Kaugjuurdepääsuga trooja (ScreenConnect, AnyDesk, RustDesk, UltraViewer) tehnilise toe pettus: Etherneti tõmbamine, teenuste tapmine ja pankade külmutamine¶

Kui pettur veenab teid installima kaugtöölaua tööriista või käivitab teie arvutis kaugseireagendi, saavad nad piiramatu kontrolli teie hiire, klaviatuuri, failisüsteemi ja aktiivsete brauseri seansside üle. Kui operaator kuvab teie monitoril võltsitud turvaskanni või musta privaatsuskardina, tühjendab operaator vaikselt kontrollimise kontosid, kogub salvestatud paroolid ja installib püsivaid taustteenuseid, mis jäävad püsima ka tavaliste taaskäivituste korral. See juhend pakub viivitamatuid samme ründaja andmesideühenduse katkestamiseks, järelevalveta kaugjuurdepääsuteenuste püsivaks likvideerimiseks ning pangandus- ja krediidiinfrastruktuuri lukustamiseks enne, kui raha juhtmevõrgu tühjendab.

Tehke seda kohe¶

1. Katkesta kogu Interneti-ühendus füüsiliselt ja kohe. Ühendage Etherneti kaabel lauaarvuti või ruuteri tagaküljelt lahti, keerake sülearvuti füüsilist WiFi-lülitit või vajutage ja hoidke WiFi-ruuteri toitenuppu 10 sekundit all, kuni kõik tuled kustuvad. Ärge raisake aega püüdes võidelda petturiga hiirekursori juhtimise eest, et klõpsata ühenduse katkestamise nuppu.
2. Sundsulgege ohustatud arvuti, kui ekraan on pime. Kui ründaja on lubanud funktsiooni „Tühi külalismonitor” või lukustanud teie klaviatuurisisendi, vajutage ja hoidke arvuti füüsilist toitenuppu 10 täissekundit all, kuni masin täielikult välja lülitub. Jätke see välja lülitatuks, kuni kaitsete oma finantskontosid eraldi puhtast seadmest.
3. Helistage oma panga pettuste osakonda sõltumatult telefonilt. Kasutage oma deebet- või krediitkaardi tagaküljele trükitud ametlikule numbrile helistamiseks mobiiltelefoni või helistage kohalikule hädaabinumbrile (911 Ameerika Ühendriikides ja Kanadas, 112 kogu Euroopa Liidus, 999 Ühendkuningriigis), kui esineb aktiivne väljapressimisoht; vaata hädaabinumbrid rahvusvaheliste kontaktide jaoks. Andke pangale korraldus viivitamatult külmutada kõik arveldus-, säästu- ja krediidiliinikontod ning nõuda kõigi pooleliolevate automatiseeritud arvelduskoja (ACH), pangaülekande või reaalajas maksete ülekannete erakorralist tagasivõtmist.
4. Tühistage aktiivsed seansiküpsised ja muutke puhtast nutitelefonist paroole. Kasutage oma telefoni mobiilse andmeside kaudu (ei ole ühendatud koduse WiFi-ga, kui ohustatud arvuti on uuesti sisse lülitatud), logige sisse oma peamisse e-posti, pangaportaalidesse ja pilvesalvestuskontodele. Lõpetage kõik aktiivsed sisselogimisseansid, tühistage tundmatud mitmefaktorilise autentimise (MFA) seadmed ja muutke oma paroole.
5. Käivitage nakatunud arvuti turvarežiimi ilma võrguühenduseta. Lülitage ohustatud arvuti uuesti sisse ainult siis, kui see on Interneti-ühenduseta, sisenedes Windowsi turvarežiimi või macOS-i turvarežiimi, et kontrollida ja eemaldada järelevalveta taustateenuseid (ScreenConnect Client, AnyDesk Service, RustDesk Service) enne, kui operatsioonisüsteem laadib kolmanda osapoole võrgudraiverid.

Kaubandusliku RMM-i ja kaugtöölaua rünnaku anatoomia mõistmine¶

Kaasaegsed tehnilise toe pettused, raha tagasimaksmise pettused ja pankade teisena esinemise rünnakud tuginevad harva kohandatud arvutiviirustele. Selle asemel kuritarvitavad ohutegijad legitiimset, digitaalselt allkirjastatud kaugseiret ja -haldust (RMM) tarkvara ja kaubanduslikud kaugtöölaua tööriistad. Kuna need käivitatavad failid kannavad usaldusväärsete tarkvaratootjate kehtivaid krüptograafilisi koodi allkirjastamise sertifikaate, ei blokeeri standardsed viirusetõrjeprogrammid, nagu Windows Defender või macOS XProtect, nende installimist.

Kuidas ründajad relvastavad seaduslikke kaugtoe binaarfaile¶

Kui ohver helistab võltsitud brauseri hüpikaknas kuvatud tasuta numbrile, vastab kiireloomulisele arve e-kirjale või järgib võltspangapettuste uurija juhiseid, suunab operaator tal alla laadima käivitatava või MSI installiprogrammi. Kõige enam kuritarvitatud platvormide hulka kuuluvad:

• ConnectWise ScreenConnect (endine juht): juurutatakse sageli kohandatud .msi või .exe pakett, mida majutatakse ründaja juhitavas serveris. Pärast käivitamist installitakse see püsiva Windowsi süsteemiteenusena (ScreenConnect Client (xxxx)) jooksmine koos NT AUTHORITY\SYSTEM privileege, võimaldades vaikivat ja järelevalveta juurdepääsu alati, kui arvuti on võrgus.
• AnyDesk (anydesk.exe): Kasutatakse sageli platvormideülestes petuskeemides, mis sihivad Windowsi, macOS-i ja mobiilseadmeid. Ründajad juhendavad ohvrit lugema ette 9-kohalise AnyDeski aadressi, taotlema halduskõrgendust ja määrama "Unattended Access Password", et ohver magab uuesti ühenduse luua.
• RustDesk (rustdesk.exe): Avatud lähtekoodiga kaugtöölaua tööriist, mida eelistavad petturid, kuna nad saavad ise hostida edastusservereid, vältides tarnija kuritarvitamise eemaldamist.
• UltraViewer, TeamViewer, Zoho Assist ja SimpleHelp: Tavaliselt aheldatud. UltraVieweri või AnyDeski kaudu ühenduse loov pettur installib sageli vaikselt peidetud ScreenConnect või SimpleHelp pakett taustal varutagauksena.

Hädaolukorra töövoog: ühenduse katkestamine ja kahjustuste määramine¶

Kasutage järgmist töövooskeemi, et peatada aktiivne kaugseanss, isoleerida tööjaam ja teha kindlaks, kas masinat saab turvarežiimis puhastada või vajab operatsioonisüsteemi täielikku kustutamist.

flowchart TD
    A["Tuvastati aktiivne või hiljutine kaugjuurdepääsu pettus"] --> B["Ühendage Etherneti kaabel füüsiliselt lahti ja lülitage Wi-Fi ruuter välja"]
    B --> C{"Kas ekraan on pimendatud või hiir lukus?"}
    C -- "Jah" --> D["Sundväljalülitamiseks hoidke arvuti füüsilist toitenuppu 10 sekundit all"]
    C -- "Ei" --> E["Lülitage lennukirežiim SISSE ja lülitage arvuti tavaliselt välja"]
    D --> F["Pangapettuste osakonnale helistamiseks kasutage mobiilse andmeside puhul puhast nutitelefoni"]
    E --> F
    F --> G["Külmutamine/säästud, juhtmete tagasikutsumine/Zelle, lukustada krediidibürood"]
    G --> H["Puhast nutitelefonist: vahetage meili/panga paroole ja tapke seansse"]
    H --> I{"Kas petturil oli järelevalveta juurdepääs või kas see käivitas CMD/PowerShelli?"}
    I -- "Jah (kõrge risk)" --> J["Käivitage võrguühenduseta arvuti turvarežiimi, et päästa ainult isiklikud dokumendid"]
    I -- "Ei (lühike juhendatud seanss)" --> K["RMM-i teenuste ja sertide tühjendamiseks käivitage võrguühenduseta režiim turvarežiimi"]
    J --> L["Tehke OS-i täielik puhastus uuesti installimiseks USB-meediumi kaudu Clean PC-st"]
    K --> M["Eemaldage teenused, ajastatud ülesanded, AppData ja auditeerimisbrauseri laiendused"]

Petturite kuritarvitatud kaugjuurdepääsu tööriistade võrdlus¶

Enne masina puhastamist või juhtumist oma panga kohtuekspertiisi pettuste meeskonnale teatamist tehke kindlaks, millised kaugtööriistad on installitud. Pidage meeles, et petturid installivad ühe seansi jooksul tavaliselt kaks või kolm erinevat tööriista, nii et kui desinstallite nähtava töölauaikooni, jääb nende peidetud lisateenus aktiivseks.

Samm-sammult pangandus ja finantstriaaž (esimesed 30 minutit)¶

Kaugjuurdepääsukelmuse puhul on arvutiinfektsioon ainult kohaletoimetamise mehhanism; esmane hädaolukord on äge rahaline vargus. Ründajad kasutavad psühholoogilisi ja tehnilisi nippe, näiteks redigeerivad HTML-i lähtekoodi (Inspect Element) teie panga veebisaidil, et simuleerida juhuslikku juhtumit $40,000 asemel enammakse $400, et petta teid raha juhtima, kinkekaarte ostma või sularaha Bitcoini sularahaautomaati sisse kandma. Isegi kui keeldusite raha saatmast, võib kaugjuurdepääsuga ründaja algatada ülekandeid otse ajal, mil teie ekraan on pimendatud.

1. Tehke kohe kõva külmutamine ja alustage ülekande tagasikutsumist¶

Helistage puhta telefoniga kohe oma finantsasutuse pettuste osakonda. Öelge selgelt: "Minu arvutit ohustas kaugjuurdepääsu troojalane tehnilise toe/panga kellegi teisena esinemise pettuse käigus. Volitamata osapoolel oli reaalajas juurdepääs minu Interneti-panganduse seansile." Nõua järgmisi konkreetseid toiminguid.

• Võrgupanga profiili lukustamine: laske pangal teie Interneti- ja mobiilipanga sisselogimismandaadid täielikult keelata ning kõik aktiivsed OAuthi märgid ja seansiküpsised kehtetuks muuta.
• ACH, juhtme ja RTP tagasikutsumine (SWIFT / Fedwire / Faster Payments): Paluge esindajal kontrollida teie kontot ootel või järjekorras olevate väljaminevate automaatsete arvelduskodade suhtes (ACH) ülekanded, riigisisesed/rahvusvahelised pangaülekanded, Zelle / Venmo maksed või tulevasteks kuupäevadeks kavandatud arve maksmise tšekid. Petturid ajastavad sageli arve maksmise tšeki või hilisema ACH-ülekande sooritamise 3-5 päeva hiljem, lootes, et te ei märka seda.
• Kontonumbri asendamine: kuna ründaja vaatas tõenäoliselt teie täielikku marsruutimist ja kontonumbreid (või laadis teie brauserist alla PDF-vormingus pangaväljavõtteid), ei piisa ainult deebetkaardi külmutamisest. Peate taotlema, et pank sulgeks ohustatud kontonumbrid ja teisaldaks teie saldod täiesti uutele kontonumbritele, kasutades "Postita debiteerimist" (PND) piirangud vanadele kontodele.
• Kontrollige varjatud sisemiste ülekannete või sularaha ettemaksete osas: Ründajad võtavad sageli teie lingitud krediitkaardilt või kodukapitali krediidiliinilt sularaha ettemakse (HELOC) ja kandke see esmalt oma arvelduskontole, et panna teid uskuma, et nad "tagasid teile kogemata üle raha", või koondada maksimaalne likviidsus enne kombineeritud saldo juhtmestamist offshore-sse. Öelge pangapettuste spetsialistile, et ta kontrolliks, kas teie säästu-, krediitkaardi- või maaklerikontode vahel on toimunud pangasiseseid ülekandeid.

2. Külmutage krediidibürood ja kontrollige uusi laenutaotlusi¶

Kui olete arvutiga ühendatud, otsivad petturid regulaarselt teie Downloads või Documents kaustad selliste märksõnade jaoks nagu tax, 1040, W2, passport, license, või password ja välja filtreerida oma maksudeklaratsioonid ja isikutunnistused.

1. Tehke oma puhast nutitelefoni kasutades kohe tasuta Security Freeze kõikides suuremates krediidibüroodes:
2. Ameerika Ühendriikides: külmutada Equifax (1-888-298-0045), Kogemus (1-888-397-3742), TransUnion (1-800-916-8800) ja ChexSystems (1-800-428-9687).
3. Ühendkuningriigis: võtke ühendust ettevõtetega Experian, Equifax ja TransUnion ning registreeruge Cifas Protective Registration jaoks.
4. Kanadas: saatke Equifax Canada ja TransUnion Canada kaudu krediidi külmutamise või pettusehoiatused.
5. Austraalias: taotlege krediidikeeldu Equifaxi, Illioni ja Experiani kaudu.
6. Vaadake viivitamatult üle oma krediidiaruanne, et leida viimase 24 tunni jooksul tehtud raskeid päringuid; petturid taotlevad sageli teiega rääkides taustal brauseri vahekaardil kiirlaenu veebis.

Kaugjuurdepääsu teenuste kustutamine turvarežiimis (Windows ja macOS)¶

Kui otsustate masinat kontrollida, säilitada kohtuekspertiisi logisid õiguskaitseorganite jaoks või päästa asendamatud isiklikud fotod enne kõvaketta pühkimist, ärge kunagi käivitage arvutit tavarežiimis, kui see on Internetiga ühendatud. Hetkel, kui tavaline algkäivitus lõpeb aktiivse Wi-Fi-ga, on püsiv ScreenConnect või AnyDesk teenus helistab koju petturi konsooli ja annab neile märku, et teie masin on taas võrgus.

1. etapp: turvarežiimi käivitamine ilma võrguühenduseta¶

Operatsioonisüsteemides Windows 10 ja Windows 11¶

1. Veenduge, et Etherneti kaabel oleks lahti ühendatud ja teie kodune WiFi-ruuter oleks lahti ühendatud või lennukirežiim oleks aktiivne.
2. Lülitage arvuti sisse. Windowsi sisselogimiskuval hoidke all klahvi Vasak tõstuklahv, klõpsates samal ajal Toide -> Taaskäivita.
3. Valige sinisel taastekuval Tõrkeotsing -> Täpsemad suvandid -> Käivitusseaded -> Taaskäivita.
4. Kui kuvatakse käivitusvalikute loend, vajutage 4 või F4 (Enable Safe Mode). Ära vajuta 5 (Safe Mode with Networking).

MacOS-is (Apple Silicon ja Intel)¶

1. Lülitage Mac välja ja lülitage välja Wi-Fi ruuter.
2. ** Apple Silicon (M1/M2/M3/M4):** Hoidke toitenuppu all, kuni kuvatakse teade "Käivitusvalikute laadimine". Valige käivitusketas, hoidke all Shift ja klõpsake nuppu Jätka turvarežiimis.
3. Intel Mac: Lülitage Mac sisse ja hoidke kohe all klahvi Shift, kuni ilmub sisselogimisaken.

2. etapp: püsivate Windowsi teenuste otsimine ja lõpetamine¶

Tavaline desinstallimine "Programmide lisamise või eemaldamise" kaudu ei suuda sageli kohandatud eemaldada ScreenConnect MSI ehitab, kuna ründajad eemaldavad Windowsi registrist desinstalleri kirje või juurutavad mitu eksemplari randomiseeritud kuueteistkümnendsüsteemi teenusenimede all.

1. Vajutage Windowsi turvarežiimis Win + R, tüüp services.mscja vajutage Enter.
2. Tähestikulises järjekorras sortimiseks klõpsake veergu Nimi ja kontrollige hoolikalt kõiki teenuseid järgmiste nimede suhtes:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Märkus: neid võib olla kaks või kolm eraldi ScreenConnect Client kirjed, mille sulgudes on erinevad 16-kohalised tähtnumbrilised stringid, kus igaüks tähistab erinevat petturiserverit).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent või SimpleHelp Remote Access
9. Iga leitud kahtlase teenuse puhul paremklõpsake sellel ja valige Atribuudid.
10. Lugege hoolikalt välja Path to executable ja kirjutage see üles (näiteks C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Muutke rippmenüü Käivitamise tüüp väärtuseks Keelatud, klõpsake Stopp (kui see töötab) ja klõpsake Rakenda ja OK.
12. Järgmisena avage kõrgendatud käsuviip (Win + X -> Terminal (Administraator) või Käsuviip (Administraator)) ja kustutage jäädavalt teenuse registreeringud, kasutades atribuutide aknas loetletud täpset teenusenime:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Sest ScreenConnect, esitage päring kõigi installitud eksemplaride kohta ja kustutage igaüks nende täpse teenusevõtme nime järgi:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

3. etapp: ajastatud ülesannete, käivituskaustade ja peidetud kataloogide puhastamine¶

Isegi pärast Windowsi teenuse kustutamist konfigureerivad ründajad sageli ajastatud toimingu, mis laadib kaugagendi uuesti alla powershell.exe või mshta.exe iga kord, kui kasutaja sisse logib.

1. Vajutage Win + R, tüüp taskschd.mscja vajutage Task Scheduleri avamiseks Sisestusklahvi.
2. Klõpsake vasakpoolsel paanil Task Scheduler Library. Laiendage iga alamkausta ja kontrollige iga ajastatud toimingu vahekaarti Toimingud. Kustutage kõik toimingud, mis käivitavad binaarfaile C:\Users\<User>\AppData\, C:\ProgramData\, või kutsub välja curl, bitsadmin, powershell -WindowStyle Hiddenvõi mis tahes kaugtöölaua käivitatav fail.
3. Vajutage Win + R, tüüp shell:startupja vajutage Enter. Kustutage kõik otseteed või .bat / .vbs skriptid, mis on paigutatud teie kasutaja käivituskausta. Korrake seda tippides shell:common startup süsteemiülese käivituskausta kontrollimiseks.
4. Lubage peidetud failide vaatamine File Exploreris (Vaade -> Näita -> Peidetud üksused) ja kustutage käsitsi kõigi kaugtööriistade rakenduste kataloogid ja konfiguratsiooni vahemälud.
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ ja C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ ja C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ ja C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

4. etapp: macOS LaunchDaemonide, LaunchAgentide ja privaatsustoetuste eemaldamine¶

MacOS-is loovad kaugjuurdepääsu tööriistad püsivuse LaunchDaemons (üle süsteemi) ja LaunchAgents (kasutajatase), kombineerituna macOS-iga TCC (Läbipaistvus, nõusolek ja juht) load Ekraani salvestamise ja Juurdepääsetavus jaoks.

1. MacOS-i turvarežiimis (võrguühenduseta) avage Finder ja vajutage Cmd + Shift + G (Go to Folder) ja kontrollige ükshaaval järgmisi kolme kataloogi:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Lohistage mis tahes .plist sisaldavad failid connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, või simplehelp prügikasti.
6. Järgmisena avage /Applications/ ja /Library/Application Support/ ja teisaldage kõik vastavad kaugjuurdepääsu rakenduste komplektid ja tugikaustad prügikasti.
7. Avage Süsteemi sätted -> Privaatsus ja turvalisus. Kontrollige kahte kriitilist jaotist:
8. Ekraani ja süsteemi helisalvestus: valige loendist mis tahes kaugtoe tööriist ja klõpsake miinusnupul (-) nuppu, et tühistada selle võime kuvada.
9. Juurdepääsetavus: valige mis tahes kaugtoe tööriist ja klõpsake miinusnupul (-) nuppu, et tühistada selle võime juhtida hiirekursorit ja sünteesida klahvivajutusi.
10. Täielik juurdepääs kettale: veenduge, et ühelegi tundmatule rakendusele või terminali ümbrisele pole antud täielikku juurdepääsu kettale.

Windowsi paroolilukkude ja võltsitud alglaadimisbännerite tühistamine¶

Enne ühenduse katkestamist lukustavad kättemaksuhimulised petturid ohvrid sageli arvutist välja ja nõuavad parooli eest lunaraha. Nad kasutavad kolme peamist meetodit:

1. Kohaliku Windowsi parooli muutmine (net user) või võltsitud administraatori konto lisamine¶

Kui nende ekraanikardin on aktiivne, avavad petturid sageli kõrgendatud käsurea ja jooksevad net user <YourUsername> <NewPassword> või loo tagaukse administraatori konto (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Kuidas kontrollida ja parandada: avage turvarežiimis kõrgendatud käsuviip (cmd.exe administraatorina) ja tüüp net user. Kui näete võõrast kontot, kustutage see kohe rakendusega net user <RogueAccountName> /delete. Kui teie kohalikku parooli muudeti, käivitage Windowsi installi USB-lt Windowsi taastekeskkonda (WinRE) eelmise süsteemitaastepunkti taastamiseks või logige sisse oma lingitud Microsofti kontoga pärast parooli lähtestamist puhtas nutitelefonis.

2. Käivitussõnumi bänneri lubamine registri kaudu (LegalNoticeCaption)¶

Petturid muudavad sageli HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System seadistamise teel LegalNoticeCaption ja LegalNoticeText võltsitud Microsoft Security lukustuse telefoninumbri kuvamiseks enne sisselogimist. * Kuidas parandada? See on puhtalt kosmeetiline tekstiekraan enne tavalist Windowsi sisselogimisviipa. Klõpsake OK või vajutage Sisestusklahvi, et sellest mööda minna, avage regedit turvarežiimis minge aadressile HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemja tühjendage sees olev tekst LegalNoticeCaption ja LegalNoticeText.

3. Turvalise alglaadimise PIN-koodi lukustused (bcdedit)¶

Microsoft eemaldas pärandi syskey.exe tööriist Windows 10 versioonis 1709. Tänapäeval märgivad petturid selle asemel linnukese Ohutu alglaadimine msconfig ja taaskäivitage arvuti võrguühenduseta. Kuna Windows Hello PIN-koodid ebaõnnestuvad sageli turvarežiimi sisselogimisekraanil ilma võrgule juurdepääsuta, jäävad ohvrid alglaadimisahelasse lõksu. * Kuidas parandada? Hoidke sisselogimiskuval all klahvi Shift + Restart, valige Tõrkeotsing -> Täpsemad suvandid -> käsuviip ja käivitage:

bcdedit /deletevalue {current} safeboot

Taaskäivitage arvuti tavapäraselt (hoides Interneti-ruuterit lahti ühendatuna), et saaksite vahemällu salvestatud parooli või PIN-koodiga sisse logida ja kaugtarkvara eemaldada.

Miks vajavad brauseri seansi vargused ja infovargused operatsioonisüsteemi täielikku kustutamist?¶

Isegi kui kustutate ScreenConnect, AnyDesk, või RustDesk teenuste turvarežiimis, peate hindama, kas pettur kasutas teisese Infostealeri (Lumma, RedLine, Vidar, Stealc) või kopeerisite oma brauseri profiilikataloogi.

Järelevalveta kaugseansi ajal kulub ründajal vähem kui 8 sekundit PowerShelli skripti käivitamiseks, mis kopeerib teie Google Chrome'i, Microsoft Edge'i või Brave'i kasutajaandmete kataloogi (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) koos kohalikuga DPAPI põhidekrüptimise võti. Nende failidega oma serveris on ründajal:

1. Iga parool, mis on salvestatud teie veebibrauseri sisseehitatud paroolihaldurisse.
2. Aktiivse seansi küpsised (Cookies ja Network\Cookies SQLite'i andmebaasid): Isegi kui teie e-post või pank kasutab kahefaktorilist autentimist (2FA), omades teie dekrüptitud seansimärgi küpsist, võimaldab ründajal importida teie brauseri profiil oma arvuti tuvastamisvastasesse brauserisse ja pääseda juurde teie Gmaili, Outlooki, Amazoni või krüptovaluutavahetuskontole ilma parooli või krüptovaluutavahetuskontota. 2FA kood.
3. Brauseripõhised krüptovaluuta rahakotihoidlad (MetaMask, Phantom, Rabby): Sees krüptitud hoiufailid Local Extension Settings on väljafiltreeritud võrguühenduseta jõhkraks sundimiseks.

Kui peate USB-operatsioonisüsteemi puhta uuesti installima¶

Kuigi turvarežiimi teenuse eemaldamisest piisab, kui tabasite petturi 10 sekundi jooksul pärast AnyDeski installimist ega andnud talle kunagi administraatori kõrgust ega järelevalveta juurdepääsu, peate draivi pühkima ja OS-i USB-mälupulgalt puhtalt installima, kui ilmnes mõni järgmistest:

• Teie ekraan läks mustaks (Blank Guest Monitor) või teie hiir/klaviatuur oli lukus.
• Sa nägid käsuviipa (cmd.exe) või PowerShelli aken vilgub ekraanil.
• Jätsite arvuti järelevalveta, kui pettur tegi võltsitud turvakontrolli.
• Olete installinud ConnectWise ScreenConnect (mis töötab kui SYSTEM vaikimisi ja võimaldab nähtamatut taustal shelliskripti täitmist).

Ohutu uuesti installimiseks toimige järgmiselt. 1. Kui olete turvarežiimis võrguühenduseta, ühendage uhiuus USB-mälupulk ohustatud arvutiga ja kopeerige ainult isiklikud andmefailid (.jpg, .pdf, .docx, .xlsx, perevideod). Ära kunagi kopeeri .exe, .msi, .bat, .ps1või brauseri profiilikaustadesse. 2. Kasutades teist, puhast arvutit, laadige Microsoftilt alla ametlik Windows Media Creation Tool (microsoft.com/software-download) või looge buutitav macOS-i installer. 3. Käivitage kahjustatud arvuti puhtast USB-installerist, kustutage kõik esmase draivi olemasolevad partitsioonid (Drive 0) ja installige operatsioonisüsteemi uus koopia.

Säilitades oma seadusliku õiguse pangalt hüvitisele¶

Pangad püüavad sageli eitada kaugjuurdepääsupettustega seotud pettuste hüvitamise nõudeid, väites, et kuna klõpsasite AnyDeskis või ScreenConnectis käsul „Laadi alla”, siis „volitasite” tehinguid või käitusite raske hooletusega. Oma panga pettusenõuete kohtunikuga rääkimisel on oluline teada, kuidas seadusjärgsed tarbijapangakaitsed teie jurisdiktsioonis toimivad.

Ameerika Ühendriikides: elektroonilise rahaülekande seadus (EFTA) ja Regulation E (12 CFR § 1005)¶

Vastavalt föderaalsele elektroonilise rahaülekande seadusele (Regulation E), tarbijate finantskaitse büroo (CFPB) on välja andnud ametlikud järelevalvejuhised, mille kohaselt: * Indutseeritud juurdepääs on endiselt "volituseta elektrooniline rahaülekanne": All 12 CFR § 1005.2(m), elektrooniline rahaülekanne, mille algatas isik, kes sai juurdepääsu tarbija kontole pettuse või röövimise kaudu, on seadusega määratletud kui volitamata EFT, isegi kui tarbijat peteti parooli, ühekordse pääsukoodi andma või kaugtöölaua tarkvara installima. * Teie nõude tagasilükkamiseks ei saa kasutada hooletust: CFPB ametlik tõlgendus Regulation E (Comment 6(b)-2) märgib, et tarbija hooletust (nt andmepüügi hüpikaknale kukkumine või petturile kaugtöölaua juurdepääsu võimaldamine) ei saa kasutada pank tarbijale suurema vastutuse kehtestamiseks kui Regulation E lubab ($50 maksimaalselt, kui teatatakse 2 tööpäeva jooksul; $500 maksimaalselt 60 päeva jooksul). * Eristage petturi klõpsatud ja tarbija klõpsatud ülekandeid: kui pettur liigutas AnyDesk/ScreenConnecti seansi ajal musta ekraani taga käsul "Saada", on tegemist volitamata EFT-ga, mida hõlmab Regulation E. Öelge pangale kirjalikult: "Ma ei algatanud, volitanud ega klõpsanud selle ülekande jaoks nuppu; kuritegelik ähvardaja sooritas ülekande kaugjuurdepääsu troojalase abil kaugjuurdepääsuga troojalase abil, samal ajal minu ekraani lukustades, mis kujutab endast volitamata EFT-d 12 CFR § 1005.2(m) alusel." Manustage oma säilinud connection_trace.txt logi või Windows Event Vieweri teenuse juhtimishalduri logid (Event ID 7045 mis näitab täpset minutit ScreenConnect või AnyDesk teenus oli paigaldatud) kohtuekspertiisi tõendina.

Ühendkuningriigis, Euroopa Liidus, Kanadas ja Austraalias¶

• Ühendkuningriik (PSR & FOS): Kui pettur juhtis teie arvutit otse raha teisaldamiseks, teatage sellest volituseta maksena vastavalt 2017. aasta makseteenuste eeskirjadele. Kui pettur manipuleeris teie ekraaniga (Inspect Element võlts tagasimakse), et meelitada teid ise kiiremat makset autoriseerima, teatage sellest makseteenuste regulaatori (PSR) kohustuslik Authorized Push Payment (APP) Pettuse hüvitamise eeskirjad ja eskaleerida kõik keeldumised Finantsombudsmani teenistusele (FOS).
• Euroopa Liit, Kanada ja Austraalia: teavitage juhtunust viivitamatult oma panka ja riigi politseid, rõhutades, et seansi teostas või manipuleeris kaugjuurdepääsu troojalane. Eskaleerida lahendamata pangavaidlused pangateenuste ja investeeringute ombudsmanile (OBSI) Kanadas või Australian Financial Complaints Authority (AFCA) Austraalias all ePayments Code.

Juhtumijärgse heastamise ja teatamise kontrollnimekiri¶

Enne koduvõrgu taasühendamist või tavapärase internetipanga kasutamise jätkamist täitke kõik selle kontroll-loendi üksused:

• Füüsiline isolatsioon kinnitatud: Ohustatud arvuti lahutati enne edasist veaotsingut füüsiliselt Etherneti ja Wi-Fi võrgust.
• Pangakontod külmutatud ja ümber nummerdatud: Kõik arvutis nähtavad arveldus-, säästu- ja HELOC-konto numbrid on suletud ja väljastatud uute kontonumbritega.
• Praanitud arvete maksmise ja ACH järjekorrad on tühjendatud: Pangajärelevalvega kontrolliti, et puuduvad tulevased arve maksmise tšekid, välised pangalingid (Plaid) või kaugseansi ajal lisati seisva juhtme juhised.
• Krediidi külmutamine on aktiivne: Equifaxi, Experiani, TransUnioni ja ChexSystemsi turvalisus külmub.
• E-kirjade edastamise reeglid auditeeritud: logiti puhtast nutitelefonist Gmaili/Outlooki/Yahoo-sse ja kontrolliti Seaded -> Edastamine ja POP/IMAP ning Reeglid/Filtrid peidetud reeglid, mis kustutavad või edastavad automaatselt e-kirjad, mis sisaldavad "Bank", "Fraud", "Wire", või "Security Alert".
• Brauseri paroolihoidla pööratud: kõik Chrome'i, Edge'i, Firefoxi või Safari paroolihaldurites salvestatud paroolid on puhtast seadmest muudetud.
• Salvestatud kohtuekspertiisi logid ja esitatud ametlikud aruanded: Esitage aruanded FBI IC3 (ic3.gov) ja FTC (reportfraud.ftc.gov) USA-s, Action Fraud (actionfraud.police.uk) Ühendkuningriigis Canadian Anti-Fraud Centre või Scamwatch (scamwatch.gov.au) Austraalias. Teatage ka installija kahendfailist või ühenduse ID-st connectwise.com/company/trust/report-abuse või anydesk.com/en/abuse.

Korduma kippuvad küsimused¶

Pettur näitas mulle mu Windows Event Viewerit ja netstat käsureal ja see oli täis tuhandeid hoiatusi, vigu ja "VÄLISAADRESSI" ühendusi. Kas mu arvutisse häkiti enne, kui ma neile helistasin?¶

Ei. Mõlemad `eventvwr` (Windows Event Viewer) ja `netstat` on tavalised haldusutiliidid, mis on sisse ehitatud igasse Windowsi koopiasse ja petturid kuritarvitavad neid psühholoogilise rekvisiidina. Iga terve Windowsi arvuti genereerib sündmustevaaturis tavapärase käivitamise ja taustavärskenduste ajal tuhandeid rutiinseid kollaseid hoiatus- ja punaseid tõrkeloge. `netstat` loetleb kõik tavalised taustaühendused, mida teie brauser ja operatsioonisüsteem pilvserveritega loovad, kui "välisaadress". Teie arvuti oli täiesti turvaline kuni hetkeni, mil järgisite helistaja juhiseid tema kaugjuurdepääsu tööriista allalaadimiseks ja käivitamiseks.

Kuidas pani pettur mu päris panga veebisaidile näitama, et nad tegid kogemata sissemakse $40,000 minu arvelduskontole, kui nad ei saa panga serverisse häkkida?¶

Kui olete AnyDeski või ScreenConnecti kaudu arvutiga ühendatud, pimestab pettur teie ekraani 15 sekundiks, teeb teie veebibrauseris teie pangasaldo paremklõpsu ja klõpsab **„Inspekteeri“ (`Developer Tools`)**. See avab teie brauseri vahekaardil kuvatava kohaliku HTML-teksti. Pettur lihtsalt tipib `$45,200.00` üle oma tõelise `$5,200.00` tasakaalu ja lisab võltstekstirea lugemise `"ACH REFUND OVERPAYMENT +$40,000.00"` teie ekraanil. See muudatus on ainult teie brauseri vahekaardi ajutises mälus (`DOM`) ja kaob lehe värskendamisel (`F5`) või kontrollige oma saldot nutitelefoni rakenduses. Teise võimalusena kannavad nad üle `$40,000` oma säästukontolt või krediidiliinilt oma arvelduskontole ja sildistage ekraan ümber, et meelitada teid oma raha neile juhtima.

Kui ma desinstallisin juhtpaneelilt AnyDeski või UltraVieweri, kas võin Wi-Fi uuesti sisse lülitada?¶

Tavaliselt mitte ilma Windowsi teenuseid kontrollimata (`services.msc`) esmalt turvarežiimis. Professionaalsed tehnilise toe pettuste kõnekeskused teavad, et ohvrid desinstallivad AnyDeski või UltraVieweri sageli kohe pärast kõne katkestamist. Seetõttu kasutavad petturid esimese kahe minuti jooksul pärast arvutiga ühenduse loomist tavaliselt vaikset failiedastust, et eemaldada teisese, peidetud **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) või **SimpleHelp** agent, mis ei loo töölaua otseteed ja peidab end sisse `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Kui te ei kontrolli turvarežiimis, et petturit pole `SYSTEM` teenuste või ajastatud toimingute olemasolu või täieliku USB OS-i tühjendamise, saate Wi-Fi-ga uuesti ühenduse loomisel anda koheselt teie arvuti juhtimise tagasi ründajale.

Kas pettur võib pääseda juurde teistele arvutitele või nutitelefonidele minu koduses WiFi-võrgus lihtsalt sellepärast, et installisin AnyDeski ühte sülearvutisse?¶

AnyDeski või ScreenConnecti installimine ohustab konkreetset arvutit, kus installijat käivitasite, mitte teie telefone või muid sülearvuteid. Kui aga kasutate oma sülearvutis ja nutitelefonis **Google Chrome'i, Microsoft Edge'i või Apple iCloudi parooli ja seansi sünkroonimist**, mõjutavad petturi poolt varastatud või nakatunud sülearvutis tehtud paroolid teie jagatud pilvekontosid. Lisaks saab ründaja sülearvutiga ühenduses olles sisse logida teie koduruuteri administraatorilehele (`192.168.1.1`), kui see kasutab endiselt administraatori vaikeparooli ja muudab teie ruuteri parooli `DNS` seaded. Pärast nakatunud sülearvuti isoleerimist lähtestage oma Wi-Fi ruuter tehases või kontrollige selle DNS-i sätteid ja administraatori parooli puhtast seadmest.

Seotud juhendid¶

• Tehnilise toe hüpikakende pettus ja kaugtöölaua AnyDesk/TeamVieweri eemaldamine
• Seansiküpsiste kaaperdamine, infostealeri pahavara ja pääsukoodi tühistamine
• Võltsitud CAPTCHA ClickFix PowerShelli Win+R lõikelaua pahavara ja Lumma Infostealeri parandus
• Volitatud tõukemakse (APP) pettus: Zelle, Venmo ja Faster Paymentsi kellegi teisena esinemine ja tagasimakse õigused
• Pangakonto rikkumine
• Hädaabinumbrid riigiti

Allikad ja ametlikud juhised¶

• Küberturvalisuse ja infrastruktuuri turvaagentuur (CISA), Föderaalne Juurdlusbüroo (FBI), Riiklik Julgeolekuagentuur (NSA), & Mitme osariigi teabe jagamise ja analüüsi keskus (MS-ISAC) (Ameerika Ühendriigid): Ühine küberturvalisuse nõuanne (AA23-025A): kaitse kaugseire ja -halduse pahatahtliku kasutamise eest (RMM) Tarkvara.
• Tarbijate finantskaitsebüroo (CFPB) (Ameerika Ühendriigid): Elektroonilised rahaülekanded (Regulation E, 12 CFR Part 1005) Ametlikud tõlgendused ja korduma kippuvad küsimused volitamata EFT-de ja pettusega seotud juurdepääsu kohta.
• Föderaalne Kaubanduskomisjon (FTC) (Ameerika Ühendriigid): Kuidas tuvastada, vältida ja teavitada tehnilise toe pettusi.
• Riiklik küberjulgeolekukeskus (NCSC) & Action Fraud (Ühendkuningriik): seadmete kaitsmine volitamata kaugjuurdepääsu tööriistade ja ekraanijagamispettuste eest.
• ConnectWise'i usaldus- ja turbekeskus: * Rogue ScreenConnecti tuvastamine ja eemaldamine (ConnectWise Control) Kliendi eksemplarid*.