Estafa de soporte técnico del troyano de acceso remoto (ScreenConnect, AnyDesk, RustDesk, UltraViewer): extracción de Ethernet, eliminación de servicios y congelación bancaria¶

Cuando un estafador lo convence para que instale una herramienta de escritorio remoto o ejecuta un agente de monitoreo remoto en su computadora, obtiene control en vivo y sin restricciones sobre su mouse, teclado, sistema de archivos y sesiones activas del navegador. Mientras muestra un análisis de seguridad falso o una cortina de privacidad negra en su monitor, el operador vacía silenciosamente las cuentas corrientes, recopila contraseñas guardadas e instala servicios en segundo plano persistentes que sobreviven a los reinicios estándar. Esta guía proporciona pasos inmediatos para cortar el enlace de datos del atacante, erradicar permanentemente los servicios de acceso remoto desatendidos y bloquear su infraestructura bancaria y crediticia antes de que los fondos salgan de la red cableada.

Haz esto ahora¶

1. Corte toda la conectividad a Internet física e inmediatamente. Desenchufe el cable Ethernet de la parte posterior de su computadora de escritorio o enrutador, active el interruptor físico de Wi-Fi en su computadora portátil o presione y mantenga presionado el botón de encendido de su enrutador Wi-Fi durante 10 segundos hasta que todas las luces se apaguen. No pierda el tiempo tratando de luchar contra el estafador por el control del cursor del mouse para hacer clic en el botón de desconexión.
2. Fuerce el apagado de la computadora comprometida si la pantalla está apagada. Si el atacante habilitó el "Monitor de invitados en blanco" o bloqueó la entrada del teclado, presione y mantenga presionado el botón de encendido físico de su computadora durante 10 segundos completos hasta que la máquina se apague por completo. Déjelo apagado mientras protege sus cuentas financieras desde un dispositivo limpio e independiente.
3. Llame al departamento de fraude de su banco desde un teléfono independiente. Utilice un teléfono celular para llamar al número oficial impreso en el reverso de su tarjeta de débito o crédito, o llame a su número de emergencia local (911 en los Estados Unidos y Canadá, 112 en toda la Unión Europea, 999 en el Reino Unido) si está ocurriendo una amenaza de extorsión activa; ver números de emergencia para contactos internacionales. Indique al banco que coloque un congelamiento inmediato de todas las cuentas corrientes, de ahorro y de línea de crédito, y exija un retiro de emergencia de cualquier transferencia pendiente de cámara de compensación automatizada (ACH), cablegráfica o de pago en tiempo real.
4. Revoque las cookies de sesión activa y cambie las contraseñas desde un teléfono inteligente limpio. Usando su teléfono con datos móviles (no conectado a la red Wi-Fi de su hogar si la PC comprometida vuelve a estar encendida), inicie sesión en su correo electrónico principal, portales bancarios y cuentas de almacenamiento en la nube. Finalice todas las sesiones de inicio de sesión activas, revoque los dispositivos de autenticación multifactor (MFA) no reconocidos y rote sus contraseñas.
5. Inicie la computadora infectada en Modo seguro sin conexión a red. Vuelva a encender la computadora comprometida solo cuando esté desconectada de Internet, ingresando al Modo seguro de Windows o al Modo seguro de macOS para inspeccionar y eliminar los servicios en segundo plano desatendidos (ScreenConnect Client, AnyDesk Service, RustDesk Service) antes de que el sistema operativo cargue controladores de red de terceros.

Comprender la anatomía de un RMM comercial y un ataque de escritorio remoto¶

Las estafas modernas de soporte técnico, los fraudes de reembolso y los ataques de suplantación de identidad de bancos rara vez se basan en virus informáticos personalizados. En cambio, los actores de amenazas abusan de la supervisión y gestión remotas legítimas y firmadas digitalmente (RMM) software y herramientas comerciales de escritorio remoto. Debido a que estos ejecutables llevan certificados de firma de código criptográfico válidos de proveedores de software confiables, los programas antivirus estándar como Windows Defender o macOS XProtect no bloquean su instalación.

Cómo los atacantes utilizan como arma los binarios legítimos de soporte remoto¶

Cuando una víctima llama a un número gratuito que aparece en una ventana emergente falsa del navegador, responde a un correo electrónico con una factura urgente o sigue instrucciones de un investigador de fraude bancario falso, el operador le indica que descargue un ejecutable o un instalador MSI. Las plataformas de las que más se abusa incluyen:

• ConnectWise ScreenConnect (anteriormente Control): A menudo se implementa a través de un .msi o .exe paquete alojado en un servidor controlado por un atacante. Una vez ejecutado, se instala como un servicio persistente del sistema de Windows (ScreenConnect Client (xxxx)) corriendo con NT AUTHORITY\SYSTEM privilegios, otorgando acceso silencioso y desatendido siempre que la computadora esté en línea.
• Cualquier escritorio (anydesk.exe): Se utiliza con frecuencia en estafas multiplataforma dirigidas a Windows, macOS y dispositivos móviles. Los atacantes indican a la víctima que lea en voz alta la dirección de AnyDesk de 9 dígitos, solicite una elevación administrativa y establezca una "contraseña de acceso desatendido" para volver a conectarse mientras la víctima duerme.
• ** Escritorio óxido (rustdesk.exe):** Una herramienta de escritorio remoto de código abierto favorecida por los sindicatos fraudulentos porque pueden alojar servidores de retransmisión por sí mismos, evitando las eliminaciones por abuso de los proveedores.
• UltraViewer, TeamViewer, Zoho Assist y SimpleHelp: Comúnmente encadenados. Un estafador que se conecta a través de UltraViewer o AnyDesk a menudo instalará silenciosamente un ScreenConnect o SimpleHelp paquete en segundo plano como puerta trasera de respaldo.

Flujo de trabajo de emergencia: cortar la conexión y clasificar los daños¶

Utilice el siguiente diagrama de flujo operativo para detener una sesión remota activa, aislar la estación de trabajo y determinar si la máquina se puede limpiar en modo seguro o requiere una limpieza completa del sistema operativo.

flowchart TD
    A["Estafa de acceso remoto activa o reciente detectada"] --> B["Desenchufe físicamente el cable Ethernet y apague el enrutador Wi-Fi"]
    B --> C{"¿Está la pantalla apagada o el mouse bloqueado?"}
    C -- "Sí" --> D["Mantenga presionado el botón de encendido físico de la PC durante 10 segundos para forzar el apagado"]
    C -- "No" --> E["Active el modo avión y apague la PC normalmente"]
    D --> F["Utilice un teléfono inteligente limpio con datos móviles para llamar al Departamento de Fraude Bancario"]
    E --> F
    F --> G["Congelar cuentas de cheques/ahorros, retirar transferencias bancarias/Zelle, bloquear oficinas de crédito"]
    G --> H["Desde un teléfono inteligente limpio: rotar contraseñas bancarias/de correo electrónico y eliminar sesiones"]
    H --> I{"¿El estafador tuvo acceso desatendido o ejecutó CMD/PowerShell?"}
    I -- "Sí (alto riesgo)" --> J["Inicie la PC sin conexión en modo seguro para rescatar solo documentos personales"]
    I -- "No (Breve Sesión Supervisada)" --> K["Arranque sin conexión en modo seguro para purgar los servicios y certificados de RMM"]
    J --> L["Realice una reinstalación completa y limpia del sistema operativo a través de un dispositivo USB desde una PC limpia"]
    K --> M["Eliminar servicios, tareas programadas, datos de aplicaciones y extensiones del navegador de auditoría"]

Comparación de herramientas de acceso remoto de las que abusan los estafadores¶

Antes de intentar limpiar una máquina o informar el incidente al equipo forense de fraude de su banco, identifique qué herramientas remotas se instalaron. Recuerde que los estafadores instalan habitualmente dos o tres herramientas diferentes durante una sola sesión, de modo que si desinstala el icono visible del escritorio, su servicio secundario oculto permanece activo.

Triaje bancario y financiero paso a paso (Primeros 30 minutos)¶

En una estafa de acceso remoto, la infección de la computadora es sólo el mecanismo de entrega; la emergencia principal es el robo financiero agudo. Los atacantes utilizan trucos psicológicos y técnicos, como editar el código fuente HTML (Inspect Element) de la página web de su banco para simular un accidente $40,000 pago excesivo en lugar de $400, para engañarlo para que transfiera dinero, compre tarjetas de regalo o deposite efectivo en un cajero automático de Bitcoin. Incluso si usted se negó a enviar dinero, un atacante con acceso remoto puede iniciar transferencias directamente mientras su pantalla está apagada.

1. Realizar un congelamiento inmediato e iniciar retiros de transferencias¶

Llame inmediatamente al departamento dedicado a fraudes de su institución financiera utilizando un teléfono limpio. Indique claramente: "Mi computadora fue comprometida por un troyano de acceso remoto durante una estafa de soporte técnico/suplantación de identidad bancaria. Una parte no autorizada tuvo acceso en vivo a mi sesión bancaria en línea". Exija las siguientes acciones específicas:

• Bloqueo de perfil de banca en línea: Haga que el banco desactive por completo sus credenciales de inicio de sesión de banca móvil y en línea e invalide todos los tokens de OAuth activos y las cookies de sesión.
• Retiro de ACH, transferencia bancaria y RTP (SWIFT / Fedwire / Faster Payments): Pídale al representante que inspeccione su cuenta en busca de cualquier Cámara de Compensación Automatizada saliente pendiente o en cola (ACH) transferencias, transferencias bancarias nacionales/internacionales, Zelle / Venmo pagos o cheques de "Pago de facturas" programados para fechas futuras. Los estafadores a menudo programan un cheque de pago de facturas o una transferencia ACH posfechada para que se ejecute de 3 a 5 días después, con la esperanza de que usted no se dé cuenta.
• Sustitución de número de cuenta: Debido a que el atacante probablemente vio sus números completos de cuenta corriente y de ruta (o descargó extractos bancarios en formato PDF desde su navegador), congelar la tarjeta de débito por sí sola no es suficiente. Debe solicitar que el banco cierre los números de cuenta comprometidos y transfiera sus saldos a números de cuenta nuevos con "No publicar débitos" (PND) restricciones a las cuentas antiguas.
• Compruebe si hay transferencias internas ocultas o adelantos en efectivo: Los atacantes frecuentemente toman un adelanto en efectivo de su tarjeta de crédito vinculada o de su línea de crédito sobre el valor de la vivienda (HELOC) y transfiéralo primero a su cuenta corriente, ya sea para hacerle creer que le "reembolsaron en exceso accidentalmente" o para reunir la máxima liquidez antes de transferir el saldo combinado al extranjero. Dígale al especialista en fraude bancario que verifique si se produjo alguna transferencia intrabancaria entre sus cuentas de ahorro, tarjeta de crédito o corretaje.

2. Congelar burós de crédito y verificar si hay nuevas solicitudes de préstamos¶

Mientras está conectado a su PC, los estafadores rutinariamente buscan su Downloads o Documents carpetas para palabras clave como tax, 1040, W2, passport, license, o password y extraiga sus declaraciones de impuestos y escaneos de identificación.

1. Realice un congelamiento de seguridad gratuito en todas las principales agencias de crédito inmediatamente usando su teléfono inteligente limpio:
2. En Estados Unidos: Congelar Equifax (1-888-298-0045), Experiano (1-888-397-3742), TransUnión (1-800-916-8800), y ChexSystems (1-800-428-9687).
3. En el Reino Unido: Comuníquese con Experian, Equifax y TransUnion y regístrese para el Registro de protección Cifas.
4. En Canadá: Realice congelaciones de crédito o alertas de fraude con Equifax Canadá y TransUnion Canadá.
5. En Australia: Solicite una prohibición de crédito a través de Equifax, Illion y Experian.
6. Revise su informe de crédito de inmediato para ver si hay consultas exhaustivas realizadas en las últimas 24 horas; Los estafadores a menudo solicitan préstamos personales instantáneos en línea en una pestaña del navegador en segundo plano mientras hablan con usted.

Erradicar los servicios de acceso remoto en modo seguro (Windows y macOS)¶

Si decide inspeccionar la máquina, conservar registros forenses para las autoridades o rescatar fotografías personales irremplazables antes de limpiar el disco duro, nunca inicie la computadora en modo normal mientras esté conectada a Internet. En el momento en que se completa un arranque normal con Wi-Fi activo, aparece un mensaje persistente. ScreenConnect o AnyDesk El servicio llamará a la consola del estafador y le avisará que su máquina vuelve a estar en línea.

Fase 1: iniciar en modo seguro sin conexión a red¶

En Windows 10 y Windows 11¶

1. Asegúrese de que el cable Ethernet esté desconectado y que el enrutador Wi-Fi de su hogar esté desconectado o que el Modo avión esté activo.
2. Encienda la computadora. En la pantalla de inicio de sesión de Windows, mantenga presionada la tecla Mayús izquierda mientras hace clic en Encendido -> Reiniciar.
3. En la pantalla azul de recuperación, seleccione Solucionar problemas -> Opciones avanzadas -> Configuración de inicio -> Reiniciar.
4. Cuando aparezca la lista de opciones de inicio, presione 4 o F4 (Enable Safe Mode). No presione 5 (Safe Mode with Networking).

En macOS (Apple Silicon e Intel)¶

1. Apague la Mac y apague su enrutador Wi-Fi.
2. Silicona de Apple (M1/M2/M3/M4): Mantenga presionado el botón de Encendido hasta que aparezca "Cargando opciones de inicio". Seleccione su disco de inicio, mantenga presionada la tecla Shift y haga clic en Continuar en modo seguro.
3. Intel Mac: Encienda la Mac e inmediatamente mantenga presionada la tecla Shift hasta que aparezca la ventana de inicio de sesión.

Fase 2: buscar y finalizar servicios persistentes de Windows¶

La desinstalación estándar a través de "Agregar o quitar programas" a menudo no logra eliminar los programas personalizados. ScreenConnect MSI se crea porque los atacantes eliminan la entrada del desinstalador del Registro de Windows o implementan varias instancias con nombres de servicios hexadecimales aleatorios.

1. En el modo seguro de Windows, presione Win + R, tipo services.mscy presione Entrar.
2. Haga clic en la columna Nombre para ordenar alfabéticamente e inspeccione cuidadosamente cada servicio en busca de los siguientes nombres:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Nota: Puede haber dos o tres ScreenConnect Client entradas con diferentes cadenas alfanuméricas de 16 caracteres entre paréntesis, donde cada una representa un servidor estafador diferente).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent o SimpleHelp Remote Access
9. Por cada servicio sospechoso que encuentre, haga clic derecho y seleccione Propiedades.
10. Lea atentamente el campo Ruta al ejecutable y anótelo (por ejemplo, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Cambie el menú desplegable Tipo de inicio a Desactivado, haga clic en Detener (si se está ejecutando) y haga clic en Aplicar y Aceptar.
12. A continuación, abra un símbolo del sistema elevado (Win + X -> Terminal (Admin) o Símbolo del sistema (Admin)) y elimine permanentemente los registros de servicio utilizando el nombre exacto del servicio que aparece en la ventana de propiedades:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Para ScreenConnect, consulte todas las instancias instaladas y elimine cada una por su nombre de clave de servicio exacto:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Fase 3: Purga de tareas programadas, carpetas de inicio y directorios ocultos¶

Incluso después de eliminar un servicio de Windows, los atacantes a menudo configuran una tarea programada que vuelve a descargar el agente remoto a través de powershell.exe o mshta.exe cada vez que un usuario inicia sesión.

1. prensa Win + R, tipo taskschd.mscy presione Entrar para abrir el Programador de tareas.
2. Haga clic en Biblioteca del Programador de tareas en el panel izquierdo. Expanda cada subcarpeta e inspeccione la pestaña Acciones de cada tarea programada. Elimine cualquier tarea que inicie archivos binarios desde C:\Users\<User>\AppData\, C:\ProgramData\, o invoca curl, bitsadmin, powershell -WindowStyle Hidden, o cualquier ejecutable de escritorio remoto.
3. prensa Win + R, tipo shell:startupy presione Entrar. Elimine cualquier acceso directo o .bat / .vbs scripts colocados en la carpeta de inicio de su usuario. Repita esto escribiendo shell:common startup para inspeccionar la carpeta de Inicio de todo el sistema.
4. Habilite la visualización de archivos ocultos en el Explorador de archivos (Ver -> Mostrar -> Elementos ocultos) y elimine manualmente los directorios de aplicaciones y los cachés de configuración para todas las herramientas remotas:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ y C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ y C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ y C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Fase 4: Eliminación de LaunchDaemons, LaunchAgents y subvenciones de privacidad de macOS¶

En macOS, las herramientas de acceso remoto establecen persistencia a través de LaunchDaemons (en todo el sistema) y LaunchAgents (nivel de usuario), combinado con macOS TCC (Transparencia, Consentimiento y Control) permisos para Grabación de pantalla y Accesibilidad.

1. Mientras estás en el modo seguro de macOS (sin conexión), abre Finder, presiona Cmd + Shift + G (Go to Folder) e inspeccione los siguientes tres directorios uno por uno:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Arrastra cualquier .plist archivos que contienen connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, o simplehelp a la Papelera.
6. A continuación, abre /Applications/ y /Library/Application Support/ y mueva los paquetes de aplicaciones de acceso remoto y las carpetas de soporte correspondientes a la Papelera.
7. Abra Configuración del sistema -> Privacidad y seguridad. Consulte dos secciones críticas:
8. Grabación de audio de pantalla y sistema: Seleccione cualquier herramienta de soporte remoto de la lista y haga clic en el signo menos (-) para revocar su capacidad de ver su pantalla.
9. Accesibilidad: Seleccione cualquier herramienta de soporte remoto y haga clic en el signo menos (-) para revocar su capacidad de controlar el cursor del mouse y sintetizar las pulsaciones de teclas.
10. Acceso total al disco: Verifique que a ninguna aplicación desconocida o contenedor de terminal se le haya otorgado acceso total al disco.

Revertir bloqueos de contraseña de Windows y pancartas de inicio falsas¶

Antes de desconectarse, los estafadores vengativos frecuentemente bloquean a las víctimas de sus computadoras y exigen un rescate por la contraseña. Utilizan tres métodos principales:

1. Cambiar su contraseña local de Windows (net user) o agregar una cuenta de administrador fraudulenta¶

Mientras la cortina de su pantalla está activa, los estafadores suelen abrir un símbolo del sistema elevado y ejecutar net user <YourUsername> <NewPassword> o crear una cuenta de administrador de puerta trasera (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Cómo verificar y solucionar: En modo seguro, abra un símbolo del sistema elevado (cmd.exe como Administrador) y escriba net user. Si ve una cuenta desconocida, elimínela inmediatamente con net user <RogueAccountName> /delete. Si se cambió su contraseña local, inicie desde un USB de instalación de Windows en el entorno de recuperación de Windows (WinRE) para restaurar un punto de restauración del sistema anterior, o inicie sesión con su cuenta de Microsoft vinculada después de restablecer su contraseña en un teléfono inteligente limpio.

2. Habilitar un banner de mensaje de inicio a través del Registro (LegalNoticeCaption)¶

Los estafadores suelen modificar HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System estableciendo LegalNoticeCaption y LegalNoticeText para mostrar un número de teléfono de bloqueo de seguridad de Microsoft falso antes de iniciar sesión. * Cómo solucionarlo: Esta es puramente una pantalla de texto cosmética antes del mensaje normal de inicio de sesión de Windows. Haga clic en Aceptar o presione Entrar para omitirlo y abrir. regedit en modo seguro, vaya a HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemy borre el texto dentro LegalNoticeCaption y LegalNoticeText.

3. Bloqueos de PIN de arranque seguro (bcdedit)¶

Microsoft eliminó el legado syskey.exe herramienta en Windows 10 versión 1709. Hoy en día, los estafadores marcan Arranque seguro dentro msconfig y reinicie su PC sin conexión. Debido a que los PIN de Windows Hello a menudo fallan en la pantalla de inicio de sesión en modo seguro sin acceso a la red, las víctimas quedan atrapadas en un bucle de arranque. * Cómo solucionarlo: Mantenga presionado Shift + Reiniciar en la pantalla de inicio de sesión, seleccione Solucionar problemas -> Opciones avanzadas -> Símbolo del sistema y ejecute:

bcdedit /deletevalue {current} safeboot

Reinicie la computadora normalmente (manteniendo su enrutador de Internet desconectado) para que pueda iniciar sesión con su contraseña o PIN almacenado en caché y eliminar el software remoto.

Por qué el robo de sesiones del navegador y los ladrones de información requieren un borrado completo del sistema operativo¶

Incluso si eliminas el ScreenConnect, AnyDesk, o RustDesk servicios en modo seguro, debe evaluar si el estafador implementó un Infostealer secundario (Lumma, RedLine, Vidar, Stealc) o copió el directorio de perfil de su navegador.

Durante una sesión remota desatendida, un atacante tarda menos de 8 segundos en ejecutar un script de PowerShell que copia su directorio de datos de usuario de Google Chrome, Microsoft Edge o Brave (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) junto con el local DPAPI clave maestra de descifrado. Con esos archivos en su servidor, el atacante posee:

1. Cada contraseña guardada en el administrador de contraseñas integrado de su navegador web.
2. Cookies de sesión activa (Cookies y Network\Cookies Bases de datos SQLite): Incluso si su correo electrónico o banco utiliza autenticación de dos factores (2FA), poseer su cookie de token de sesión descifrada le permite al atacante importar su perfil de navegador a un navegador antidetección en su máquina y acceder a su cuenta de Gmail, Outlook, Amazon o de intercambio de criptomonedas sin necesidad de una contraseña o 2FA código.
3. Bóvedas de billeteras de criptomonedas basadas en navegador (MetaMask, Phantom, Rabby): Archivos de bóveda cifrados en el interior Local Extension Settings son exfiltrados para realizar fuerza bruta fuera de línea.

Cuándo debe realizar una reinstalación limpia del sistema operativo USB¶

Si bien la eliminación del servicio Modo seguro es suficiente si atrapa al estafador dentro de los 10 segundos posteriores a la instalación de AnyDesk y nunca le dio elevación de administrador o acceso desatendido, debe limpiar la unidad y realizar una instalación limpia del sistema operativo desde una memoria USB si ocurre cualquiera de las siguientes situaciones:

• Tu pantalla se puso negra (Blank Guest Monitor) o su mouse/teclado estaba bloqueado.
• Viste un símbolo del sistema (cmd.exe) o la ventana de PowerShell parpadean en la pantalla.
• Dejaste la computadora desatendida mientras el estafador realizaba un análisis de seguridad falso.
• tu instalaste ConnectWise ScreenConnect (que se ejecuta como SYSTEM de forma predeterminada y permite la ejecución de scripts de shell invisibles en segundo plano).

Para realizar una reinstalación segura: 1. Mientras está fuera de línea en Modo seguro, conecte una unidad flash USB nueva a la PC comprometida y copie solo archivos de datos personales (.jpg, .pdf, .docx, .xlsx, vídeos familiares). Nunca copiar .exe, .msi, .bat, .ps1o carpetas de perfil del navegador. 2. Usando una computadora limpia y diferente, descargue la herramienta oficial de creación de Windows Media de Microsoft (microsoft.com/software-download) o cree un instalador de macOS de arranque. 3. Inicie la PC comprometida desde el instalador USB limpio, elimine todas las particiones existentes en la unidad principal (Drive 0) e instale una copia nueva del sistema operativo.

Preservando su derecho legal al reembolso bancario¶

Los bancos frecuentemente intentan denegar reclamos de reembolso por fraude en estafas de acceso remoto argumentando que debido a que hizo clic en "Descargar" en AnyDesk o ScreenConnect, "autorizó" las transacciones o actuó con negligencia grave. Saber cómo funcionan las protecciones legales para la banca de consumo en su jurisdicción es fundamental al hablar con el juez de reclamos por fraude de su banco.

En los Estados Unidos: Ley de Transferencia Electrónica de Fondos (EFTA) y Regulation E (12 CFR § 1005)¶

Según la Ley federal de transferencia electrónica de fondos (Regulation E), la Oficina de Protección Financiera del Consumidor (CFPB) ha emitido orientaciones oficiales de supervisión que establecen que: * El acceso inducido sigue siendo una "Transferencia electrónica de fondos no autorizada": Según 12 CFR § 1005.2(m), una transferencia electrónica de fondos iniciada por una persona que obtuvo acceso a la cuenta de un consumidor mediante fraude o robo se define por ley como una EFT no autorizada, incluso si el consumidor fue engañado para que proporcionara una contraseña, un código de acceso de un solo uso o instalara un software de escritorio remoto. * La negligencia no se puede utilizar para negar su reclamo: La interpretación oficial de la CFPB de Regulation E (Comment 6(b)-2) establece que la negligencia del consumidor (como caer en una ventana emergente de phishing o conceder acceso a escritorio remoto a un estafador) no puede ser utilizada por un banco para imponer una mayor responsabilidad al consumidor que Regulation E permite ($50 máximo si se informa dentro de los 2 días hábiles; $500 máximo dentro de 60 días). * Distinga entre transferencias en las que hizo clic el estafador y en las que hizo clic el consumidor: Si el estafador movió el mouse e hizo clic en "Enviar" detrás de una pantalla negra durante la sesión de AnyDesk/ScreenConnect, es una EFT no autorizada cubierta por Regulation E. Informe al banco por escrito: "No inicié, autoricé ni hice clic en el botón de esta transferencia; un actor de amenaza criminal ejecutó la transferencia de forma remota utilizando un troyano de acceso remoto mientras bloqueaba mi pantalla, lo que constituye una EFT no autorizada según 12 CFR § 1005.2(m)." Adjunte su documento conservado. connection_trace.txt registro o registros del Administrador de control de servicios del Visor de eventos de Windows (Event ID 7045 mostrando el minuto exacto ScreenConnect o AnyDesk instalado el servicio) como prueba forense.

En el Reino Unido, la Unión Europea, Canadá y Australia¶

• Reino Unido (PSR & FOS): Si el estafador controló su computadora directamente para mover fondos, repórtelo como Pago no autorizado según el Reglamento de servicios de pago de 2017. Si el estafador manipuló su pantalla (Inspect Element reembolso falso) para engañarlo y que usted mismo autorice un pago más rápido, infórmelo según el regulador de servicios de pago (PSR) obligatorio Pago push autorizado (APP) Fraude reglas de reembolso y elevar cualquier denegación al Servicio del Defensor del Pueblo Financiero (FOS).
• Unión Europea, Canadá y Australia: Informe el incidente inmediatamente a su banco y a la policía nacional, enfatizando que un troyano de acceso remoto ejecutó o manipuló la sesión. Escalar disputas bancarias no resueltas al Defensor del Pueblo de Servicios Bancarios e Inversiones (OBSI) en Canadá o la Autoridad Australiana de Quejas Financieras (AFCA) en Australia bajo el ePayments Code.

Lista de verificación de informes y remediación posterior al incidente¶

Complete todos los elementos de esta lista de verificación antes de volver a conectar su red doméstica o reanudar la banca en línea normal:

• Aislamiento físico confirmado: La computadora comprometida se desconectó físicamente de Ethernet y Wi-Fi antes de seguir solucionando el problema.
• Cuentas bancarias congeladas y renumeradas: Todos los números de cuentas corrientes, de ahorro y HELOC que estaban visibles en la computadora se cerraron y se volvieron a emitir con nuevos números de cuenta.
• Colas de pago de facturas programado y ACH eliminadas: Verificado con un supervisor bancario que no hay cheques de pago de facturas con fecha futura, enlaces bancarios externos (Plaid), o se agregaron instrucciones sobre cable permanente durante la sesión remota.
• Congelaciones de crédito activas: Congelaciones de seguridad realizadas con Equifax, Experian, TransUnion y ChexSystems.
• Reglas de reenvío de correo electrónico auditadas: Inicié sesión en Gmail/Outlook/Yahoo desde un teléfono inteligente limpio y marqué Configuración -> Reenvío y POP/IMAP y Reglas/Filtros para reglas ocultas que eliminan o reenvían automáticamente correos electrónicos que contienen "Bank", "Fraud", "Wire", o "Security Alert".
• Se cambió la bóveda de contraseñas del navegador: Todas las contraseñas almacenadas en los administradores de contraseñas de Chrome, Edge, Firefox o Safari se cambiaron desde un dispositivo limpio.
• Registros forenses guardados e informes oficiales archivados: Presentar informes ante el FBI IC3 (ic3.gov) y FTC (reportfraud.ftc.gov) en EE. UU., Acción Fraude (actionfraud.police.uk) en el Reino Unido, el Centro Canadiense Antifraude o Scamwatch (scamwatch.gov.au) en Australia. Informe también el binario del instalador o el ID de conexión a connectwise.com/company/trust/report-abuse o anydesk.com/en/abuse.

Preguntas frecuentes¶

El estafador me mostró mi Visor de eventos de Windows y netstat en el símbolo del sistema y estaba lleno de miles de advertencias, errores y conexiones de "DIRECCIÓN EXTRANJERA". ¿Mi computadora realmente fue pirateada antes de llamarlos?¶

No. Ambos `eventvwr` (Visor de eventos de Windows) y `netstat` son utilidades administrativas normales integradas en cada copia de Windows, y los estafadores abusan de ellas como apoyo psicológico. Cada computadora con Windows en buen estado genera miles de registros rutinarios de advertencias amarillas y de errores rojos en el Visor de eventos durante los arranques normales y las actualizaciones en segundo plano, y `netstat` enumera todas las conexiones normales en segundo plano que su navegador y sistema operativo realizan a los servidores en la nube como una "Dirección extranjera". Su computadora estuvo completamente segura hasta el momento en que siguió las instrucciones de la persona que llamó para descargar y ejecutar su herramienta de acceso remoto.

¿Cómo hizo el estafador para que el sitio web de mi banco real mostrara que depositaron accidentalmente? $40,000 en mi cuenta corriente si no pueden hackear el servidor del banco?¶

Mientras está conectado a su computadora a través de AnyDesk o ScreenConnect, el estafador bloquea su pantalla durante 15 segundos, hace clic derecho en su saldo bancario en su navegador web y hace clic en **"Inspeccionar" (`Developer Tools`)**. Esto abre el texto HTML local que se muestra en la pestaña de su navegador. El estafador simplemente escribe `$45,200.00` sobre tu real `$5,200.00` equilibra y agrega una lectura de línea de texto falsa `"ACH REFUND OVERPAYMENT +$40,000.00"` en tu pantalla. Esta edición existe sólo dentro de la memoria temporal de la pestaña de su navegador (`DOM`) y desaparece en el instante en que actualizas la página (`F5`) o consulte su saldo en la aplicación de su teléfono inteligente. Alternativamente, transfieren `$40,000` desde su propia cuenta de ahorros o línea de crédito a su cuenta corriente y vuelva a etiquetar la pantalla para engañarlo y transferirles su propio dinero.

Si desinstalé AnyDesk o UltraViewer desde el Panel de control, ¿puedo volver a encender mi Wi-Fi de forma segura?¶

Generalmente no sin inspeccionar los servicios de Windows (`services.msc`) en modo seguro primero. Los centros de llamadas de soporte técnico profesional sobre estafas saben que las víctimas suelen desinstalar AnyDesk o UltraViewer tan pronto como cuelgan. Por lo tanto, dentro de los primeros dos minutos de conectarse a su PC, los estafadores utilizan habitualmente la transferencia silenciosa de archivos para colocar un **ConnectWise ScreenConnect** secundario y oculto (`ScreenConnect.ClientService.exe`) o agente **SimpleHelp** que no crea un acceso directo en el escritorio y se esconde en su interior `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. A menos que verifiques en Modo Seguro que no hay ningún pícaro `SYSTEM` Si existen servicios o tareas programadas, o realiza un borrado completo del sistema operativo USB, volver a conectarse a Wi-Fi puede devolver inmediatamente el control de su PC al atacante.

¿Puede un estafador acceder a otras computadoras o teléfonos inteligentes en la red Wi-Fi de mi hogar solo porque instalé AnyDesk en una computadora portátil?¶

La instalación de AnyDesk o ScreenConnect compromete la computadora específica donde ejecutó el instalador, no sus teléfonos u otras computadoras portátiles directamente. Sin embargo, si utiliza **la sincronización de sesión y contraseña de Google Chrome, Microsoft Edge o Apple iCloud** en su computadora portátil y teléfono inteligente, cualquier contraseña que el estafador robe o cambie en la computadora portátil infectada afectará sus cuentas compartidas en la nube. Además, mientras está conectado a su computadora portátil, un atacante puede iniciar sesión en la página de administración de su enrutador doméstico (`192.168.1.1`) si todavía usa la contraseña de administrador predeterminada y modifica la de su enrutador `DNS` ajustes. Después de aislar la computadora portátil infectada, restablezca los valores de fábrica de su enrutador Wi-Fi o verifique su configuración de DNS y contraseña de administrador desde un dispositivo limpio.

Guías relacionadas¶

• Estafa emergente de soporte técnico y eliminación de AnyDesk/TeamViewer de escritorio remoto
• Secuestro de cookies de sesión, malware de robo de información y revocación de claves de acceso
• Falso malware de portapapeles CAPTCHA ClickFix PowerShell Win+R y corrección de Lumma Infostealer
• Fraude autorizado en aplicaciones de pago push (APP): derechos de suplantación y reembolso de Zelle, Venmo y Faster Payments
• Violación de cuenta bancaria
• Números de emergencia por país

Fuentes y orientación oficial¶

• Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), Oficina Federal de Investigaciones (FBI), Agencia de Seguridad Nacional (NSA), & Centro de análisis e intercambio de información entre varios estados (MS-ISAC) (Estados Unidos): Asesoramiento conjunto sobre ciberseguridad (AA23-025A): Protección contra el uso malicioso de la supervisión y gestión remotas (RMM) Software.
• Oficina de Protección Financiera del Consumidor (CFPB) (Estados Unidos): Transferencias Electrónicas de Fondos (Regulation E, 12 CFR Part 1005) Interpretaciones oficiales y preguntas frecuentes sobre EFT no autorizadas y acceso inducido fraudulentamente.
• Comisión Federal de Comercio (FTC) (Estados Unidos): Cómo detectar, evitar y denunciar estafas de soporte técnico.
• Centro Nacional de Seguridad Cibernética (NCSC) y Action Fraud (Reino Unido): Protección de dispositivos contra herramientas de acceso remoto no autorizado y fraude al compartir pantalla.
• Centro de respuesta de confianza y seguridad de ConnectWise: Identificación y eliminación de ScreenConnect no autorizado (ConnectWise Control) Instancias de cliente.