinara asin pig-isyu giraray nin mga bagong numero kan account.
• Nag-purge an mga naka-iskedyul na Bill Pay asin ACH na mga pila: Na-verify sa sarong superbisor kan bangko na mayo nin mga tseke sa Bill Pay na may petsa sa maabot na panahon, mga panluwas na link kan bangko (Plaid), o mga instruksyon sa standing wire idinagdag sa laog kan remote session.
• An mga pagyelo kan kredito aktibo: An mga pagyelo kan seguridad ibinugtak sa Equifax, Experian, TransUnion, asin ChexSystems.
• Mga patakaran sa pagpadara nin email na-audit: Nag-log in sa Gmail/Outlook/Yahoo gikan sa sarong malinig na smartphone asin pig-tsek an Mga Setting -> Pagpasa asin POP/IMAP asin Mga Patakaran / Mga Filter para sa mga natatagong patakaran na auto-delete o nagpapadara nin mga email na igwa nin "Bank", "Fraud", "Wire", o "Security Alert".
• Browser password vault rotated: An lambang password na nakatago sa laog kan Chrome, Edge, Firefox, o Safari password managers binago gikan sa sarong malinig na aparato.
• Mga forensic log na na-save asin mga opisyal na report na-file: I-file an mga report sa FBI IC3 (ic3.gov) asin FTC (reportfraud.ftc.gov) sa Estados Unidos, Action Fraud (actionfraud.police.uk) sa UK, an Canadian Anti-Fraud Centre, o Scamwatch (scamwatch.gov.au) sa Australia. Ireport man an installer binary o connection ID sa connectwise.com/company/trust/report-abuse o anydesk.com/en/abuse.

Mga parating pighahapot¶

Ipinaheling sako kan scammer an sakuyang Windows Event Viewer asin netstat sa Command Prompt asin pano ini nin rinibong mga patanid, mga sala, asin mga koneksyon na "FOREIGN ADDRESS". An sakuyang kompyuter talagang na-hack bago ko sinda inapod?¶

Dai. Pareho `eventvwr` (Windows Event Viewer) asin `netstat` mga normal na administratibong utility na nakabugtak sa lambang kopya kan Windows, asin inaabuso sinda kan mga scammer bilang mga sikolohikal na props. An lambang marahay na kompyuter na Windows naggigibo nin rinibong rutinang dilaw na mga Patanid asin pulang mga Error log sa Event Viewer sa panahon nin normal na mga boot-up asin mga pag-update sa background, asin `netstat` naglilista kan lambang normal na koneksyon sa background na ginigibo kan saimong browser asin operating system sa mga cloud server bilang sarong "Foreign Address." An saimong kompyuter biyong ligtas sagkod sa momento na sinunod mo an mga instruksyon kan nag-apod na i-download asin paandaron an saindang remote access tool.

Paano naipahiling kan scammer an sakuyang tunay na website kan bangko na sinda aksidenteng nagdeposito $40,000 sa sakuyang checking account kun dai ninda ma-hack an server kan bangko?¶

Mantang konektado sa saimong kompyuter sa paagi kan AnyDesk o ScreenConnect, an scammer pig-itom an saimong screen sa laog nin 15 segundo, pig-right-click an saimong balanse sa bangko sa saimong web browser, asin pig-click an **"Inspect" (`Developer Tools`)**. Ini nagbubukas kan lokal na teksto kan HTML na ipinapahiling sa tab kan saimong browser. An paradaya nagtatype sana `$45,200.00` sa ibabaw kan saimong tunay na `$5,200.00` balanse asin nagdadagdag nin pekeng pagbasa nin linya nin teksto `"ACH REFUND OVERPAYMENT +$40,000.00"` sa saimong screen. An pagliwat na ini yaon sana sa laog kan temporaryong memorya kan tab kan saimong browser (`DOM`) asin nawawara sa oras na i-refresh mo an pahina (`F5`) o helingon an saimong balanse sa saimong smartphone app. Sa ibong na lado, sinda nagbabalyo `$40,000` gikan sa saimong sadiring savings account o credit line pasiring sa saimong checking account asin i-relabel an screen tanganing dayaon ka na mag-wire kan saimong sadiring kwarta sa sainda.

Kun i-uninstall ko an AnyDesk o UltraViewer sa Control Panel, ligtas daw akong i-on giraray an sakuyang Wi-Fi?¶

Sa parati dai dai pig-iinspeksyunan an mga Serbisyo kan Windows (`services.msc`) sa Ligtas na Mode nguna. An mga propesyonal na tech support scam call center nakakaaram na an mga biktima parateng nag-uninstall kan AnyDesk o UltraViewer sa oras na sinda magbitay. Kaya, sa laog kan enot na duwang minuto nin pagkonektar sa saimong PC, an mga scammer regular na naggagamit nin silent file transfer tanganing ihulog an sarong segundaryo, natatagong **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) o **SimpleHelp** na ahente na dai naggigibo nin shortcut sa desktop asin nagtatago sa laog `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Apuwera sana kun ma-verify mo sa Safe Mode na mayo nin rogue `SYSTEM` an mga serbisyo o nakaiskedyul na mga gibohon yaon, o maggibo nin bilog na USB OS wipe, an pagkonektar giraray sa Wi-Fi puedeng tulos na itao an kontrol kan saimong PC pabalik sa paraatake.

Pwede daw na ma-access kan sarong scammer an ibang mga kompyuter o smartphone sa sakuyang Wi-Fi network sa harong huli ta nag-install ako nin AnyDesk sa sarong laptop?¶

An pag-instalar kan AnyDesk o ScreenConnect nagkokompromiso kan partikular na kompyuter kun saen mo pinadalagan an installer, bako an saimong mga telepono o iba pang mga laptop nin direkta. Alagad, kun gagamiton mo an **Google Chrome, Microsoft Edge, o Apple iCloud password asin session syncing** sa saimong laptop asin smartphone, an anuman na mga password na hinabon kan scammer o binabago sa naulakitan na laptop makakaapektar sa saimong mga shared cloud account. Siring man, mantang konektado sa saimong laptop, an sarong paraatake pwedeng mag-log in sa admin page kan saimong home router (`192.168.1.1`) kun ginagamit pa man giraray kaini an default na admin password asin binabago an saimong router `DNS` mga setting. Pagkatapos na i-isolate an naulakitan na laptop, i-factory-reset an saimong Wi-Fi router o i-verify an mga setting kan DNS asin admin password kaini gikan sa sarong malinig na aparato.

Mga kaugnay na giya¶

• Suporta sa teknolohiya sa pop-up scam asin paghale kan AnyDesk/TeamViewer sa harayong desktop
• Pag-hijack kan cookie sa sesyon, malware kan infostealer, asin pagbawi kan passkey
• Pekeng CAPTCHA ClickFix PowerShell Win+R clipboard malware asin Lumma Infostealer remediation
• Authorized push payment (APP) app fraud: Zelle, Venmo, asin Faster Payments na pagsaginsagin asin mga deretso sa pagbayad
• Pagbalga sa kuwenta sa bangko
• Mga numero nin emerhensya sosog sa nasyon

Mga pinagkukuanan asin opisyal na giya¶

• Ahensya sa Seguridad sa Cyber asin Imprastraktura (CISA), Federal Bureau of Investigation (FBI), National Security Agency (NSA), & Multi-State Information Sharing and Analysis Center (MS-ISAC) (Estados Unidos): Joint Cybersecurity Advisory (AA23-025A): Pagprotehir Laban sa Malisyosong Paggamit kan Harayong Pagbantay asin Pamamahala (RMM) Software.
• Consumer Financial Protection Bureau (CFPB) (Estados Unidos): Mga Pagbalyo nin Pondo sa Elektroniko (Regulation E, 12 CFR Part 1005) Opisyal na mga Interpretasyon asin FAQ sa mga Dai Awtorisadong EFT asin Fraudulently Induced Access.
• Federal Trade Commission (FTC) (Estados Unidos): Paano Mahihiling, Maiiwasan, asin Ireport an mga Scam sa Suporta sa Teknolohiya.
• National Cyber Security Center (NCSC) & Action Fraud (United Kingdom): Pagprotehir sa mga Device sa mga Dai Awtorisadong Remote Access Tools asin Screen-Sharing Fraud.
• ConnectWise Trust & Security Response Center: Pagmidbid asin Paghale kan Rogue ScreenConnect (ConnectWise Control) Mga Instansya kan Kliyente.