Fjaraðgangur tróverji (ScreenConnect, AnyDesk, RustDesk, UltraViewer) tækniaðstoðsvindl: draga ethernet, drepa þjónustu og frysta banka¶

Þegar svindlari sannfærir þig um að setja upp fjarstýrt skrifborðsverkfæri eða keyrir fjareftirlitsaðila á tölvunni þinni, fá þeir ótakmarkaða stjórn á músinni þinni, lyklaborðinu, skráarkerfinu og virkum vafralotum. Meðan hann sýnir falsaða öryggisskönnun eða svarta persónuverndartjald á skjánum þínum, tæmir símafyrirtækið tékkareikninga hljóðlaust, uppsker vistuð lykilorð og setur upp viðvarandi bakgrunnsþjónustu sem lifir af staðlaða endurræsingu. Þessi handbók veitir tafarlausar ráðstafanir til að rjúfa gagnatengingu árásarmannsins, uppræta varanlega eftirlitslausa fjaraðgangsþjónustu og læsa banka- og lánainnviðum þínum áður en fjármunir hreinsa þráðanetið.

Gerðu þetta núna¶

1. Slökktu á allri nettengingu líkamlega og strax. Taktu Ethernet snúruna úr sambandi aftan á skjáborðinu þínu eða beininum, snúðu Wi-Fi rofanum á fartölvuna þína eða haltu rofanum á Wi-Fi beininum inni í 10 sekúndur þar til öll ljós dimma. Ekki eyða tíma í að reyna að berjast við svindlarann ​​um stjórn á músarbendlinum til að smella á aftengja hnappinn.
2. Slökktu á tölvunni sem er í hættu ef skjárinn er myrkvaður. Ef árásarmaðurinn hefur virkjað „Blank Guest Monitor“ eða læst lyklaborðsinntakinu þínu, ýttu á og haltu inni rafhnappi tölvunnar í heilar 10 sekúndur þar til vélin slekkur alveg á sér. Láttu það vera slökkt á meðan þú tryggir fjárhagsreikninga þína fyrir aðskildu, hreinu tæki.
3. Hringdu í svikadeild bankans þíns úr óháðum síma. Notaðu farsíma til að hringja í opinbera númerið sem er prentað aftan á debet- eða kreditkortinu þínu, eða hringdu í neyðarnúmerið þitt (911 í Bandaríkjunum og Kanada, 112 í Evrópusambandinu, 999 í Bretlandi) ef virk fjárkúgunarógn á sér stað; sjáðu neyðarnúmer fyrir alþjóðleg samskipti. Leiðbeindu bankanum að setja tafarlaust harða frystingu á alla tékka-, sparnaðar- og inneignarreikninga og krefjast neyðarinnköllunar á hvers kyns sjálfvirkum greiðslumiðlun (ACH), millifærslum eða rauntíma.
4. Afturkalla virkar lotukökur og breyttu lykilorðum úr hreinum snjallsíma. Notaðu símann þinn á farsímagögnum (ekki tengdur við Wi-Fi heima hjá þér ef tölvan sem er í hættu er aftur á), skráðu þig inn á aðalnetfangið þitt, bankagáttir og skýjageymslureikninga. Lokaðu öllum virkum innskráningarlotum, afturkallaðu óviðurkennd Multi-Factor Authentication (MFA) tæki og snúðu lykilorðunum þínum.
5. Ræstu sýktu tölvuna í örugga stillingu án netkerfis. Kveiktu aðeins aftur á tölvunni sem er í hættu þegar hún er aftengd internetinu, farðu í Windows Safe Mode eða macOS Safe Mode til að skoða og fjarlægja eftirlitslausa bakgrunnsþjónustu (ScreenConnect Client, AnyDesk Service, RustDesk Service) áður en stýrikerfið hleður netrekla þriðja aðila.

Að skilja líffærafræði RMM í atvinnuskyni og árás á ytra skrifborð¶

Nútíma svindl með tækniaðstoð, endurgreiðslusvik og árásir á eftirlíkingu banka treysta sjaldan á sérsniðna tölvuvírusa. Þess í stað misnota hótunaraðilar lögmætt, stafrænt undirritað fjareftirlit og stjórnun (RMM) hugbúnaður og fjarskrifborðsverkfæri í atvinnuskyni. Vegna þess að þessar keyrslur bera gild dulritunarmerki undirritunarvottorðs frá traustum hugbúnaðarframleiðendum, hindra venjuleg vírusvarnarforrit eins og Windows Defender eða macOS XProtect ekki uppsetningu þeirra.

Hvernig árásarmenn beita lögmætum fjarstýringartvítölum vopnum¶

Þegar fórnarlamb hringir í gjaldfrjálst númer sem birtist á falsa vafrasprettiglugga, svarar brýnum reikningstölvupósti eða fylgir leiðbeiningum frá falsa bankasvikarannsakanda, beinir símafyrirtækið þeim að hlaða niður keyrslu eða MSI uppsetningarforriti. Þeir vettvangar sem mest hafa verið misnotaðir eru:

• ConnectWise ScreenConnect (áður Control): Oft sett í gegnum sérsniðna .msi eða .exe pakki hýst á netþjóni sem er stjórnað af árásarmanni. Þegar það hefur verið keyrt setur það upp sem viðvarandi Windows kerfisþjónustu (ScreenConnect Client (xxxx)) hlaupandi með NT AUTHORITY\SYSTEM réttindi, veita hljóðlausan, eftirlitslausan aðgang hvenær sem tölvan er nettengd.
• AnyDesk (anydesk.exe): Oft notað í svindli á milli vettvanga sem miða að Windows, macOS og fartækjum. Árásarmenn gefa fórnarlambinu fyrirmæli um að lesa upphátt 9 stafa AnyDesk heimilisfangið, biðja um stjórnsýsluhækkanir og stilla „Lykilorð án eftirlits aðgangs“ til að tengjast aftur á meðan fórnarlambið sefur.
• RustDesk (rustdesk.exe): Opinn uppspretta fjarstýrð skrifborðsverkfæri sem svindlsamsteypur njóta góðs af vegna þess að þau geta sjálf-hýst miðlara, framhjá fjarlægingum á misnotkun söluaðila.
• UltraViewer, TeamViewer, Zoho Assist og SimpleHelp: Venjulega hlekkjað saman. Svindlari sem tengist í gegnum UltraViewer eða AnyDesk mun oft setja upp falinn ScreenConnect eða SimpleHelp pakki í bakgrunni sem bakdyr til vara.

Neyðarvinnuflæði: rjúfa tenginguna og koma í veg fyrir skemmdir¶

Notaðu eftirfarandi rekstrarflæðirit til að stöðva virka fjarlotu, einangra vinnustöðina og ákvarða hvort hægt sé að þrífa vélina í Safe Mode eða krefjast fullkomins þurrkunar á stýrikerfi.

flowchart TD
    A["Virkur eða nýlegur fjaraðgangssvindl fannst"] --> B["Taktu líkamlega Ethernet snúru úr sambandi og slökktu á Wi-Fi beini"]
    B --> C{"Er skjárinn svartur eða músin læst?"}
    C -- "Já" --> D["Haltu PC Physical Power Button í 10 sekúndur til að þvinga burt"]
    C -- "Nei" --> E["Kveiktu á flugstillingu og slökktu á tölvunni venjulega"]
    D --> F["Notaðu hreinan snjallsíma á farsímagögnum til að hringja í bankasvikadeild"]
    E --> F
    F --> G["Frysta athugun/sparnað, innkallavír/Zelle, læsa lánaskrifstofur"]
    G --> H["Frá hreinum snjallsíma: Snúa tölvupósti/bankalykilorðum og drepa lotum"]
    H --> I{"Hafði svindlari eftirlitslausan aðgang eða keyrði CMD/PowerShell?"}
    I -- "Já (mjög áhætta)" --> J["Ræstu tölvuna án nettengingar í öruggan hátt til að bjarga persónulegum skjölum eingöngu"]
    I -- "Nei (stuttur fundur með eftirliti)" --> K["Ræstu án nettengingar í öruggan hátt til að hreinsa RMM þjónustu og vottorð"]
    J --> L["Framkvæmdu Full Clean OS enduruppsetningu með USB-miðli frá hreinni tölvu"]
    K --> M["Fjarlægðu þjónustu, tímasett verkefni, AppData og endurskoðun vafraviðbóta"]

Samanburður á fjaraðgangsverkfærum sem svindlarar misnotuðu¶

Áður en þú reynir að þrífa vél eða tilkynna atvikið til réttar svikateymi bankans þíns skaltu tilgreina hvaða fjartól voru sett upp. Mundu að svindlarar setja reglulega upp tvö eða þrjú mismunandi verkfæri á einni lotu þannig að ef þú fjarlægir sýnilega skjáborðstáknið verður falin aukaþjónusta þeirra virk.

Skref-fyrir-skref banka- og fjármálaviðskipti (fyrstu 30 mínúturnar)¶

Í fjaraðgangssvindli er tölvusýkingin aðeins afhendingarbúnaðurinn; helsta neyðarástandið er bráður fjárþjófnaður. Árásarmenn nota sálfræðileg og tæknileg brellur, eins og að breyta HTML frumkóðanum (Inspect Element) á vefsíðu bankans þíns til að líkja eftir slysi $40,000 ofgreiðslu í stað $400, til að plata þig til að leggja peninga, kaupa gjafakort eða leggja reiðufé í Bitcoin hraðbanka. Jafnvel þó þú hafir neitað að senda peninga, getur árásarmaður með fjaraðgang hafið millifærslur beint á meðan skjárinn þinn er myrkur.

1. Settu strax harða frystingu og settu af stað innkallanir á flutning¶

Hringdu strax í sérstaka svikadeild fjármálastofnunarinnar með því að nota hreinan síma. Taktu skýrt fram: "Tölvan mín var í hættu af tróverji með fjaraðgangi við tækniaðstoð/svindl með eftirlíkingu banka. Óviðurkenndur aðili hafði aðgang að netbankalotunni minni í beinni." Krefjast eftirfarandi sértækra aðgerða:

• Loka á netbankaprófíl: Láttu bankann slökkva á innskráningarskilríkjum þínum fyrir netbanka og farsímabanka alfarið og ógilda alla virka OAuth-tákn og lotukökur.
• ACH, Wire og RTP innköllun (SWIFT / Fedwire / Faster Payments): Biðjið fulltrúann um að skoða reikninginn þinn með tilliti til hvers kyns sjálfvirkrar útgreiðslustöðvar í bið eða í biðröð (ACH) millifærslur, millifærslur innanlands/erlendur, Zelle / Venmo greiðslur, eða „Bill Pay“ ávísanir sem áætlaðar eru fyrir framtíðardagsetningar. Svindlarar skipuleggja oft Bill Pay ávísun eða eftir dagsett ACH millifærslu sett til að framkvæma 3 til 5 dögum síðar í von um að þú takir ekki eftir því.
• Skipting reikningsnúmera: Vegna þess að árásarmaðurinn hefur líklega skoðað alla leiðar- og ávísunarreikningsnúmerin þín (eða hlaðið niður PDF bankayfirlitum úr vafranum þínum), er ekki nóg að frysta debetkortið eitt og sér. Þú verður að biðja bankann um að loka reikningsnúmerum sem hafa verið í hættu og skipta inneignum þínum yfir í glæný reikningsnúmer með "Post No Debet" (PND) takmarkanir á gömlu reikningunum.
• Athugaðu fyrir falinn innri millifærslu eða reiðufé: Árásarmenn taka oft fyrirframgreiðslur í reiðufé af tengda kreditkortinu þínu eða heimalánasjóði (HELOC) og millifærðu það fyrst inn á tékkareikninginn þinn, annaðhvort til að láta þig trúa því að þeir hafi „óvart endurgreitt“ þér, eða til að sameina hámarkslausafjárstöðu áður en þú tengir samanlagða stöðuna af landi. Segðu bankasvikasérfræðingnum að athuga hvort einhverjar millifærslur innan banka hafi átt sér stað á milli sparnaðar-, kreditkorta- eða miðlarareikninga.

2. Frystu lánastofnanir og athugaðu hvort nýjar lánsumsóknir séu til staðar¶

Meðan þeir eru tengdir við tölvuna þína, leita svindlarar reglulega Downloads eða Documents möppur fyrir leitarorð eins og tax, 1040, W2, passport, license, eða password og farðu í gegnum skattframtölin þín og auðkennisskannanir.

1. Settu strax ókeypis öryggisfrystingu hjá öllum helstu lánastofnunum með því að nota hreina snjallsímann þinn:
2. Í Bandaríkjunum: Frysta Equifax (1-888-298-0045), Experian (1-888-397-3742), TransUnion (1-800-916-8800), og ChexSystems (1-800-428-9687).
3. Í Bretlandi: Hafðu samband við Experian, Equifax og TransUnion og skráðu þig fyrir Cifas Protective Registration.
4. Í Kanada: Settu inn frystingu eða svikviðvaranir með Equifax Canada og TransUnion Canada.
5. Í Ástralíu: Biddu um lánsbann í gegnum Equifax, Illion og Experian.
6. Skoðaðu lánshæfismatsskýrsluna þína strax fyrir erfiðar fyrirspurnir á síðasta sólarhring; Svindlarar sækja oft um tafarlaus persónuleg lán á netinu í bakgrunnsvafraflipa á meðan þeir tala við þig.

Eyða fjaraðgangsþjónustu í Safe Mode (Windows og macOS)¶

Ef þú ákveður að skoða vélina, varðveita réttarskrár fyrir löggæslu eða bjarga óbætanlegum persónulegum myndum áður en þú þurrkar af harða disknum skaltu aldrei ræsa tölvuna í venjulega stillingu meðan hún er tengd við internetið. Um leið og venjulegri ræsingu lýkur með Wi-Fi virkt, viðvarandi ScreenConnect eða AnyDesk Þjónustan mun hringja heim í stjórnborð svindlarans og láta þá vita að vélin þín sé aftur tengd.

1. áfangi: Ræsing í öruggan ham án netkerfis¶

Á Windows 10 og Windows 11¶

1. Gakktu úr skugga um að Ethernet snúran sé tekin úr sambandi og að Wi-Fi beininn þinn sé tekinn úr sambandi eða að flugstillingin sé virk.
2. Kveiktu á tölvunni. Á Windows innskráningarskjánum skaltu halda Vinstri Shift takkanum inni á meðan þú smellir á Kveikja -> Endurræsa.
3. Á bláa bataskjánum, veldu Úrræðaleit -> Ítarlegir valkostir -> Ræsingarstillingar -> Endurræsa.
4. Þegar listi yfir ræsingarvalkosti birtist skaltu ýta á 4 eða F4 (Enable Safe Mode). Ekki ýta á 5 (Safe Mode with Networking).

Á macOS (Apple Silicon og Intel)¶

1. Slökktu á Mac og slökktu á Wi-Fi beininum þínum.
2. Apple Silicon (M1/M2/M3/M4): Haltu rofanum inni þar til „Hleður ræsivalkostir“ birtist. Veldu ræsidiskinn þinn, haltu Shift inni og smelltu á Halda áfram í öruggri stillingu.
3. Intel Mac: Kveiktu á Mac og haltu strax Shift takkanum þar til innskráningarglugginn birtist.

2. áfangi: Veiða og hætta viðvarandi Windows þjónustu¶

Venjuleg fjarlæging með „Bæta við eða fjarlægja forrit“ tekst oft ekki að fjarlægja sérsniðnar ScreenConnect MSI byggir upp vegna þess að árásarmenn fjarlægja færsluna til að fjarlægja uppsetningarforritið úr Windows Registry eða setja upp mörg tilvik undir handahófskenndum sextándu þjónustuheitum.

1. Í Windows Safe Mode, ýttu á Win + R, gerð services.msc, og ýttu á Enter.
2. Smelltu á dálkinn Nafn til að raða í stafrófsröð og skoðaðu hverja þjónustu vandlega fyrir eftirfarandi nöfn:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Athugið: Það geta verið tveir eða þrír aðskildir ScreenConnect Client færslur með mismunandi 16 stafa alfanumerískum strengjum innan sviga, þar sem hver táknar annan svindlaraþjón).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent eða SimpleHelp Remote Access
9. Fyrir hverja grunsamlega þjónustu sem þú finnur skaltu hægrismella á hana og velja Eiginleikar.
10. Lestu reitinn Path to executable vandlega og skrifaðu hann niður (td. C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Breyttu fellivalmyndinni Startup type í Disabled, smelltu á Stop (ef í gangi) og smelltu á Apply og OK.
12. Næst skaltu opna upphækkaða skipanalínu (Win + X -> Terminal (Admin) eða Command Prompt (Admin)) og eyða þjónustuskráningum varanlega með því að nota nákvæmlega þjónustunafnið sem skráð er í eiginleikaglugganum:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Fyrir ScreenConnect, leitaðu í öll uppsett tilvik og eyddu hverju og einu með nákvæmu nafni þjónustulykilsins:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

3. áfangi: Hreinsun á áætlunarverkefnum, ræsingarmöppum og földum möppum¶

Jafnvel eftir að Windows þjónustu er eytt, stilla árásarmenn oft áætlað verkefni sem hleður niður ytri umboðsmanninum aftur í gegnum powershell.exe eða mshta.exe í hvert skipti sem notandi skráir sig inn.

1. Ýttu á Win + R, gerð taskschd.msc, og ýttu á Enter til að opna Task Scheduler.
2. Smelltu á Task Scheduler Library í vinstri glugganum. Stækkaðu hverja undirmöppu og skoðaðu flipann Aðgerðir hvers tímasetts verkefnis. Eyddu hvaða verki sem er sem ræsir tvöfalda úr C:\Users\<User>\AppData\, C:\ProgramData\, eða ákallar curl, bitsadmin, powershell -WindowStyle Hidden, eða hvaða keyrslutæki sem er fyrir ytra skrifborð.
3. Ýttu á Win + R, gerð shell:startup, og ýttu á Enter. Eyða öllum flýtileiðum eða .bat / .vbs forskriftir settar í Startup möppuna þína. Endurtaktu þetta með því að slá inn shell:common startup til að skoða Startup möppuna fyrir alla kerfið.
4. Virkjaðu að skoða faldar skrár í File Explorer (Skoða -> Sýna -> Falin atriði) og eyða handvirkt forritaskrám og stillingarskyndiminni fyrir öll fjartól:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ og C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ og C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ og C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Áfangi 4: Fjarlægir macOS LaunchDaemons, LaunchAgents og Privacy Grants¶

Á macOS koma fjaraðgangsverkfærum á þrautseigju í gegnum LaunchDaemons (í kerfinu) og LaunchAgents (notendastigi), ásamt macOS TCC (Gagsæi, samþykki og eftirlit) heimildir fyrir Skjáupptöku og Aðgengi.

1. Þegar þú ert í macOS Safe Mode (ótengdur), opnaðu Finder, ýttu á Cmd + Shift + G (Go to Folder), og skoðaðu eftirfarandi þrjár möppur eina í einu:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Dragðu hvaða .plist skrár sem innihalda connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, eða simplehelp í Ruslið.
6. Næst skaltu opna /Applications/ og /Library/Application Support/ og færðu samsvarandi fjaraðgangsforritabúnta og stuðningsmöppur í ruslið.
7. Opnaðu Kerfisstillingar -> Persónuvernd og öryggi. Athugaðu tvo mikilvæga hluta:
8. Hljóðupptaka skjár og kerfis: Veldu hvaða fjarstuðningstæki sem er skráð og smelltu á mínus (-) hnappinn til að afturkalla getu hans til að skoða skjáinn þinn.
9. Aðgengi: Veldu hvaða fjarstuðningstæki sem er og smelltu á mínus (-) hnappinn til að afturkalla getu hans til að stjórna músarbendlinum og búa til áslátt.
10. Fullur diskaaðgangur: Staðfestu að ekkert óþekkt forrit eða flugstöðvaumbúðir hafi fengið fullan diskaðgang.

Að snúa við Windows lykilorðalásum og fölsuðum ræsiborðum¶

Áður en þeir aftengjast loka svindlarar oft fórnarlömbum út úr tölvum sínum og krefjast lausnargjalds fyrir lykilorðið. Þeir nota þrjár aðalaðferðir:

1. Breyta staðbundnu Windows lykilorðinu þínu (net user) eða bæta við fantur admin reikningi¶

Á meðan skjátjaldið þeirra er virkt, opna svindlarar oft upphækkaða skipanalínu og hlaupa net user <YourUsername> <NewPassword> eða búðu til bakdyrastjórnunarreikning (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Hvernig á að athuga og laga: Í öruggri stillingu, opnaðu upphækkaða skipanalínu (cmd.exe sem stjórnandi) og sláðu inn net user. Ef þú sérð ókunnugan reikning skaltu eyða honum strax með net user <RogueAccountName> /delete. Ef staðbundnu lykilorðinu þínu var breytt skaltu ræsa frá Windows uppsetningar USB inn í Windows endurheimtarumhverfið (WinRE) til að endurheimta fyrri kerfisendurheimtunarpunkt, eða skráðu þig inn með tengda Microsoft reikningnum þínum eftir að hafa endurstillt lykilorðið þitt á hreinum snjallsíma.

2. Virkja ræsiskilaboðaborða í gegnum Registry (LegalNoticeCaption)¶

Svindlarar breyta oft HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System með því að stilla LegalNoticeCaption og LegalNoticeText til að birta falsað Microsoft Security Lockout símanúmer fyrir innskráningu. * Hvernig á að laga: Þetta er eingöngu snyrtilegur textaskjár fyrir venjulega Windows innskráningarkvaðningu. Smelltu á Í lagi eða ýttu á Enter til að komast framhjá því, opnaðu regedit í Safe Mode, farðu í HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System, og hreinsaðu textann inni LegalNoticeCaption og LegalNoticeText.

3. PIN læsingar fyrir örugga ræsingu (bcdedit)¶

Microsoft fjarlægði arfleifðina syskey.exe tól í Windows 10 útgáfu 1709. Í dag merkja svindlarar í staðinn örugg ræsing inni í msconfig og endurræstu tölvuna þína án nettengingar. Vegna þess að Windows Hello PIN-númer mistakast oft á innskráningarskjánum í Safe Mode án netaðgangs, festast fórnarlömb í ræsilykkju. * Hvernig á að laga: Haltu Shift + Endurræsa inni á innskráningarskjánum, veldu Úrræðaleit -> Ítarlegir valkostir -> Skipunarlína og keyrðu:

bcdedit /deletevalue {current} safeboot

Endurræstu tölvuna venjulega (haltu netbeini þínum ótengdri) svo þú getir skráð þig inn með skyndiminni lykilorðinu þínu eða PIN-númerinu og fjarlægt fjarhugbúnaðinn.

Hvers vegna þjófnaður á vafralotum og upplýsingaþjófnaðarmenn þurfa fulla stýrikerfisþurrku¶

Jafnvel ef þú eyðir ScreenConnect, AnyDesk, eða RustDesk þjónustu í Safe Mode, verður þú að meta hvort svindlarinn hafi notað auka Infostealer (Lumma, RedLine, Vidar, Stealc) eða afritaði prófílskrána þína í vafranum.

Á meðan á eftirlitslausri fjarlotu stendur tekur það minna en 8 sekúndur fyrir árásarmann að keyra PowerShell skriftu sem afritar Google Chrome, Microsoft Edge eða Brave notendagagnaskrána þína (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) ásamt heimamönnum DPAPI master afkóðunarlykil. Með þessar skrár á þjóninum sínum býr árásarmaðurinn yfir:

1. Hvert lykilorð sem er vistað í innbyggðum lykilorðastjóra vafrans þíns.
2. Virkar lotukökur (Cookies og Network\Cookies SQLite gagnagrunnar): Jafnvel þótt tölvupósturinn þinn eða bankinn noti tvíþætta auðkenningu (2FA), með því að eiga afkóðaða lotulykkjaköku þína gerir árásarmaðurinn kleift að flytja vafraprófílinn þinn inn í varnarvafra á vélinni sinni og fá aðgang að Gmail, Outlook, Amazon eða cryptocurrency exchange reikningnum þínum án þess að þurfa lykilorð eða 2FA kóða.
3. ** Vafra-undirstaða dulritunargjaldmiðils veskishólfa (MetaMask, Phantom, Rabby):** Dulkóðaðar hvelfingarskrár inni Local Extension Settings eru útskúfuð fyrir ótengda kúgun.

Þegar þú verður að framkvæma hreint USB stýrikerfi endursetja¶

Þó að fjarlæging öryggishamsþjónustu sé nægjanlegt ef þú náðir svindlaranum innan 10 sekúndna frá því að AnyDesk var sett upp og gafst honum aldrei upphækkun stjórnanda eða eftirlitslausan aðgang, þú verður að þurrka drifið og framkvæma hreina uppsetningu stýrikerfisins af USB-lykli ef eitthvað af eftirfarandi átti sér stað:

• Skjárinn þinn varð svartur (Blank Guest Monitor) eða músinni/lyklaborðinu var læst.
• Þú sást skipanalínu (cmd.exe) eða PowerShell gluggi blikkar á skjánum.
• Þú skildir tölvuna eftir eftirlitslausa á meðan svindlarinn rak falsa öryggisskönnun.
• Þú settir upp ConnectWise ScreenConnect (sem gengur sem SYSTEM sjálfgefið og leyfir ósýnilega bakgrunnsskeljaforskriftaframkvæmd).

Til að framkvæma örugga enduruppsetningu: 1. Þegar þú ert án nettengingar í öruggri stillingu skaltu tengja glænýju USB-drifi við tölvuna sem er í hættu og afrita aðeins persónulegar gagnaskrár (.jpg, .pdf, .docx, .xlsx, fjölskyldumyndbönd). Aldrei afrita .exe, .msi, .bat, .ps1, eða prófílmöppur í vafra. 2. Notaðu öðruvísi, hreina tölvu, halaðu niður opinberu Windows Media Creation Tool frá Microsoft (microsoft.com/software-download) eða búðu til ræsanlegt macOS uppsetningarforrit. 3. Ræstu tölvuna í hættu úr hreinu USB uppsetningarforritinu, eyddu öllum núverandi skiptingum á aðaldrifinu (Drive 0), og settu upp nýtt eintak af stýrikerfinu.

Varðveita lagalegan rétt þinn til endurgreiðslu banka¶

Bankar reyna oft að hafna kröfum um endurgreiðslu svika í fjaraðgangssvindli með því að halda því fram að vegna þess að þú smelltir á „Download“ á AnyDesk eða ScreenConnect, „heimildir“ þú viðskiptin eða gerðir af stórkostlegu gáleysi. Það er mikilvægt að vita hvernig lögbundin neytendabankavernd virkar í lögsögunni þinni þegar þú talar við dómara bankans um svikakröfur.

Í Bandaríkjunum: lögum um rafræna sjóðsfærslu (EFTA) og Regulation E (12 CFR § 1005)¶

Samkvæmt alríkislögum um rafræna sjóðmillifærslu (Regulation E), Fjárhagsverndarskrifstofa neytenda (CFPB) hefur gefið út opinberar eftirlitsleiðbeiningar þar sem fram kemur að: * Aðgangur af völdum er enn „óheimil rafræn millifærsla“: Undir 12 CFR § 1005.2(m), rafræn millifærsla á frumkvæði einstaklings sem fékk aðgang að reikningi neytenda með svikum eða ráni er skilgreind í lögum sem óheimil EFT, jafnvel þó að neytandinn hafi verið blekktur til að gefa upp lykilorð, aðgangskóða í eitt skipti eða setja upp hugbúnað fyrir ytra skjáborð. * Ekki er hægt að nota vanrækslu til að hafna kröfu þinni: Opinber túlkun CFPB á Regulation E (Comment 6(b)-2) kemur fram að vanræksla neytenda (eins og að falla fyrir phishing sprettiglugga eða veita svindlara aðgang að ytra skrifborði) getur ekki verið notað af banka til að leggja meiri ábyrgð á neytanda en Regulation E leyfir ($50 hámark ef tilkynnt er innan 2 virkra daga; $500 hámarki innan 60 daga). * Gerðu greinarmun á millifærslum sem svindlari smellt á og neytendasmellt: Ef svindlarinn hreyfði músina og smellti á „Senda“ á bak við svartan skjá meðan á AnyDesk/ScreenConnect lotunni stendur, er það óheimiluð EFT sem falla undir skv. Regulation E. Segðu bankanum skriflega: "Ég átti ekki frumkvæði að, heimilaði eða smellti á hnappinn fyrir þessa millifærslu; glæpamaður framkvæmdi flutninginn fjarstýrt með því að nota fjaraðgangstróverji á meðan ég læsti skjánum mínum, sem er óheimilt EFT samkvæmt 12 CFR § 1005.2(m)." Hengdu varðveittu þína. connection_trace.txt log eða Windows Event Viewer Service Control Manager logs (Event ID 7045 sýnir nákvæma mínútu ScreenConnect eða AnyDesk þjónusta var sett upp) sem réttar sönnun.

Í Bretlandi, Evrópusambandinu, Kanada og Ástralíu¶

• Bretland (PSR & FOS): Ef svindlarinn stjórnaði tölvunni þinni beint til að flytja fjármuni, tilkynntu það sem Óheimila greiðslu samkvæmt Reglugerð um greiðsluþjónustu 2017. Ef svindlarinn stjórnaði skjánum þínum (Inspect Element falsa endurgreiðslu) til að blekkja þig til að heimila hraðari greiðslu sjálfur, tilkynntu það undir eftirlitsaðila greiðsluþjónustu (PSR) skylda heimiluð þrýstigreiðsla (APP) Svik endurgreiðslureglur og stigmagnandi neitun til Fjármálaumboðsmannsþjónustunnar (FOS).
• Evrópusambandið, Kanada og Ástralía: Tilkynntu atvikið tafarlaust til banka og landslögreglu, með því að leggja áherslu á að tróverji með fjaraðgangi framkvæmdi eða stjórnaði fundinum. Færa óleyst bankadeilur til Umboðsmanns bankaþjónustu og fjárfestinga (OBSI) í Kanada eða Australian Financial Complaints Authority (AFCA) í Ástralíu undir ePayments Code.

Gátlisti fyrir úrbætur og tilkynningar eftir atvik¶

Ljúktu við hvert atriði á þessum gátlista áður en þú tengir heimanetið þitt aftur eða byrjar aftur venjulega netbanka:

• Líkamleg einangrun staðfest: Tölva í hættu var líkamlega aftengd Ethernet og Wi-Fi fyrir frekari bilanaleit.
• Bankareikningar frystir og endurnúmeraðir: Öllum ávísana-, sparnaðar- og HELOC reikningsnúmerum sem voru sýnileg í tölvunni hefur verið lokað og endurútgefið með nýjum reikningsnúmerum.
• Áætlaðar Bill Pay og ACH biðraðir hreinsaðar: Staðfest með bankaeftirliti að engar framtíðardagsetningar Bill Pay ávísanir, ytri bankatenglar (Plaid), eða leiðbeiningum um standandi vír var bætt við meðan á fjarlotunni stóð.
• Inneign frýs virkt: Öryggisfrysting sett með Equifax, Experian, TransUnion og ChexSystems.
• Tölvuframsendingarreglur endurskoðaðar: Skráði sig inn á Gmail/Outlook/Yahoo úr hreinum snjallsíma og hakaði við Stillingar -> Áframsending og POP/IMAP og Reglur / Síur fyrir faldar reglur sem eyða sjálfkrafa eða áframsenda tölvupóst sem inniheldur "Bank", "Fraud", "Wire", eða "Security Alert".
• Aðgangsorðahólf vafra snúið: Öllu lykilorði sem geymt er í Chrome, Edge, Firefox eða Safari lykilorðastjórum hefur verið breytt úr hreinu tæki.
• Réttar annálar vistaðar og opinberar skýrslur lagðar inn: Skrá skýrslur hjá FBI IC3 (ic3.gov) og FTC (reportfraud.ftc.gov) í Bandaríkjunum, Aðgerðarsvik (actionfraud.police.uk) í Bretlandi, Canadian Anti-Fraud Centre, eða Scamwatch (scamwatch.gov.au) í Ástralíu. Tilkynntu einnig tvöfalda uppsetningar- eða tengiauðkennið til connectwise.com/company/trust/report-abuse eða anydesk.com/en/abuse.

Algengar spurningar¶

Svindlarinn sýndi mér Windows Event Viewer minn og netstat í Command Prompt og það var fullt af þúsundum af viðvörunum, villum og "ERENDANDI ADDRESS" tengingum. Var í raun og veru brotist inn á tölvuna mína áður en ég hringdi í þá?¶

Nei. Bæði `eventvwr` (Windows Event Viewer) og `netstat` eru venjuleg stjórnunartól sem eru innbyggð í hvert eintak af Windows og svindlarar misnota þau sem sálfræðilegan leikmuni. Sérhver heilbrigð Windows tölva býr til þúsundir venjubundinna gulra viðvörunar og rauðra villuskráa í Atburðaskoðara við venjulega ræsingu og bakgrunnsuppfærslur, og `netstat` listar allar venjulegar bakgrunnstengingar sem vafrinn þinn og stýrikerfið gerir við skýjaþjóna sem „erlent heimilisfang“. Tölvan þín var algjörlega örugg þar til þú fylgdir leiðbeiningum þess sem hringir um að hlaða niður og keyra fjaraðgangstólið sitt.

Hvernig lét svindlarinn alvöru bankavefsíðuna mína sýna að þeir hafi óvart lagt inn $40,000 inn á tékkareikninginn minn ef þeir geta ekki hakkað inn á netþjón bankans?¶

Meðan svindlarinn er tengdur við tölvuna þína í gegnum AnyDesk eða ScreenConnect, svartar svindlarinn skjáinn þinn í 15 sekúndur, hægrismellir á bankainnstæðuna þína í vafranum þínum og smellir á **"Skoða" (`Developer Tools`)**. Þetta opnar staðbundinn HTML texta sem birtist á vafraflipanum þínum. Svindlarinn skrifar einfaldlega `$45,200.00` yfir alvöru þína `$5,200.00` jafnvægi og bætir við fölsuðum textalínulestri `"ACH REFUND OVERPAYMENT +$40,000.00"` á skjánum þínum. Þessi breyting er aðeins til í tímabundnu minni vafraflipans þíns (`DOM`) og hverfur um leið og þú endurnýjar síðuna (`F5`) eða athugaðu stöðuna þína í snjallsímaforritinu þínu. Að öðrum kosti flytja þeir `$40,000` af þínum eigin sparnaðarreikningi eða lánalínu inn á tékkareikninginn þinn og endurmerktu skjáinn til að plata þig til að senda eigin peninga til þeirra.

Ef ég fjarlægði AnyDesk eða UltraViewer af stjórnborðinu, er mér þá óhætt að kveikja aftur á Wi-Fi?¶

Venjulega ekki án þess að skoða Windows Services (`services.msc`) í Safe Mode fyrst. Svindlamiðstöðvar fyrir faglega tækniaðstoð vita að fórnarlömb fjarlægja oft AnyDesk eða UltraViewer um leið og þeir leggja á. Þess vegna, innan fyrstu tveggja mínútna frá tengingu við tölvuna þína, nota svindlarar reglulega hljóðlausan skráaflutning til að sleppa auka, falinni **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) eða **SimpleHelp** umboðsmaður sem býr ekki til skjáborðsflýtileið og felur sig inni `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Nema þú staðfestir í Safe Mode að enginn fantur `SYSTEM` þjónusta eða áætluð verkefni eru til, eða framkvæma fulla USB OS þurrka, endurtengja við Wi-Fi getur strax stjórnað tölvunni þinni aftur til árásarmannsins.

Getur svindlari fengið aðgang að öðrum tölvum eða snjallsímum á Wi-Fi heimanetinu mínu bara vegna þess að ég setti AnyDesk upp á einni fartölvu?¶

Að setja upp AnyDesk eða ScreenConnect skerðir tiltekna tölvu þar sem þú keyrðir uppsetningarforritið, ekki símana þína eða aðrar fartölvur beint. Hins vegar, ef þú notar **Google Chrome, Microsoft Edge eða Apple iCloud lykilorð og lotusamstillingu** yfir fartölvuna þína og snjallsíma, munu öll lykilorð sem svindlarinn stelur eða breytir á sýktu fartölvunni hafa áhrif á sameiginlega skýjareikninga þína. Einnig, á meðan hann er tengdur við fartölvuna þína, getur árásarmaður skráð sig inn á stjórnunarsíðu heimabeins þíns (`192.168.1.1`) ef það notar enn sjálfgefið stjórnanda lykilorð og breytir leiðinni þinni `DNS` settings. After isolating the infected laptop, factory-reset your Wi-Fi router or verify its DNS settings and admin password from a clean device.

Tengdir leiðsögumenn¶

• Tæknistuðningur sprettiglugga og fjarlægt AnyDesk/TeamViewer fjarlægt skrifborð
• Session cookie hijacking, infostealer malware, and passkey revocation
• Fölsuð CAPTCHA ClickFix PowerShell Win+R spilliforrit fyrir klemmuspjald og endurbætur á Lumma Infostealer
• Heimiluð ýtagreiðslu (APP) app svik: Zelle, Venmo og Faster Payments eftirlíkingar og endurgreiðsluréttur
• Bank account breach
• Neyðarnúmer eftir löndum

Heimildir og opinberar leiðbeiningar¶

• Cybersecurity and Infrastructure Security Agency (CISA), Federal Bureau of Investigation (FBI), National Security Agency (NSA), & Multi-State Information Sharing and Analysis Center (MS-ISAC) (United States): Joint Cybersecurity Advisory (AA23-025A): Protecting Against Malicious Use of Remote Monitoring and Management (RMM) Software.
• Neytendaverndarstofa (CFPB) (United States): Electronic Fund Transfers (Regulation E, 12 CFR Part 1005) Official Interpretations and FAQs on Unauthorized EFTs and Fraudulently Induced Access.
• Federal Trade Commission (FTC) (United States): How To Spot, Avoid, and Report Tech Support Scams.
• National netöryggismiðstöð (NCSC) & Action Fraud (United Kingdom): Protecting Devices from Unauthorised Remote Access Tools and Screen-Sharing Fraud.
• ConnectWise Trust & Security Response Center: Identifying and Removing Rogue ScreenConnect (ConnectWise Control) Client Instances.