کلاهبرداری پشتیبانی فنی تروجان دسترسی از راه دور (ScreenConnect، AnyDesk، RustDesk، UltraViewer): کشیدن اترنت، کشتن خدمات، و مسدود کردن بانک¶

شماره های اضطراری بر اساس کشور متفاوت است. این صفحه از 911 استفاده می‌کند که شماره مربوط به ایالات متحده و کانادا است. بسیاری از کشورهای دیگر از 112، 999 یا شماره دیگری استفاده می کنند. شماره کشور خود را پیدا کنید.

هنگامی که یک کلاهبردار شما را متقاعد می کند که یک ابزار دسکتاپ از راه دور نصب کنید یا یک عامل نظارت از راه دور را بر روی رایانه شما اجرا می کند، کنترل مستقیم و نامحدودی بر روی ماوس، صفحه کلید، سیستم فایل و جلسات مرورگر فعال به دست می آورد. در حین نمایش یک اسکن امنیتی جعلی یا یک پرده حریم خصوصی سیاه بر روی مانیتور، اپراتور بی‌صدا حساب‌های چک را تخلیه می‌کند، رمزهای عبور ذخیره‌شده را جمع‌آوری می‌کند و خدمات پس‌زمینه دائمی را نصب می‌کند که از راه‌اندازی مجدد استاندارد جان سالم به در می‌برد. این راهنما گام‌های فوری برای قطع پیوند داده‌های مهاجم، از بین بردن دائمی خدمات دسترسی از راه دور بدون مراقبت، و قفل کردن زیرساخت بانکی و اعتباری شما قبل از پاک کردن وجوه از شبکه سیمی را ارائه می‌کند.

همین الان این کار را بکن¶

تمام اتصالات اینترنت را به صورت فیزیکی و فوری قطع کنید. کابل اترنت را از پشت دسکتاپ یا روتر خود جدا کنید، کلید Wi-Fi فیزیکی لپ تاپ خود را بچرخانید یا دکمه روشن/خاموش روتر Wi-Fi خود را به مدت 10 ثانیه فشار دهید و نگه دارید تا همه چراغ ها تاریک شوند. وقت خود را برای مبارزه با کلاهبردار برای کنترل نشانگر ماوس برای کلیک بر روی دکمه قطع اتصال تلف نکنید.
اگر صفحه نمایش سیاه شد، کامپیوتر آسیب دیده را به اجبار خاموش کنید. اگر مهاجم "Blank Guest Monitor" را فعال کرده یا ورودی صفحه کلید شما را قفل کرده است، دکمه فیزیکی روشن/خاموش رایانه خود را به مدت 10 ثانیه کامل فشار داده و نگه دارید تا دستگاه کاملاً خاموش شود. هنگامی که حساب های مالی خود را از یک دستگاه جداگانه و تمیز ایمن می کنید، آن را خاموش بگذارید.
از یک تلفن مستقل با بخش کلاهبرداری بانک خود تماس بگیرید. در صورت وقوع تهدید اخاذی فعال، از تلفن همراه برای تماس با شماره رسمی چاپ شده در پشت کارت اعتباری یا نقدی خود استفاده کنید یا با شماره اضطراری محلی خود (911 در ایالات متحده و کانادا، 112 در سراسر اتحادیه اروپا، 999 در بریتانیا) تماس بگیرید. ببینید شماره های اضطراری برای تماس های بین المللی به بانک دستور دهید تمام حساب‌های چک، پس‌انداز و خط اعتباری را فوراً مسدود کند و از هر گونه واریز وجه نقدی خودکار (ACH)، بانکی، یا پرداخت بلادرنگ درخواست فراخوان اضطراری کند.
کوکی‌های جلسه فعال را باطل کنید و گذرواژه‌ها را از یک تلفن هوشمند تمیز تغییر دهید. با استفاده از تلفن خود روی داده تلفن همراه (در صورت روشن بودن رایانه شخصی آسیب‌دیده به Wi-Fi خانگی خود متصل نیست)، وارد ایمیل اصلی، درگاه‌های بانکی و حساب‌های ذخیره‌سازی ابری خود شوید. تمام جلسات ورود فعال را خاتمه دهید، دستگاه‌های احراز هویت چند عاملی (MFA) را لغو کنید و رمزهای عبور خود را بچرخانید.
کامپیوتر آلوده را به حالت ایمن بدون شبکه راه‌اندازی کنید. رایانه آسیب‌دیده را فقط در زمانی که از اینترنت قطع شده است دوباره روشن کنید و برای بازرسی و حذف سرویس‌های پس‌زمینه بدون نظارت وارد حالت Safe Mode Windows یا MacOS Safe Mode شوید (ScreenConnect Client، AnyDesk Service، RustDesk Service) قبل از اینکه سیستم عامل درایورهای شبکه شخص ثالث را بارگیری کند.

درک آناتومی یک حمله RMM تجاری و دسکتاپ از راه دور¶

کلاهبرداری‌های پشتیبانی فنی مدرن، کلاهبرداری‌های بازپرداخت و حملات جعل هویت بانکی به ندرت متکی به ویروس‌های رایانه‌ای سفارشی هستند. در عوض، عوامل تهدید از نظارت و مدیریت از راه دور قانونی و با امضای دیجیتالی سوء استفاده می کنند (RMM) نرم افزار و ابزارهای تجاری از راه دور دسکتاپ. از آنجایی که این فایل های اجرایی دارای گواهینامه های معتبر امضای کد رمزنگاری شده از فروشندگان نرم افزار قابل اعتماد هستند، برنامه های آنتی ویروس استاندارد مانند Windows Defender یا macOS XProtect نصب آنها را مسدود نمی کنند.

چگونه مهاجمان باینری های پشتیبانی از راه دور قانونی را به سلاح تبدیل می کنند¶

هنگامی که قربانی با شماره رایگان نمایش داده شده در یک مرورگر جعلی پاپ آپ تماس می گیرد، به یک ایمیل فاکتور فوری پاسخ می دهد، یا دستورالعمل های یک محقق تقلب بانکی جعلی را دنبال می کند، اپراتور آنها را راهنمایی می کند تا یک نصب کننده اجرایی یا MSI را دانلود کنند. پلتفرم هایی که به شدت مورد سوء استفاده قرار گرفته اند عبارتند از:

ConnectWise ScreenConnect (کنترل سابق): اغلب از طریق یک صفحه سفارشی مستقر می شود .msi یا .exe بسته میزبانی شده روی یک سرور تحت کنترل مهاجم. پس از اجرا، به عنوان یک سرویس سیستم ویندوز دائمی نصب می شود (ScreenConnect Client (xxxx)) دویدن با NT AUTHORITY\SYSTEM امتیازات، اعطای دسترسی بی‌صدا و بدون نظارت هر زمان که رایانه آنلاین است.
** AnyDesk (anydesk.exe):** اغلب در کلاهبرداری های چند پلتفرمی با هدف قرار دادن ویندوز، macOS و دستگاه های تلفن همراه استفاده می شود. مهاجمان به قربانی دستور می‌دهند تا آدرس 9 رقمی AnyDesk را با صدای بلند بخواند، درخواست ارتقای مدیریتی کند و یک «گذرواژه دسترسی بدون نظارت» تنظیم کند تا زمانی که قربانی خواب است، مجدداً متصل شود.
** Rust Desk (rustdesk.exe):** یک ابزار دسکتاپ از راه دور منبع باز که مورد علاقه سندیکاهای کلاهبرداری است زیرا آنها می توانند سرورهای رله خود را میزبانی کنند و از حذف سوء استفاده از فروشنده دور بزنند.
UltraViewer، TeamViewer، Zoho Assist و SimpleHelp: معمولاً با هم زنجیر می شوند. کلاهبردار که از طریق UltraViewer یا AnyDesk متصل می شود، اغلب به صورت بی صدا یک مخفی نصب می کند. ScreenConnect یا SimpleHelp بسته در پس زمینه به عنوان یک در پشتیبان.

Danger

** "صفحه سیاه" (Blank Guest Monitor) و تله قفل ورودی:** ابزارهایی مانند ConnectWise ScreenConnect و AnyDesk شامل یک ویژگی مدیریتی به نام "Blank Guest Monitor" یا "Privacy Mode" هستند که با "Block Guest Input" ترکیب شده است. هنگامی که فعال می شود، مانیتور شما کاملا سیاه می شود، صفحه به روز رسانی جعلی ویندوز را نشان می دهد، یا در حالی که ماوس و صفحه کلید شما پاسخ نمی دهند، یخ می زند. در پشت آن پرده سیاه، کلاهبردار مرورگر وب شما را باز می کند، رمزهای عبور ذخیره شده را صادر می کند، و حواله های سیمی را از برگه های بانکی وارد شده آغاز می کند. روتر اینترنت خود را فوراً از برق جدا کنید و دکمه پاور کامپیوتر را به مدت 10 ثانیه نگه دارید.

گردش کار اضطراری: قطع اتصال و تریاژ آسیب¶

از فلوچارت عملیاتی زیر برای توقف یک جلسه فعال راه دور، ایزوله کردن ایستگاه کاری و تعیین اینکه آیا دستگاه را می توان در حالت ایمن تمیز کرد یا نیاز به پاک کردن کامل سیستم عامل دارد، استفاده کنید.

flowchart TD
    A["کلاهبرداری با دسترسی از راه دور فعال یا اخیر شناسایی شد"] --> B["کابل اترنت را به صورت فیزیکی جدا کنید و روتر وای فای را خاموش کنید"]
    B --> C{"آیا صفحه نمایش سیاه شده یا ماوس قفل است؟"}
    C -- "بله" --> D["دکمه پاور فیزیکی کامپیوتر را به مدت 10 ثانیه نگه دارید تا به اجبار خاموش شود"]
    C -- "خیر" --> E["حالت هواپیما را روشن کنید و کامپیوتر را به طور معمول خاموش کنید"]
    D --> F["برای تماس با بخش کلاهبرداری بانکی از تلفن هوشمند پاک در داده های تلفن همراه استفاده کنید"]
    E --> F
    F --> G["کنترل فریز/پس‌انداز، سیم‌های فراخوان/زیل، قفل کردن دفاتر اعتباری"]
    G --> H["از تلفن هوشمند پاک: گذرواژه‌های ایمیل/بانک را بچرخانید و جلسات را بکشید"]
    H --> I{"آیا کلاهبردار دسترسی بدون نظارت داشته یا CMD/PowerShell را اجرا کرده است؟"}
    I -- "بله (خطر بالا)" --> J["برای نجات فقط اسناد شخصی، رایانه آفلاین را در حالت ایمن بوت کنید"]
    I -- "خیر (جلسه مختصر تحت نظارت)" --> K["برای پاکسازی خدمات و گواهینامه های RMM، آفلاین را به حالت ایمن بوت کنید"]
    J --> L["نصب مجدد کامل سیستم عامل از طریق رسانه USB از رایانه تمیز انجام دهید"]
    K --> M["حذف خدمات، وظایف برنامه ریزی شده، AppData و برنامه های افزودنی مرورگر حسابرسی"]

مقایسه ابزارهای دسترسی از راه دور مورد سوء استفاده کلاهبرداران¶

قبل از تلاش برای تمیز کردن ماشین یا گزارش حادثه به تیم کلاهبرداری قانونی بانک خود، شناسایی کنید که کدام ابزار(های) راه دور نصب شده است. به یاد داشته باشید که کلاهبرداران به طور معمول دو یا سه ابزار مختلف را در یک جلسه نصب می کنند تا اگر نماد دسکتاپ قابل مشاهده را حذف کنید، سرویس ثانویه پنهان آنها فعال باقی می ماند.

نام ابزار از راه دور	نام‌های فرآیند و سرویس پیش‌فرض	مکانیسم پایداری بدون مراقبت	از قابلیت های پرخطر سوء استفاده در کلاهبرداری ها	پیش‌فرض مصنوعات محلی و مسیرهای گزارش (ویندوز)
ConnectWise ScreenConnect	`ScreenConnect.ClientService.exe`، `ScreenConnect.WindowsClient.exe`	به صورت a نصب می شود `SYSTEM` سرویس ویندوز (`ScreenConnect Client (<hex_id>)`) که قبل از ورود کاربر به طور خودکار در هنگام بوت شروع می شود.	مانیتور خالی مهمان، مسدود کردن ورودی مهمان، پس‌زمینه بی‌صدا `CMD` / `PowerShell` اجرا بدون باز کردن پنجره قابل مشاهده، خارج کردن فایل بی صدا.	`C:\Program Files (x86)\ScreenConnect Client (<id>)\`، `C:\ProgramData\ScreenConnect Client (<id>)\`
AnyDesk	`AnyDesk.exe`، `AnyDesk Service`	هنگامی که نصب می شود (یا بالا می رود)، یک سرویس پس زمینه با رمز عبور دسترسی بدون نظارت و ورودی لیست سفید توسط مهاجمان ایجاد می کند.	حالت حریم خصوصی (سیاه شدن صفحه)، همگام سازی کلیپ بورد، انتقال بی صدا مدیر فایل، تونل TCP، و خواندن صفحه نمایش پیام کوتاه تلفن همراه در Android/iOS.	`C:\ProgramData\AnyDesk\ad_svc.trace`، `C:\Users\<User>\AppData\Roaming\AnyDesk\connection_trace.txt`
RustDesk	`rustdesk.exe`، `RustDesk Service`	یک سرویس سیستم ویندوز متصل به یک آدرس IP سفارشی و کنترل شده توسط مهاجم را ثبت می کند.	کنترل کامل از راه دور اداری، مرورگر سیستم فایل مستقیم، پیکربندی سرور رله سفارشی که ترافیک را از بلوک های دامنه استاندارد پنهان می کند.	`C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\RustDesk\`، `C:\Users\<User>\AppData\Roaming\RustDesk\`
UltraViewer	`UltraViewer_Desktop.exe`، `UltraViewer_Service.exe`	یک سرویس پس زمینه را اجرا می کند (`UltraViewerService`) و اجازه می دهد تا یک رمز عبور ثابت برای ورود مجدد بدون نظارت تنظیم کنید.	اغلب به عنوان فریب اولیه "در جلو" استفاده می شود، زیرا رابط کاربری آن ساده و غیر تهدید کننده به نظر می رسد، در حالی که کلاهبردار ScreenConnect را از طریق انتقال فایل حذف می کند.	`C:\Program Files (x86)\UltraViewer\`، `C:\Users\<User>\AppData\Roaming\UltraViewer\`
SimpleHelp / Zoho Assist	`Remote Access Service`، `ZA_Access.exe`، `ZohoURS.exe`	باینری های عامل بدون نظارت را در داخل نصب می کند `ProgramData` یا `AppData\Local` همراه با راه اندازی مجدد خودکار Windows Task Scheduler.	پوسته از راه دور بی صدا، فشرده سازی و دانلود انبوه فایل، جمع آوری اعتبار از پایگاه داده های SQLite مرورگر محلی (`Login Data`).	`C:\ProgramData\SimpleHelp\`، `C:\ProgramData\ZohoMeeting\`، `C:\Users\<User>\AppData\Local\ZohoURS\`

تریاژ بانکی و مالی گام به گام (30 دقیقه اول)¶

در کلاهبرداری با دسترسی از راه دور، عفونت رایانه تنها مکانیسم تحویل است. اورژانس اولیه سرقت مالی حاد است. مهاجمان از ترفندهای روانشناختی و فنی مانند ویرایش کد منبع HTML (Inspect Element) از صفحه وب بانک شما برای شبیه سازی تصادفی $40,000 اضافه پرداخت به جای $400، برای فریب شما برای سیم کشی پول، خرید کارت هدیه یا واریز پول نقد به دستگاه خودپرداز بیت کوین. حتی اگر از ارسال پول خودداری کرده باشید، مهاجمی که دسترسی از راه دور دارد می‌تواند مستقیماً در زمانی که صفحه نمایش شما سیاه شده است، انتقال را آغاز کند.

1. فوراً یک انجماد سخت قرار دهید و فراخوان انتقال را آغاز کنید¶

بلافاصله با استفاده از یک تلفن تمیز با بخش تقلب اختصاصی موسسه مالی خود تماس بگیرید. به طور واضح بیان کنید: "کامپیوتر من توسط یک تروجان دسترسی از راه دور در طول یک کلاهبرداری جعل هویت بانکی / پشتیبانی فنی در معرض خطر قرار گرفت. یک شخص غیرمجاز به جلسه بانکداری آنلاین من دسترسی مستقیم داشت." اقدامات خاص زیر را بخواهید:

قفل کردن نمایه بانکداری آنلاین: از بانک بخواهید اعتبار ورود به بانکداری آنلاین و تلفن همراه شما را به طور کامل غیرفعال کند و همه نشانه های فعال OAuth و کوکی های جلسه را باطل کند.
** فراخوانی ACH، سیم و RTP (SWIFT / Fedwire / Faster Payments):** از نماینده بخواهید تا حساب شما را برای هر گونه تسویه حساب خودکار خروجی معلق یا در صف بررسی کند (ACH) نقل و انتقالات، نقل و انتقالات داخلی/بین المللی، Zelle / Venmo پرداخت‌ها یا چک‌های «پرداخت صورت‌حساب» برنامه‌ریزی‌شده برای تاریخ‌های آینده. کلاهبرداران غالباً یک چک صورتحساب پرداخت یا مجموعه انتقال ACH با تاریخ پس از آن را برنامه ریزی می کنند تا 3 تا 5 روز بعد اجرا شود به این امید که متوجه نشوید.
تعویض شماره حساب: از آنجایی که مهاجم احتمالاً شماره حساب های مسیریابی و بررسی کامل شما را مشاهده کرده است (یا صورتحساب های بانکی PDF را از مرورگر شما دانلود کرده است)، مسدود کردن کارت نقدی به تنهایی کافی نیست. شما باید از بانک درخواست کنید که شماره حساب‌های به خطر افتاده را ببندد و موجودی‌های شما را به شماره حساب‌های کاملاً جدید با «پس‌بدون بدهی» تبدیل کند (PND) محدودیت در حساب های قدیمی.
** نقل و انتقالات داخلی پنهان یا پیش پرداخت های نقدی را بررسی کنید:** مهاجمان غالباً از کارت اعتباری مرتبط یا خط اعتباری سهام خانه شما پیش پرداخت نقدی می گیرند (HELOC) و ابتدا آن را به حساب جاری خود منتقل کنید، یا برای اینکه فکر کنید به طور تصادفی به شما بازپرداخت کرده اند، یا حداکثر نقدینگی را قبل از سیم کشی موجودی ترکیبی در خارج از کشور جمع آوری کنید. به متخصص کلاهبرداری بانکی بگویید بررسی کند که آیا نقل و انتقالات درون بانکی بین حساب های پس انداز، کارت اعتباری یا کارگزاری شما انجام شده است یا خیر.

2. دفاتر اعتباری را مسدود کنید و درخواست های وام جدید را بررسی کنید¶

در حالی که به رایانه شخصی خود متصل هستید، کلاهبرداران به طور معمول شما را جستجو می کنند Downloads یا Documents پوشه برای کلمات کلیدی مانند tax، 1040، W2، passport، license، یا password و اظهارنامه مالیاتی و اسکن شناسه خود را استخراج کنید.

بلافاصله با استفاده از تلفن هوشمند تمیز خود، Security Freeze را در تمام دفاتر اعتباری بزرگ قرار دهید:
در ایالات متحده: Freeze Equifax (1-888-298-0045)، تجربه (1-888-397-3742)، TransUnion (1-800-916-8800، و ChexSystems (1-800-428-9687).
در بریتانیا: با Experian، Equifax و TransUnion تماس بگیرید و برای Cifas Protective Registration ثبت نام کنید.
در کانادا: هشدارهای مسدود کردن اعتبار یا کلاهبرداری را با Equifax Canada و TransUnion Canada قرار دهید.
در استرالیا: درخواست ممنوعیت اعتبار از طریق Equifax، Illion و Experian.
بلافاصله گزارش اعتباری خود را برای پرس و جوهای سخت انجام شده در 24 ساعت گذشته بررسی کنید. کلاهبرداران اغلب هنگام صحبت با شما، برای وام های شخصی آنلاین فوری در برگه مرورگر پس زمینه درخواست می کنند.

از بین بردن خدمات دسترسی از راه دور در حالت ایمن (ویندوز و macOS)¶

اگر تصمیم دارید دستگاه را بازرسی کنید، گزارش‌های پزشکی قانونی را برای اجرای قانون حفظ کنید، یا عکس‌های شخصی غیرقابل تعویض را قبل از پاک کردن هارد دیسک نجات دهید، هنگامی که به اینترنت وصل هستید هرگز رایانه را در حالت عادی راه‌اندازی نکنید. لحظه ای که یک بوت معمولی با Wi-Fi فعال کامل می شود، پایدار است ScreenConnect یا AnyDesk این سرویس به کنسول کلاهبردار تلفن می‌زند و به آنها هشدار می‌دهد که دستگاه شما دوباره آنلاین شده است.

فاز 1: بوت شدن به حالت ایمن بدون شبکه¶

در ویندوز 10 و ویندوز 11¶

مطمئن شوید که کابل اترنت وصل شده باشد و روتر Wi-Fi خانگی شما قطع شده باشد یا حالت هواپیما فعال باشد.
کامپیوتر را روشن کنید. در صفحه ورود به سیستم ویندوز، کلید Shift چپ را نگه دارید و روی روشن -> راه اندازی مجدد کلیک کنید.
در صفحه بازیابی آبی، عیب یابی -> گزینه های پیشرفته -> تنظیمات راه اندازی -> راه اندازی مجدد را انتخاب کنید.
وقتی لیست گزینه های راه اندازی ظاهر شد، 4 یا F4 (Enable Safe Mode). 5 را فشار ندهید (Safe Mode with Networking).

در macOS (Apple Silicon و Intel)¶

مک را خاموش کنید و روتر وای فای خود را خاموش کنید.
** سیلیکون سیب (M1/M2/M3/M4):** دکمه روشن/خاموش را نگه دارید تا "Loading startup options" ظاهر شود. دیسک راه اندازی خود را انتخاب کنید، Shift را نگه دارید و روی ادامه در حالت ایمن کلیک کنید.
Intel Mac: مک را روشن کنید و بلافاصله کلید Shift را نگه دارید تا پنجره ورود ظاهر شود.

فاز 2: شکار و خاتمه دادن به خدمات مداوم ویندوز¶

حذف نصب استاندارد از طریق «افزودن یا حذف برنامه‌ها» اغلب نمی‌تواند سفارشی‌سازی شده را حذف کند ScreenConnect MSI ساخته می‌شود زیرا مهاجمان ورودی حذف‌کننده را از رجیستری ویندوز حذف می‌کنند یا چندین نمونه را تحت نام‌های سرویس هگزا دسیمال تصادفی‌سازی شده مستقر می‌کنند.

در حالت ایمن ویندوز، را فشار دهید Win + R، نوع services.mscو Enter را فشار دهید.
برای مرتب‌سازی بر اساس حروف الفبا، روی ستون نام کلیک کنید و همه سرویس‌ها را برای نام‌های زیر به دقت بررسی کنید:
ScreenConnect Client (xxxxxxxxxxxxxxxx) (توجه: ممکن است دو یا سه جداگانه وجود داشته باشد ScreenConnect Client ورودی هایی با رشته های الفبایی 16 کاراکتری مختلف در پرانتز، که در آن هر یک نشان دهنده یک سرور کلاهبردار متفاوت است).
AnyDesk Service
RustDesk Service
UltraViewerService
TeamViewer
Zoho Assist - Unattended Agent یا SimpleHelp Remote Access
برای هر سرویس مشکوکی که پیدا کردید، روی آن کلیک راست کرده و Properties را انتخاب کنید.
فیلد Path to executable را به دقت بخوانید و آن را یادداشت کنید (به عنوان مثال، C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
منوی کشویی ** نوع راه اندازی ** را به غیرفعال تغییر دهید، روی توقف (در صورت اجرا) کلیک کنید و روی اعمال و OK* کلیک کنید.
بعد، یک Command Prompt را باز کنید (Win + X -> ترمینال (Admin) یا Command Prompt (Admin)) و به طور دائم ثبت نام های سرویس را با استفاده از نام دقیق سرویس لیست شده در پنجره خواص حذف کنید:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

برای ScreenConnect، تمام نمونه های نصب شده را پرس و جو کنید و هر کدام را با نام کلید سرویس دقیق خود حذف کنید:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

فاز 3: پاکسازی وظایف برنامه ریزی شده، پوشه های راه اندازی و دایرکتوری های مخفی¶

حتی پس از حذف یک سرویس ویندوز، مهاجمان اغلب یک کار برنامه ریزی شده را پیکربندی می کنند که عامل راه دور را دوباره از طریق دانلود می کند. powershell.exe یا mshta.exe هر بار که یک کاربر وارد می شود.

را فشار دهید Win + R، نوع taskschd.mscو Enter را فشار دهید تا Task Scheduler باز شود.
روی Task Scheduler Library در قسمت سمت چپ کلیک کنید. هر زیرپوشه را باز کنید و برگه اقدامات هر کار برنامه ریزی شده را بررسی کنید. هر کاری که باینری را از آن راه اندازی می کند را حذف کنید C:\Users\<User>\AppData\، C:\ProgramData\، یا فراخوانی می کند curl، bitsadmin، powershell -WindowStyle Hidden، یا هر دسکتاپ از راه دور قابل اجرا.
را فشار دهید Win + R، نوع shell:startupو Enter را فشار دهید. حذف هر میانبر یا .bat / .vbs اسکریپت های قرار داده شده در پوشه راه اندازی کاربر شما. این کار را با تایپ کردن تکرار کنید shell:common startup برای بازرسی پوشه Startup در سراسر سیستم.
مشاهده فایل‌های مخفی را در File Explorer فعال کنید (View -> Show -> Hidden items) و به صورت دستی فهرست‌های برنامه و حافظه پنهان پیکربندی را برای همه ابزارهای راه دور حذف کنید:
C:\Program Files (x86)\ScreenConnect Client (*)
C:\ProgramData\ScreenConnect Client (*)
C:\Program Files (x86)\AnyDesk\ و C:\ProgramData\AnyDesk\
C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
C:\Program Files\RustDesk\ و C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
C:\Program Files (x86)\UltraViewer\ و C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Tip

قبل از حذف پوشه‌های AnyDesk یا ScreenConnect، گزارش‌های ردیابی پزشکی قانونی را حفظ کنید: اگر قصد دارید یک گزارش پلیس ارسال کنید، FBI IC3 شکایت، یا سوگندنامه رسمی کلاهبرداری بانکی تحت Regulation E، نسخه اول C:\ProgramData\AnyDesk\ad_svc.trace و C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\connection_trace.txt روی یک درایو انگشت شست این فایل متنی، مهر زمانی دقیق و شناسه 9 رقمی Remote AnyDesk کلاهبردار که به رایانه شما متصل شده است را ثبت می کند و به بازرسان کلاهبرداری بانک شما ثابت می کند که شخص ثالثی ایستگاه کاری شما را در طول پنجره تراکنش غیرمجاز کنترل کرده است.

مرحله 4: حذف macOS LaunchDaemons، LaunchAgents و Privacy Grants¶

در macOS، ابزارهای دسترسی از راه دور پایداری را از طریق ایجاد می کنند LaunchDaemons (در سطح سیستم) و LaunchAgents (سطح کاربر)، همراه با macOS TCC مجوزهای (شفافیت، رضایت، و کنترل) برای ضبط صفحه و دسترسی.

در حالت ایمن macOS (آفلاین)، Finder را باز کنید، فشار دهید Cmd + Shift + G (Go to Folder، و سه دایرکتوری زیر را یکی یکی بررسی کنید:
/Library/LaunchDaemons/
/Library/LaunchAgents/
/Users/<YourUsername>/Library/LaunchAgents/
هر کدام را بکشید .plist فایل های حاوی connectwise، screenconnect، anydesk، rustdesk، teamviewer، zoho، یا simplehelp به سطل زباله
بعد، باز کنید /Applications/ و /Library/Application Support/ و هر بسته برنامه دسترسی از راه دور مربوطه و پوشه های پشتیبانی را به سطل زباله منتقل کنید.
System Settings -> Privacy & Security را باز کنید. دو بخش مهم را بررسی کنید:
ضبط صوتی صفحه و سیستم: هر ابزار پشتیبانی از راه دور لیست شده را انتخاب کنید و روی منهای (-) را فشار دهید تا توانایی آن برای مشاهده نمایشگر شما لغو شود.
دسترسی: هر ابزار پشتیبانی از راه دور را انتخاب کنید و روی منهای (-) را فشار دهید تا توانایی آن برای کنترل مکان نما ماوس و ترکیب کردن ضربات کلید را لغو کند.
دسترسی کامل به دیسک: بررسی کنید که هیچ برنامه ناشناخته یا بسته بندی ترمینال به دیسک کامل دسترسی نداشته باشد.

معکوس کردن قفل رمز عبور ویندوز و بنرهای جعلی بوت¶

قبل از قطع ارتباط، کلاهبرداران کینه جو اغلب قربانیان را از رایانه خود قفل می کنند و برای رمز عبور باج می خواهند. آنها از سه روش اصلی استفاده می کنند:

1. تغییر رمز عبور محلی ویندوز (`net user`) یا اضافه کردن یک حساب کاربری سرکش¶

در حالی که پرده صفحه نمایش آنها فعال است، کلاهبرداران اغلب یک Command Prompt را باز کرده و اجرا می کنند net user <YourUsername> <NewPassword> یا یک حساب مدیر در پشتی ایجاد کنید (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * نحوه بررسی و تعمیر: در حالت ایمن، یک Command Prompt بالا را باز کنید (cmd.exe به عنوان Administrator) و تایپ کنید net user. اگر حسابی ناآشنا دیدید، فوراً آن را حذف کنید net user <RogueAccountName> /delete. اگر رمز عبور محلی شما تغییر کرد، از USB نصب ویندوز به محیط بازیابی ویندوز بوت شوید (WinRE) برای بازیابی نقطه بازیابی سیستم قبلی، یا پس از بازنشانی رمز عبور خود در یک تلفن هوشمند تمیز، با حساب مایکروسافت مرتبط خود وارد شوید.

2. فعال کردن بنر پیام راه اندازی از طریق رجیستری (`LegalNoticeCaption`)¶

کلاهبرداران اغلب اصلاح می کنند HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System با تنظیم LegalNoticeCaption و LegalNoticeText برای نمایش یک شماره تلفن قفل امنیتی مایکروسافت جعلی قبل از ورود به سیستم. * نحوه رفع مشکل: این فقط یک صفحه متنی آرایشی قبل از اعلان ورود به سیستم معمولی ویندوز است. روی OK کلیک کنید یا روی Enter را فشار دهید تا آن را دور بزنید، باز کنید regedit در حالت ایمن، به HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemو متن داخل را پاک کنید LegalNoticeCaption و LegalNoticeText.

3. قفل پین بوت ایمن (`bcdedit`)¶

مایکروسافت میراث را حذف کرد syskey.exe ابزار در ویندوز 10 نسخه 1709. امروزه، کلاهبرداران در عوض تیک Safe boot در داخل msconfig و کامپیوتر خود را به صورت آفلاین راه اندازی مجدد کنید. از آنجایی که پین‌های Windows Hello اغلب در صفحه ورود به سیستم Safe Mode بدون دسترسی به شبکه از کار می‌افتند، قربانیان در یک حلقه راه‌اندازی به دام می‌افتند. * نحوه رفع مشکل: Shift + Restart* را در صفحه ورود نگه دارید، عیب یابی -> گزینه های پیشرفته -> خط فرمان را انتخاب کنید و اجرا کنید:

bcdedit /deletevalue {current} safeboot

رایانه را به طور معمول راه اندازی مجدد کنید (روتر اینترنت خود را از برق جدا نگه دارید) تا بتوانید با رمز عبور یا پین ذخیره شده خود وارد شوید و نرم افزار راه دور را حذف کنید.

چرا سرقت جلسه مرورگر و سرقت اطلاعات نیاز به پاک کردن کامل سیستم عامل دارند¶

حتی اگر آن را حذف کنید ScreenConnect، AnyDesk، یا RustDesk خدمات در حالت ایمن، باید ارزیابی کنید که آیا کلاهبردار یک Infostealer ثانویه (Lumma، RedLine، Vidar، Stealc) یا فهرست نمایه مرورگر خود را کپی کنید.

در طول یک جلسه از راه دور بدون نظارت، کمتر از 8 ثانیه طول می کشد تا مهاجم یک اسکریپت PowerShell را اجرا کند که Google Chrome، Microsoft Edge یا فهرست داده های کاربر Brave شما را کپی می کند.C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) همراه با محلی DPAPI کلید رمزگشایی اصلی با این فایل ها در سرور خود، مهاجم دارای موارد زیر است:

هر رمز عبور ذخیره شده در مدیر رمز عبور داخلی مرورگر وب شما.
کوکی های جلسه فعال (Cookies و Network\Cookies پایگاه های داده SQLite): حتی اگر ایمیل یا بانک شما از احراز هویت دو مرحله ای استفاده کند (2FAدر اختیار داشتن کوکی رمزگشایی شده Session Token شما به مهاجم این امکان را می دهد که نمایه مرورگر شما را در یک مرورگر ضد شناسایی در دستگاه خود وارد کند و بدون نیاز به رمز عبور یا به حساب Gmail، Outlook، Amazon، یا ارز دیجیتال شما دسترسی داشته باشد. 2FA کد
** انبارهای کیف پول ارزهای دیجیتال مبتنی بر مرورگر (MetaMask، Phantom، Rabby):** فایل های طاق رمزگذاری شده در داخل Local Extension Settings برای brute-forcing آفلاین استخراج می شوند.

Warning

تغییر گذرواژه به تنهایی همیشه کوکی‌های جلسه به سرقت رفته را از بین نمی‌برد: در بسیاری از وب‌سایت‌ها، بازنشانی گذرواژه فوراً نشانه‌های جلسه موجود «به یاد داشته باشید این دستگاه» را باطل نمی‌کند، مگر اینکه صریحاً روی «خروج از همه دستگاه‌ها» یا «لغو همه جلسات فعال» کلیک کنید. برای حساب‌های Google، به این سایت مراجعه کنید. myaccount.google.com/device-activity از تلفن تمیز خود و هر جلسه از سیستم خارج شوید. برای حساب های مایکروسافت، مراجعه کنید account.microsoft.com/devices و روی "خروج از سیستم همه جا" کلیک کنید.

هنگامی که باید یک سیستم عامل USB تمیز را انجام دهید، دوباره نصب کنید¶

در حالی که اگر کلاهبردار را ظرف 10 ثانیه پس از نصب AnyDesk دستگیر کرده اید و هرگز به او ارتفاع مدیر یا دسترسی بی سرپرست نداده اید، حذف سرویس Safe Mode کافی است، ** اگر هر یک از موارد زیر رخ داد، باید درایو را پاک کنید و یک سیستم عامل تمیز را از طریق یک USB نصب کنید**:

صفحه شما سیاه شد (Blank Guest Monitor) یا ماوس/صفحه کلید شما قفل شده است.
شما یک Command Prompt را دیدید (cmd.exe) یا پنجره PowerShell روی صفحه چشمک می زند.
شما کامپیوتر را بدون مراقبت رها کردید در حالی که کلاهبردار یک اسکن امنیتی جعلی انجام داد.
شما نصب کردید ConnectWise ScreenConnect (که به صورت اجرا می شود SYSTEM به طور پیش فرض و اجازه اجرای اسکریپت پوسته پس زمینه نامرئی را می دهد).

برای انجام یک نصب مجدد ایمن: 1. در حالت آفلاین در حالت ایمن، یک درایو فلش USB کاملاً جدید را به رایانه در معرض خطر وصل کنید و فقط فایل های اطلاعات شخصی (.jpg، .pdf، .docx، .xlsx، فیلم های خانوادگی). هرگز کپی نکنید .exe، .msi، .bat، .ps1، یا پوشه های نمایه مرورگر. 2. با استفاده از کامپیوتر تمیز و متفاوت، ابزار رسمی Windows Media Creation Tool را از مایکروسافت دانلود کنید (microsoft.com/software-download) یا یک نصب کننده macOS قابل بوت ایجاد کنید. 3. کامپیوتر در معرض خطر را از نصب کننده USB تمیز بوت کنید، تمام پارتیشن های موجود در درایو اصلی را حذف کنید (Drive 0) و یک نسخه جدید از سیستم عامل را نصب کنید.

حفظ حق قانونی شما برای بازپرداخت بانکی¶

بانک‌ها اغلب سعی می‌کنند ادعای بازپرداخت کلاهبرداری را در کلاهبرداری‌های دسترسی از راه دور رد کنند، با این استدلال که چون روی «دانلود» در AnyDesk یا ScreenConnect کلیک کرده‌اید، تراکنش‌ها را «مجاز» کرده‌اید یا با سهل انگاری فاحش عمل کرده‌اید. هنگامی که با قاضی ادعای تقلب بانک خود صحبت می کنید، دانستن نحوه عملکرد حمایت های قانونی بانکی مصرف کننده در حوزه قضایی شما بسیار مهم است.

در ایالات متحده: قانون انتقال وجه الکترونیکی (`EFTA`) و `Regulation E` (`12 CFR § 1005`)¶

بر اساس قانون فدرال انتقال وجه الکترونیکی (Regulation E، اداره حمایت مالی از مصرف کننده (CFPB) دستورالعمل نظارتی رسمی صادر کرده است که بیان می کند: * دسترسی القایی همچنان "انتقال غیرمجاز الکترونیکی وجه" است: تحت 12 CFR § 1005.2(m)، انتقال الکترونیکی وجه توسط شخصی که از طریق کلاهبرداری یا سرقت به حساب مصرف کننده دسترسی پیدا کرده است، توسط قانون به عنوان یک EFT غیرمجاز آغاز می شود، حتی اگر مصرف کننده فریب خورده باشد تا رمز عبور، رمز عبور یکبار مصرف یا نصب نرم افزار دسکتاپ از راه دور را ارائه کند. * از سهل انگاری نمی توان برای رد ادعای شما استفاده کرد: تفسیر رسمی CFPB از Regulation E (Comment 6(b)-2) بیان می کند که سهل انگاری مصرف کننده (مانند مواجه شدن با یک پنجره بازشو فیشینگ یا اعطای دسترسی از راه دور دسکتاپ به یک کلاهبردار) نمی تواند توسط بانک برای تحمیل مسئولیت بیشتر بر مصرف کننده استفاده شود. Regulation E اجازه می دهد ($50 حداکثر در صورت گزارش ظرف 2 روز کاری؛ $500 حداکثر ظرف 60 روز). * تمایز بین انتقال‌های Scammer-Clicked در مقابل Consumer-Click: اگر کلاهبردار ماوس را حرکت داده و در پشت صفحه سیاه در جلسه AnyDesk/ScreenConnect روی "ارسال" کلیک کند، این یک EFT غیرمجاز است که توسط Regulation E. کتباً به بانک بگویید: "من این انتقال را آغاز نکرده ام، مجوز نداده ام، یا روی دکمه کلیک نکرده ام؛ یک عامل تهدید جنایتکار این انتقال را از راه دور با استفاده از یک تروجان دسترسی از راه دور انجام داده است، در حالی که صفحه من را قفل کرده است، که به منزله یک EFT غیرمجاز تحت 12 CFR § 1005.2(m) است." ذخیره شده خود را پیوست کنید. connection_trace.txt گزارش یا گزارش‌های مدیریت کنترل سرویس Windows Event Viewer (Event ID 7045 نشان دادن دقیقه دقیق ScreenConnect یا AnyDesk سرویس نصب شد) به عنوان مدرک پزشکی قانونی.

در بریتانیا، اتحادیه اروپا، کانادا و استرالیا¶

** انگلستان (PSR & FOS):** اگر کلاهبردار مستقیماً رایانه شما را برای جابجایی وجوه کنترل می کرد، آن را به عنوان پرداخت غیرمجاز تحت مقررات خدمات پرداخت 2017 گزارش دهید. اگر کلاهبردار صفحه شما را دستکاری کرد (Inspect Element بازپرداخت جعلی) برای فریب دادن شما برای صدور مجوز پرداخت سریع‌تر، آن را تحت رگولاتور خدمات پرداخت گزارش دهید (PSR) اجباری پرداخت فشاری مجاز (APP) تقلب قوانین بازپرداخت و تشدید هرگونه انکار به خدمات بازرس مالی (FOS).
اتحادیه اروپا، کانادا و استرالیا: بلافاصله حادثه را به بانک و پلیس ملی خود گزارش دهید و تأکید کنید که یک تروجان دسترسی از راه دور جلسه را اجرا یا دستکاری کرده است. تشدید اختلافات بانکی حل نشده به مدافع خدمات بانکی و سرمایه گذاری (OBSI) در کانادا یا سازمان شکایات مالی استرالیا (AFCA) در استرالیا تحت ePayments Code.

چک لیست اصلاح و گزارش پس از حادثه¶

قبل از اتصال مجدد شبکه خانگی یا از سرگیری بانکداری آنلاین عادی، تمام موارد موجود در این چک لیست را تکمیل کنید:

ایزوله فیزیکی تأیید شد: رایانه آسیب‌دیده قبل از هر گونه عیب‌یابی بیشتر به‌طور فیزیکی از اترنت و Wi-Fi جدا شد.
حساب های بانکی مسدود و شماره گذاری مجدد شده اند: همه شماره حساب های چک، پس انداز و HELOC که در رایانه قابل مشاهده بودند بسته شده و با شماره حساب های جدید مجدداً صادر شده اند.
صف های پرداخت صورتحساب برنامه ریزی شده و ACH پاک شد: با نظارت بانک تأیید شد که چک های مربوط به Bill Pay در آینده وجود ندارد، پیوندهای بانک خارجی (Plaid، یا دستورالعمل های سیم ایستاده در طول جلسه از راه دور اضافه شد.
تجمیع اعتبار فعال: انجماد امنیتی با Equifax، Experian، TransUnion، و ChexSystems قرار داده شده است.
قوانین بازارسال ایمیل ممیزی شد: از یک گوشی هوشمند تمیز به Gmail/Outlook/Yahoo وارد شده و تنظیمات -> بازارسال و POP/IMAP و قوانین/فیلترها را برای قوانین پنهانی که ایمیل‌های حاوی رایانامه‌ها را به‌طور خودکار حذف یا فوروارد می‌کنند علامت بزنید. "Bank"، "Fraud"، "Wire"، یا "Security Alert".
حافظه رمز عبور مرورگر چرخانده شد: هر رمز عبور ذخیره شده در مدیریت رمز عبور Chrome، Edge، Firefox یا Safari از یک دستگاه تمیز تغییر کرده است.
** سیاهههای مربوط به پزشکی قانونی ذخیره شده و گزارش های رسمی ثبت شده: ** گزارشات را با FBI IC3 (ic3.gov) و FTC (reportfraud.ftc.gov) در ایالات متحده، اقدام تقلب (actionfraud.police.uk) در بریتانیا، مرکز ضد کلاهبرداری کانادایی، یا Scamwatch (scamwatch.gov.au) در استرالیا. همچنین باینری نصب کننده یا شناسه اتصال را به آن گزارش دهید connectwise.com/company/trust/report-abuse یا anydesk.com/en/abuse.

سوالات متداول¶

کلاهبردار برنامه Windows Event Viewer را به من نشان داد `netstat` در Command Prompt و پر از هزاران اخطار، خطا و اتصالات "نشانی خارجی" بود. آیا کامپیوتر من واقعاً قبل از تماس با آنها هک شده بود؟¶

نه. هر دو `eventvwr` (نمایشگر رویدادهای ویندوز) و `netstat` ابزارهای اداری معمولی هستند که در هر کپی از ویندوز تعبیه شده اند و کلاهبرداران از آنها به عنوان ابزار روانی سوء استفاده می کنند. هر رایانه ویندوزی سالم هزاران گزارش معمول زرد هشدار و خطای قرمز را در Event Viewer در طول بوت‌آپ‌های عادی و به‌روزرسانی‌های پس‌زمینه تولید می‌کند، و `netstat` هر اتصال پس‌زمینه معمولی مرورگر و سیستم عامل شما به سرورهای ابری را به عنوان «آدرس خارجی» فهرست می‌کند. کامپیوتر شما تا لحظه ای که دستورالعمل های تماس گیرنده را برای دانلود و اجرای ابزار دسترسی از راه دور دنبال کردید کاملاً ایمن بود.

چگونه کلاهبردار وب سایت بانک واقعی من را نشان می دهد که آنها به طور تصادفی سپرده گذاری کرده اند `$40,000` اگر نتوانند سرور بانک را هک کنند وارد حساب جاری من شوند؟¶

هنگامی که از طریق AnyDesk یا ScreenConnect به رایانه خود متصل هستید، کلاهبردار صفحه شما را به مدت 15 ثانیه سیاه می کند، روی موجودی بانکی شما در مرورگر وب کلیک راست کرده و روی **"Inspect" (`Developer Tools`)**. با این کار متن HTML محلی نمایش داده شده در برگه مرورگر شما باز می شود. کلاهبردار به سادگی تایپ می کند `$45,200.00` بیش از واقعی شما `$5,200.00` تعادل و خواندن خط متن جعلی اضافه می کند `"ACH REFUND OVERPAYMENT +$40,000.00"` روی صفحه نمایش شما این ویرایش فقط در حافظه موقت برگه مرورگر شما وجود دارد (`DOM`(`F5`) یا موجودی خود را در برنامه تلفن هوشمند خود بررسی کنید. در غیر این صورت، آنها انتقال می دهند `$40,000` از حساب پس انداز یا خط اعتباری خود به حساب جاری خود و صفحه را مجدداً برچسب بزنید تا شما را فریب دهد تا پول خود را به آنها سیم کشی کنید.

اگر من AnyDesk یا UltraViewer را از کنترل پنل حذف نصب کنم، آیا می توانم Wi-Fi خود را دوباره روشن کنم؟¶

معمولاً بدون بازرسی سرویس های ویندوز (`services.msc`) ابتدا در حالت ایمن. مراکز تماس کلاهبرداری پشتیبانی فنی حرفه ای می دانند که قربانیان اغلب به محض قطع تلفن، AnyDesk یا UltraViewer را حذف می کنند. بنابراین، در دو دقیقه اول اتصال به رایانه شخصی، کلاهبرداران به طور معمول از انتقال فایل بی صدا برای رها کردن یک **ConnectWise ScreenConnect** ثانویه و مخفی استفاده می کنند.`ScreenConnect.ClientService.exe`) یا عامل **SimpleHelp** که میانبر دسکتاپ ایجاد نمی کند و در داخل آن پنهان می شود `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. مگر اینکه در حالت ایمن تأیید کنید که هیچ سرکشی نیست `SYSTEM` سرویس‌ها یا کارهای برنامه‌ریزی‌شده وجود داشته باشند، یا یک پاک کردن کامل USB OS انجام دهید، اتصال مجدد به Wi-Fi می‌تواند بلافاصله کنترل رایانه شما را به مهاجم بازگرداند.

آیا یک کلاهبردار فقط به این دلیل که من AnyDesk را روی یک لپ تاپ نصب کرده ام، می تواند به رایانه ها یا تلفن های هوشمند دیگر در شبکه Wi-Fi خانگی من دسترسی پیدا کند؟¶

نصب AnyDesk یا ScreenConnect رایانه خاصی را که نصب کننده را در آن اجرا کرده اید، به خطر می اندازد، نه تلفن یا سایر لپ تاپ های شما را مستقیماً. با این حال، اگر از **Google Chrome، Microsoft Edge، یا گذرواژه و همگام‌سازی جلسات iCloud اپل** در سراسر لپ‌تاپ و تلفن هوشمند خود استفاده می‌کنید، هر گذرواژه‌ای که کلاهبردار می‌دزدد یا در لپ‌تاپ آلوده تغییر می‌کند، بر حساب‌های ابری مشترک شما تأثیر می‌گذارد. همچنین، در حین اتصال به لپ‌تاپ، مهاجم می‌تواند وارد صفحه مدیریت روتر خانگی شما شود (`192.168.1.1`) اگر همچنان از رمز عبور پیش فرض مدیریت استفاده می کند و روتر شما را تغییر می دهد `DNS` تنظیمات پس از جداسازی لپ تاپ آلوده، روتر Wi-Fi خود را به حالت کارخانه بازنشانی کنید یا تنظیمات DNS و رمز عبور مدیریت آن را از یک دستگاه تمیز تأیید کنید.

راهنماهای مرتبط¶

منابع و راهنمای رسمی¶

آژانس امنیت سایبری و امنیت زیرساخت (CISA، دفتر تحقیقات فدرال (FBI)، آژانس امنیت ملی (NSA، و مرکز تجزیه و تحلیل اطلاعات چند ایالتی (MS-ISAC) (ایالات متحده): مشاوره مشترک امنیت سایبری (AA23-025A): محافظت در برابر استفاده مخرب از نظارت و مدیریت از راه دور (RMM) نرم افزار.
دفتر حمایت مالی مصرف کننده (CFPB) (ایالات متحده): انتقالات الکترونیکی وجوه (Regulation E، 12 CFR Part 1005) تفاسیر رسمی و سوالات متداول در مورد EFT های غیرمجاز و دسترسی های ناشی از تقلب.
کمیسیون تجارت فدرال (FTC) (ایالات متحده): نحوه تشخیص، اجتناب و گزارش کلاهبرداری های پشتیبانی فنی.
مرکز ملی امنیت سایبری (NCSC) & Action Fraud (بریتانیا): محافظت از دستگاه ها در برابر ابزارهای غیرمجاز دسترسی از راه دور و کلاهبرداری به اشتراک گذاری صفحه.
مرکز پاسخگویی اعتماد و امنیت ConnectWise: شناسایی و حذف Rogue ScreenConnect (ConnectWise Control) نمونه های مشتری.