Алыстан кирүү трояны (ScreenConnect, AnyDesk, RustDesk, UltraViewer) техникалык колдоо алдамчылыгы: Ethernetти тартып алуу, кызматтарды өлтүрүү жана банкты тоңдуруу¶

Алдамчы сизди алыскы иш столунун куралын орнотууга көндүргөндө же компьютериңизге алыстан мониторинг жүргүзүүчү агентти аткарганда, алар чычканыңызды, клавиатураңызды, файл тутумуңузду жана активдүү сеанстарыңызды жандуу, чексиз башкарууга ээ болот. Мониторуңузда жасалма коопсуздук сканерин же кара купуялык көшөгөсүн көрсөтүп жатканда, оператор унчукпай текшерүү эсептерин тазалап, сакталган сырсөздөрдү чогултат жана стандарттык кайра жүктөөлөрдөн аман калган туруктуу фондо кызматтарды орнотот. Бул колдонмо чабуулчунун маалымат байланышын үзүү, кароосуз алыстан кирүү кызматтарын биротоло жок кылуу жана каражаттар зым тармагын тазалаганга чейин банктык жана кредиттик инфраструктураңызды жабуу үчүн дароо кадамдарды камтыйт.

Муну азыр кыл¶

1. Бардык интернет туташуусун физикалык түрдө жана дароо өчүрүңүз. Иш тактаңыздын же роутериңиздин артындагы Ethernet кабелин сууруп алыңыз, ноутбукуңуздагы физикалык Wi-Fi которгучту которуңуз же Wi-Fi роутериңиздеги кубат баскычын бардык жарыктар караңгылыкка чейин 10 секунд басып кармап туруңуз. Чычкан курсорун башкаруу үчүн шылуун менен күрөшүүгө убакытты текке кетирбеңиз.
2. Экран караңгылатылган болсо, бузулган компьютерди мажбурлап өчүрүңүз. Эгер чабуулчу "Бош конок мониторун" иштетип же клавиатура киргизүүнү кулпулап койсо, компьютериңиздин физикалык кубат баскычын 10 толук секунда басып, машина толугу менен өчүкчө кармап туруңуз. Каржылык эсептериңизди өзүнчө, таза түзмөктөн коргоп жатканда, аны өчүрүлгөн калтырыңыз.
3. Банкыңыздын алдамчылык бөлүмүнө көзкарандысыз телефондон чалыңыз. Дебеттик же кредиттик картаңыздын арткы бетинде жазылган расмий номерге чалыш үчүн уюлдук телефонду колдонуңуз же жергиликтүү тез жардам номерине чалыңыз (АКШда жана Канадада 911, Европа Биримдиги боюнча 112, Улуу Британияда 999); көрүү тез жардам номерлери эл аралык байланыштар үчүн. Банкка бардык текшерүү, аманат жана кредиттик эсептер боюнча токтоосуз түрдө катуу тоңдурууну орнотууну тапшырыңыз жана күтүлүп жаткан автоматташтырылган клирингдик борбор (ACH), зым же реалдуу убакыт режиминде төлөм которуулар боюнча шашылыш түрдө кайра чакыртып алууну талап кылыңыз.
4. Активдүү сеанс кукилерин жокко чыгарыңыз жана таза смартфондун сырсөздөрүн өзгөртүңүз. Телефонуңузду уюлдук Интернетте колдонуу (эгер бузулган компьютер кайра күйгүзүлсө, үйүңүздөгү Wi-Fi тармагына туташпайсыз), негизги электрондук почтаңызга, банк порталдарына жана булут сактагыч эсептерине кириңиз. Бардык активдүү кирүү сессияларын токтотуңуз, таанылбаган көп факторлуу аутентификация (MFA) түзмөктөрүн жокко чыгарыңыз жана сырсөздөрүңүздү айлантыңыз.
5. Инфекцияланган компьютерди Тармакка туташпастан Коопсуз режимге жүктөңүз. Интернеттен ажыратылганда гана бузулган компьютерди кайра күйгүзүңүз, кароосуз калган фонддук кызматтарды текшерүү жана өчүрүү үчүн Windows Safe Mode же macOS Safe Mode (ScreenConnect Client, AnyDesk Service, RustDesk Service) иштетүү системасы үчүнчү тараптын тармак драйверлерин жүктөөдөн мурун.

Коммерциялык RMM жана алыскы рабочий чабуулдун анатомиясын түшүнүү¶

Заманбап техникалык колдоо шылуундары, акчаны кайтарып алуу алдамчылыктары жана банктык жасалма чабуулдар сейрек түрдө жекече жазылган компьютердик вирустарга таянат. Анын ордуна, коркунуч актерлору мыйзамдуу, санарип кол коюлган Remote Monitoring and Management (RMM) программалык камсыздоо жана коммерциялык алыскы иш столунун куралдары. Бул аткарылуучу программалар ишенимдүү программалык камсыздоочулардын жарактуу криптографиялык кодго кол коюу сертификаттарын алып жүргөндүктөн, Windows Defender же macOS XProtect сыяктуу стандарттуу антивирустук программалар алардын орнотулушун бөгөттөбөйт.

Чабуулчулар кантип мыйзамдуу алыстан колдоо бинарларын куралдаштырат¶

Жабырлануучу жасалма браузердин калкыма терезесинде көрсөтүлгөн акысыз номерге чалганда, шашылыш эсеп-дүмүрчөк катына жооп бергенде же жасалма банктык алдамчылык иликтөөчүнүн көрсөтмөлөрүн аткарганда, оператор аларды аткарылуучу же MSI орнотуучуну жүктөп алууга багыттайт. Эң көп бузулган платформаларга төмөнкүлөр кирет:

• ConnectWise ScreenConnect (мурдагы Control): Көбүнчө ылайыкташтырылган аркылуу жайгаштырылат .msi же .exe пакет чабуулчу башкарган серверде жайгаштырылган. Аткарылгандан кийин, ал туруктуу Windows тутум кызматы катары орнотулат (ScreenConnect Client (xxxx)) менен чуркоо NT AUTHORITY\SYSTEM артыкчылыктар, компьютер онлайн болгондо унчукпай, кароосуз кирүү мүмкүнчүлүгүн берүү.
• AnyDesk (anydesk.exe): Windows, macOS жана мобилдик түзмөктөргө багытталган кросс-платформалык алдамчылыктарда көбүнчө колдонулат. Чабуулчулар жабырлануучуга 9 орундуу AnyDesk дарегин үн чыгарып окууну, административдик бийиктикти талап кылууну жана жабырлануучу уктап жатканда кайра туташуу үчүн "Картоосуз кирүүчү сырсөздү" коюуну тапшырышат.
• ** RustDesk (rustdesk.exe):** шылуундук синдикаттар жактырган ачык булактуу алыскы иш столунун куралы, анткени алар сатуучулардын кыянаттык менен өчүрүүлөрүн кыйгап өтүп, серверлерди өз алдынча жайгаштыра алышат.
• UltraViewer, TeamViewer, Zoho Assist жана SimpleHelp: Көбүнчө чынжырланган. UltraViewer же AnyDesk аркылуу туташкан алдамчы көп учурда жашыруун нерсени унчукпай орнотот ScreenConnect же SimpleHelp камдык бэкдор катары фондо пакет.

Шашылыш иш процесси: байланышты үзүү жана зыянды жоюу¶

Активдүү алыскы сеансты токтотуу, жумушчу станцияны изоляциялоо жана машинаны Коопсуз режимде тазалоого болорун же операциялык тутумдун толук тазаланышын талап кылууну аныктоо үчүн төмөнкү операциялык схеманы колдонуңуз.

flowchart TD
    A["Активдүү же акыркы аралыктан кирүү алдамчылыгы аныкталды"] --> B["Ethernet кабелин физикалык түрдө ажыратып, Wi-Fi роутерин өчүрүңүз"]
    B --> C{"Экран караңгылатылганбы же чычкан кулпуланганбы?"}
    C -- "Ооба" --> D["Өчүрүү үчүн компьютердин физикалык кубат баскычын 10 секунд кармап туруңуз"]
    C -- "жок" --> E["Учак режимин күйгүзүңүз жана компьютерди кадимкидей өчүрүңүз"]
    D --> F["Банктын алдамчылык бөлүмүн чалуу үчүн уюлдук берилиштерде таза смартфонду колдонуңуз"]
    E --> F
    F --> G["Freeze Текшерүү / Сактоо, кайра чакырып алуу Wires / Zelle, Lock кредиттик бюро"]
    G --> H["Таза смартфондон: Электрондук почтаны/банк сырсөздөрүн айлантыңыз жана сессияларды өлтүрүңүз"]
    H --> I{"Scammer кароосуз кирдиби же CMD/PowerShell иштеттиби?"}
    I -- "Ооба (жогорку тобокелдик)" --> J["Жеке документтерди гана куткаруу үчүн компьютерди оффлайн режиминде жүктөө"]
    I -- "Жок (Кыскача көзөмөлдөнгөн сессия)" --> K["RMM кызматтарын жана сертификаттарын тазалоо үчүн Коопсуз режимге оффлайн режиминде жүктөө"]
    J --> L["Таза компьютерден USB медиа аркылуу толук таза OS кайра орнотууну аткарыңыз"]
    K --> M["Кызматтарды, Пландалган тапшырмаларды, AppData жана Audit Браузер кеңейтүүлөрүн алып салыңыз"]

алдамчылар тарабынан кыянаттык менен алыстан кирүү куралдарын салыштыруу¶

Машинаны тазалоого же банкыңыздын соттук алдамчылык тобуна окуя тууралуу билдирүүгө аракет кылуудан мурун кайсы алыскы курал(лар) орнотулганын аныктаңыз. Эсиңизде болсун, шылуундар эки же үч түрдүү инструментти бир сеанс учурунда орнотушат, андыктан эгер сиз көрүнгөн иш столунун сөлөкөтүн өчүрсөңүз, алардын жашыруун экинчи кызматы активдүү бойдон кала берет.

Кадам-баскыч банктык жана каржылык триаж (Биринчи 30 мүнөт)¶

Алыстан кирүү алдамчылыгында компьютер инфекциясы жеткирүү механизми гана болуп саналат; негизги өзгөчө курч каржылык уурулук болуп саналат. Чабуулчулар психологиялык жана техникалык ыкмаларды колдонушат, мисалы, HTML булак кодун түзөтүү (Inspect Element) банкыңыздын веб-баракчасын кокустукка окшоштуруңуз $40,000 ордуна ашыкча төлөм $400, сизди алдоо үчүн, акчаны өткөрүү, белек карталарын сатып алуу же Bitcoin банкоматына накталай акча салуу. Эгер сиз акча жөнөтүүдөн баш тартсаңыз да, алыстан кирүү мүмкүнчүлүгү бар чабуулчу экраныңыз өчүп турганда түздөн-түз которууларды башташы мүмкүн.

1. Дароо катуу тоңдуруу жана которууну кайра чакырууну баштоо¶

Дароо таза телефон аркылуу каржы мекемеңиздин атайын алдамчылык бөлүмүнө чалыңыз. Так айтыңыз: "Техникалык колдоо/банктын атын жамынган алдамчылык учурунда менин компьютерим алыстан кирүү трояны тарабынан бузулду. Уруксатсыз тарап менин онлайн банкинг сессияма түз кирүү мүмкүнчүлүгүнө ээ болду." Төмөнкү конкреттүү аракеттерди талап кылыңыз:

• Онлайн банкинг профилинин кулпусу: Банктан сиздин онлайн жана мобилдик банкингге кирүү эсептик дайындарыңызды толугу менен өчүрүп, бардык активдүү OAuth энбелгилерин жана сеанс кукилерин жараксыз кылсын.
• ** ACH, Wire жана RTP чакырып алуу (SWIFT / Fedwire / Faster Payments):** Өкүлдөн каттоо эсебиңизде күтүлүп жаткан же кезекте турган чыгуучу Автоматташтырылган Клиринг палатасын текшерүүсүн сураныңыз (ACH) которуулар, ички/эл аралык акча которуулар, Zelle / Venmo төлөмдөр, же келечектеги даталарга пландаштырылган "Билл төлөө" чектери. Алдамчылар көп учурда сиз байкабай каласыз деп үмүттөнүп, 3-5 күндөн кийин аткарыла турган Bill Pay чекин же кийинчерээк ACH которууну пландаштырышат.
• Аккаунттун номерин алмаштыруу: Чабуулчу сиздин толук багыттооңузду жана эсеп номерлериңизди (же браузериңизден жүктөлүп алынган PDF банк көчүрмөлөрүн) карап чыккандыктан, дебет картасын тоңдуруп коюу жетишсиз. Сиз банктан бузулган эсеп номерлерин жабууну жана калдыктарыңызды "Дебетсиз пост" ("Эч кандай дебет" жазуусу бар жаңы эсеп номерлерине которууну талап кылышыңыз керек.PND) эски эсептер боюнча чектөөлөр.
• ** Жашыруун ички которууларды же накталай аванстарды текшериңиз: ** Чабуулчулар көбүнчө сиздин байланышкан кредиттик картаңыздан же Home Equity Line Line (HELOC) жана аларды адегенде текшерүү эсебиңизге которуңуз, же алар сизге "кокустан ашыкча кайтарып берди" деп ишендириш үчүн, же бириккен балансты оффшорго өткөрүүдөн мурун максималдуу ликвиддүүлүктү топтоо үчүн. Сиздин аманатыңыз, кредиттик картаңыз же брокердик эсептериңиздин ортосунда банк ичиндеги которуулар болгонун текшерүү үчүн банктын алдамчылык боюнча адисине айтыңыз.

2. Кредиттик бюролорду тоңдуруп, жаңы кредиттик арыздарды текшериңиз¶

Компьютериңизге туташып турганда, шылуундар сиздин компьютериңизди үзгүлтүксүз издешет Downloads же Documents сыяктуу ачкыч сөздөр үчүн папкалар tax, 1040, W2, passport, license, же password жана салык декларацияларыңызды жана ID сканерлериңизди эксфильтрациялаңыз.

1. Таза смартфонуңуз менен дароо бардык ири кредиттик бюролорго акысыз Security Freeze коюңуз:
2. Америка Кошмо Штаттарында: Freeze Equifax (1-888-298-0045), Тажрыйбалуу (1-888-397-3742), Транссоюз (1-800-916-8800) жана ChexSystems (1-800-428-9687).
3. Улуу Британияда: Experian, Equifax жана TransUnion менен байланышып, Cifas Protective Registration үчүн катталыңыз.
4. Канадада: Equifax Canada жана TransUnion Canada менен кредитти тоңдуруп же алдамчылык эскертүүлөрүн бериңиз.
5. Австралияда: Equifax, Illion жана Experian аркылуу насыяга тыюу салууну сураныңыз.
6. Акыркы 24 саатта жасалган катуу суроо үчүн кредиттик отчетуңузду дароо карап чыгыңыз; шылуундар көбүнчө сиз менен сүйлөшүп жатканда фон браузеринин өтмөгүндө заматта онлайн жеке насыя алуу үчүн кайрылышат.

Коопсуз режимде алыстан кирүү кызматтарын жок кылуу (Windows жана macOS)¶

Эгер сиз машинаны текшерүүнү, укук коргоо органдары үчүн криминалистикалык журналдарды сактоону же катуу дискти тазалоодон мурун алмаштырылгыс жеке сүрөттөрдү куткарууну чечсеңиз, интернетке туташып турганда компьютерди эч качан кадимки режимге жүктөбөңүз. Кадимки жүктөө Wi-Fi активдүү менен аяктаган учур, туруктуу ScreenConnect же AnyDesk кызматы үйгө шылуундун консолуна телефон чалып, сиздин машинаңыз кайра онлайнда экенин эскертет.

1-фаза: Тармаксыз коопсуз режимге жүктөө¶

Windows 10 жана Windows 11де¶

1. Ethernet кабели өчүрүлгөнүн жана үйүңүздөгү Wi-Fi роутериңиз сууруп турганын же Учак режими активдүү экенин текшериңиз.
2. Power on the PC. At the Windows sign-in screen, hold down the Left Shift key while clicking Power -> Restart.
3. On the blue recovery screen, select Troubleshoot -> Advanced options -> Startup Settings -> Restart.
4. When the startup options list appears, press 4 or F4 (Enable Safe Mode). Do not press 5 (Safe Mode with Networking).

On macOS (Apple Silicon and Intel)¶

1. Turn off the Mac and turn off your Wi-Fi router.
2. Apple Silicon (M1/M2/M3/M4): Hold the Power button until "Loading startup options" appears. Select your startup disk, hold Shift, and click Continue in Safe Mode.
3. Intel Mac: Turn on the Mac and immediately hold the Shift key until the login window appears.

Phase 2: Hunting and terminating persistent Windows Services¶

Standard uninstallation via "Add or Remove Programs" often fails to remove customized ScreenConnect MSI builds because attackers strip the uninstaller entry from the Windows Registry or deploy multiple instances under randomized hexadecimal service names.

1. In Windows Safe Mode, press Win + R, type services.msc, and press Enter.
2. Click the Name column to sort alphabetically, and carefully inspect every service for the following names:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Note: There may be two or three separate ScreenConnect Client entries with different 16-character alphanumeric strings in parentheses, where each represents a different scammer server).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent же SimpleHelp Remote Access
9. Сиз тапкан ар бир шектүү кызмат үчүн аны оң баскыч менен чыкылдатып, Касиеттерди тандаңыз.
10. Read the Path to executable field carefully and write it down (for example, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Change the Startup type dropdown to Disabled, click Stop (if running), and click Apply and OK.
12. Next, open an elevated Command Prompt (Win + X -> Terminal (Admin) or Command Prompt (Admin)) and permanently delete the service registrations using the exact service name listed in the properties window:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

For ScreenConnect, query all installed instances and delete each one by its exact service key name:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Phase 3: Purging Scheduled Tasks, Startup folders, and hidden directories¶

Even after a Windows Service is deleted, attackers often configure a scheduled task that re-downloads the remote agent via powershell.exe же mshta.exe every time a user logs in.

1. Press Win + R, type taskschd.msc, and press Enter to open Task Scheduler.
2. Click Task Scheduler Library in the left pane. Expand every subfolder and inspect the Actions tab of each scheduled task. Delete any task that launches binaries from C:\Users\<User>\AppData\, C:\ProgramData\, or invokes curl, bitsadmin, powershell -WindowStyle Hidden, or any remote desktop executable.
3. Press Win + R, type shell:startup, and press Enter. Delete any shortcuts or .bat / .vbs scripts placed in your user Startup folder. Repeat this by typing shell:common startup тутумдук баштоо папкасын текшерүү үчүн.
4. File Explorerде жашырылган файлдарды көрүүнү иштетиңиз (Көрүү -> Көрсөтүү -> Жашыруун элементтер) жана бардык алыскы куралдар үчүн колдонмо каталогдорун жана конфигурация кэштерин кол менен жок кылыңыз:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ жана C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ жана C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ жана C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

4-фаза: macOS LaunchDaemons, LaunchAgents жана Купуялык Гранттарын алып салуу¶

MacOSдо алыстан кирүү куралдары туруктуулукту орнотот LaunchDaemons (жалпы тутум боюнча) жана LaunchAgents (колдонуучу деңгээли), macOS менен айкалыштырылган TCC Экранды жаздыруу жана Жеткиликтүүлүк үчүн (Айкындуулук, макулдук жана көзөмөлдөө) уруксаттары.

1. macOS Safe Mode (офлайн) режиминде турганда Finderти ачып, басыңыз Cmd + Shift + G (Go to Folder) жана төмөнкү үч каталогду бирден текшериңиз:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. каалаганын сүйрөңүз .plist камтыган файлдар connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, же simplehelp Таштандыга.
6. Кийинки, ачуу /Applications/ жана /Library/Application Support/ жана каалаган алыскы кирүү колдонмолорунун таңгактарын жана колдоо папкаларын Таштандыга жылдырыңыз.
7. Система орнотуулары -> Купуялык жана коопсуздук ачыңыз. Эки маанилүү бөлүмдү текшерүү:
8. Экран жана системанын аудио жазуусу: Тизмеде көрсөтүлгөн каалаган алыстан колдоо куралын тандап, минус (-дисплейиңизди көрүү мүмкүнчүлүгүн жокко чыгаруу үчүн ) баскычын басыңыз.
9. ** Жеткиликтүүлүк: ** Алыстан колдоонун каалаган куралын тандап, минусту басыңыз (-) чычкан курсоруңузду башкаруу жана баскыч басууларды синтездөө мүмкүнчүлүгүн жокко чыгаруу үчүн.
10. Дискке толук мүмкүндүк алуу: Бир дагы белгисиз тиркеме же терминалдык орогучка Толук Дискке мүмкүндүк берилбегенин текшериңиз.

Windows сырсөз кулпуларын жана жасалма жүктөө баннерлерин тескери өзгөртүү¶

Ажыратуунун алдында кекчил шылуундар көбүнчө жабырлануучуларды компьютерлеринен кулпулап, сырсөз үчүн кун талап кылышат. Алар үч негизги ыкмаларды колдонушат:

1. Жергиликтүү Windows сырсөзүңүздү өзгөртүү (net user) же жалган администратор эсебин кошуу¶

Алардын экран көшөгөсү активдүү болуп турганда, шылуундар көп учурда көтөрүлгөн Command Prompt ачып, иштетишет net user <YourUsername> <NewPassword> же бэкдор администратор эсебин түзүү (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * **Кантип текшерүү жана оңдоо керек: ** Коопсуз режимде, жогорулатылган буйрук сабын ачыңыз (cmd.exe Администратор катары) жана териңиз net user. Эгер сиз бейтааныш аккаунтту көрсөңүз, аны дароо өчүрүңүз net user <RogueAccountName> /delete. Эгерде сиздин жергиликтүү сырсөзүңүз өзгөртүлгөн болсо, Windows орнотуу USB'инен Windows калыбына келтирүү чөйрөсүнө (WinRE) мурунку тутумду калыбына келтирүү чекитинин калыбына келтирүү үчүн же таза смартфондо сырсөзүңүздү баштапкы абалга келтиргенден кийин байланышкан Microsoft Каттоо эсебиңиз менен кириңиз.

2. Реестр аркылуу баштоо билдирүү баннерди иштетүү (LegalNoticeCaption)¶

Алдамчылар көбүнчө өзгөртүшөт HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System орнотуу менен LegalNoticeCaption жана LegalNoticeText кирүү алдында жасалма Microsoft Security lockout телефон номерин көрсөтүү үчүн. * Кантип оңдоо керек: Бул кадимки Windows кирүү чакырыгынан мурун гана косметикалык текст экраны. Аны айланып өтүү үчүн OK баскычын басыңыз же Enter баскычын басыңыз, ачыңыз regedit Коопсуз режимде, өтүңүз HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System, жана ичиндеги текстти тазалаңыз LegalNoticeCaption жана LegalNoticeText.

3. Safe Boot PIN кулпулары (bcdedit)¶

Microsoft мурасты алып салды syskey.exe Windows 10 версиясындагы курал 1709. Бүгүнкү күндө шылуундар анын ордуна Коопсуз жүктөө белгисин белгилешет msconfig жана компьютериңизди оффлайн режиминде өчүрүп күйгүзүңүз. Windows Hello PIN коддору көбүнчө тармакка кирбей туруп, Safe Mode кирүү экранында иштебей калгандыктан, жабырлануучулар жүктөө циклине камалып калышат. * Кантип оңдоо керек: Кирүү экранында Shift + Restart баскычтарын басып туруп, Кыйынчылыктарды аныктоо -> Өркүндөтүлгөн опциялар -> Буйрук сунушун тандап, иштетиңиз:

bcdedit /deletevalue {current} safeboot

Компьютерди кадимкидей өчүрүп күйгүзүңүз (интернет роутериңизди өчүрүп), сиз кэштелген сырсөзүңүз же PIN кодуңуз менен кирип, алыскы программалык камсыздоону алып салыңыз.

Эмне үчүн браузер сеансын уурдоо жана маалымат уурдоочулары толук OS тазалоону талап кылат¶

Жок кылсаңыз да ScreenConnect, AnyDesk, же RustDesk Коопсуз режимдеги кызматтарды колдонсоңуз, шылуун экинчи Infostealer (Lumma, RedLine, Vidar, Stealc) же браузериңиздин профилиңиздин каталогун көчүрдүңүз.

Катышуусуз алыскы сеанс учурунда чабуулчуга Google Chrome, Microsoft Edge же Brave колдонуучу дайындар каталогуңузду көчүргөн PowerShell скриптин иштетүү үчүн 8 секунддан аз убакыт талап кылынатC:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) жергиликтуу менен бирге DPAPI башкы чечмелөө ачкычы. Алардын сервериндеги файлдар менен чабуулчу төмөнкүлөргө ээ:

1. Ар бир сырсөз сиздин веб-браузериңиздин орнотулган сырсөз башкаргычында сакталган.
2. Активдүү сеанс кукилери (Cookies жана Network\Cookies SQLite маалымат базалары): Сиздин электрондук почтаңыз же банкыңыз эки факторлуу аутентификацияны колдонсо да (2FA), сиздин шифрленген сеанс токенинин cookie файлына ээ болуу, чабуулчуга сиздин браузериңиздин профилиңизди өз машинасындагы антидетектордук браузерге импорттоого жана Gmail, Outlook, Amazon же криптовалюта алмашуу эсебиңизге сырсөз же сырсөздү талап кылбастан кирүү мүмкүнчүлүгүн берет. 2FA код.
3. ** Браузерге негизделген криптовалюта капчык сактагычтары (MetaMask, Phantom, Rabby):** Ичинде шифрленген сактагыч файлдары Local Extension Settings оффлайн режиминде катаал мажбурлоо үчүн эксфильтрацияланат.

Таза USB операциялык тутумун кайра орнотууну аткаруу керек болгондо¶

Эгерде сиз AnyDesk орнотулгандан кийин 10 секунданын ичинде шылуунду кармап алып, аларга Администратордун деңгээлине же кароосуз кирүү мүмкүнчүлүгүн бербесеңиз, Коопсуз режим кызматын алып салуу жетиштүү болсо да, сиз дискти тазалап, USB таяктан таза OS орнотууну аткарышыңыз керек, эгерде төмөндөгүлөрдүн бири болгон болсо:

• Экраныңыз карарып кетти (Blank Guest Monitor) же чычкан/клавиатураңыз кулпуланган.
• Сиз буйрук сабын көрдүңүз (cmd.exe) же PowerShell терезеси экранда жаркылдайт.
• Алдамчы жасалма коопсуздук сканерин жүргүзүп жатканда, сиз компьютерди кароосуз калтырдыңыз.
• Сиз орнотуңуз ConnectWise ScreenConnect (катары иштейт SYSTEM демейки боюнча жана көрүнбөгөн фон кабык скриптинин аткарылышына мүмкүндүк берет).

Коопсуз кайра орнотууну аткаруу үчүн: 1. Коопсуз режимде оффлайн режиминде жаңы USB флэш-дискти бузулган компьютерге сайып, жеке маалымат файлдарын гана көчүрүңүз (.jpg, .pdf, .docx, .xlsx, үй-бүлөлүк видео). ** Эч качан көчүрбөңүз .exe, .msi, .bat, .ps1, же серепчи профилинин папкалары.** 2. башка, таза компьютер колдонуп, Microsoft'тун расмий Windows Media түзүү куралын жүктөп алыңыз (microsoft.com/software-download) же жүктөлүүчү MacOS орнотуучуну түзүңүз. 3. Таза USB орнотуучудан бузулган компьютерди жүктөө, негизги дисктеги бардык бөлүмдөрдү жок кылуу (Drive 0) жана операциялык системанын жаңы көчүрмөсүн орнотуңуз.

Preserving your legal right to bank reimbursement¶

Banks frequently attempt to deny fraud reimbursement claims in remote access scams by arguing that because you clicked "Download" on AnyDesk or ScreenConnect, you "authorized" the transactions or acted with gross negligence. Knowing how statutory consumer banking protections work in your jurisdiction is critical when speaking to your bank's fraud claim adjudicator.

In the United States: Electronic Fund Transfer Act (EFTA) жана Regulation E (12 CFR § 1005)¶

Федералдык Электрондук Фондду которуу Мыйзамына ылайык (Regulation E), the Consumer Financial Protection Bureau (CFPB) has issued official supervisory guidance stating that: * Induced access is still an "Unauthorized Electronic Fund Transfer": Under 12 CFR § 1005.2(m), an electronic fund transfer initiated by a person who obtained access to a consumer's account through fraud or robbery is defined by law as an unauthorized EFT, even if the consumer was tricked into providing a password, a one-time passcode, or installing remote desktop software. * Negligence cannot be used to deny your claim: The CFPB's Official Interpretation of Regulation E (Comment 6(b)-2) states that consumer negligence (such as falling for a phishing pop-up or granting remote desktop access to a scammer) cannot be used by a bank to impose greater liability on the consumer than Regulation E allows ($50 maximum if reported within 2 business days; $500 maximum within 60 days). * Distinguish between Scammer-Clicked vs. Consumer-Clicked transfers: If the scammer moved the mouse and clicked "Send" behind a black screen during the AnyDesk/ScreenConnect session, it is an Unauthorized EFT covered by Regulation E. Tell the bank in writing: "I did not initiate, authorize, or click the button for this transfer; a criminal threat actor executed the transfer remotely using a Remote Access Trojan while locking my screen, which constitutes an unauthorized EFT under 12 CFR § 1005.2(m)." Attach your preserved connection_trace.txt log or Windows Event Viewer Service Control Manager logs (Event ID 7045 showing the exact minute the ScreenConnect же AnyDesk service was installed) as forensic proof.

In the United Kingdom, European Union, Canada, and Australia¶

• United Kingdom (PSR & FOS): If the scammer controlled your computer directly to move funds, report it as an Unauthorized Payment under the Payment Services Regulations 2017. If the scammer manipulated your screen (Inspect Element fake refund) to trick you into authorizing a Faster Payment yourself, report it under the Payment Services Regulator's (PSR) mandatory Authorized Push Payment (APP) Fraud reimbursement rules and escalate any denial to the Financial Ombudsman Service (FOS).
• European Union, Canada, and Australia: Report the incident immediately to your bank and national police, emphasizing that a remote access trojan executed or manipulated the session. Escalate unresolved bank disputes to the Ombudsman for Banking Services and Investments (OBSI) in Canada or the Australian Financial Complaints Authority (AFCA) in Australia under the ePayments Code.

Post-incident remediation and reporting checklist¶

Complete every item in this checklist before reconnecting your home network or resuming normal online banking:

• Physical isolation confirmed: Compromised computer was physically disconnected from Ethernet and Wi-Fi before any further troubleshooting.
• Bank accounts frozen and re-numbered: All checking, savings, and HELOC account numbers that were visible on the computer have been closed and re-issued with new account numbers.
• Scheduled Bill Pay and ACH queues purged: Verified with a bank supervisor that no future-dated Bill Pay checks, external bank links (Plaid), or standing wire instructions were added during the remote session.
• Credit freezes active: Security freezes placed with Equifax, Experian, TransUnion, and ChexSystems.
• Email forwarding rules audited: Logged into Gmail/Outlook/Yahoo from a clean smartphone and checked Settings -> Forwarding and POP/IMAP and Rules / Filters for hidden rules that auto-delete or forward emails containing "Bank", "Fraud", "Wire", же "Security Alert".
• Browser password vault rotated: Every password stored inside Chrome, Edge, Firefox, or Safari password managers has been changed from a clean device.
• Forensic logs saved and official reports filed: File reports with the FBI IC3 (ic3.gov) and FTC (reportfraud.ftc.gov) АКШда, Action Fraud (actionfraud.police.uk) Улуу Британияда, Канадалык Алдамчылыкка каршы Борбор, же Scamwatch (scamwatch.gov.au) Австралияда. Орноткучтун бинардык же байланыш идентификаторун да билдириңиз connectwise.com/company/trust/report-abuse же anydesk.com/en/abuse.

Көп берилүүчү суроолор¶

The scammer showed me my Windows Event Viewer and netstat Command Prompt жана ал миңдеген эскертүүлөргө, каталарга жана "ЧЕТ АДАМ" байланыштарына толгон. Мен аларды чакырганга чейин менин компьютерим бузулганбы?¶

Жок. Экөө тең `eventvwr` (Windows Event Viewer) жана `netstat` Windowsтун ар бир нускасына орнотулган кадимки административдик утилиталар жана шылуундар аларды психологиялык таяныч катары колдонушат. Ар бир дени сак Windows компьютери кадимки жүктөөлөр жана фон жаңыртуулары учурунда Event Viewer'де миңдеген кадимки сары Эскертүү жана кызыл Ката журналдарын жаратат жана `netstat` браузериңиз менен операциялык тутумуңуз булут серверлерине жасаган ар бир кадимки фондо байланышты "Чет өлкөлүк дарек" катары тизмелейт. Чалуучунун алыстан кирүү куралын жүктөө жана иштетүү боюнча көрсөтмөлөрүн аткарганга чейин сиздин компьютериңиз толугу менен коопсуз болгон.

Кантип шылуун менин чыныгы банк веб-сайтымды кокусунан депозитке салганын көрсөттү $40,000 Эгерде алар банктын серверин бузуп албаса, менин текшерүү эсебиме кирип жатабы?¶

Компьютериңизге AnyDesk же ScreenConnect аркылуу туташып турганда, шылуун экраныңызды 15 секундага караңгылатып, веб-браузериңиздеги банк балансыңызды оң баскыч менен чыкылдатып, **"Текшерүү" ("Текшерүү") (`Developer Tools`)**. Бул сиздин браузер өтмөгүңүздө көрсөтүлгөн жергиликтүү HTML текстин ачат. Алдамчы жөн эле жазат `$45,200.00` сенин чыныгы үстүнөн `$5,200.00` баланс жана жасалма текст линиясын окууну кошот `"ACH REFUND OVERPAYMENT +$40,000.00"` экраныңызда. Бул түзөтүү серепчиңиздин өтмөктүн убактылуу эстутумунда гана бар (`DOM`) жана баракты жаңырганыңызда жок болот (`F5`) же смартфон колдонмоңуздан балансыңызды текшериңиз. Же болбосо, алар өткөрүп беришет `$40,000` өзүңүздүн аманат эсебиңизден же кредиттик линияңыздан текшерүү эсебиңизге киргизип, экранды кайра белгилеп, сизди алдап, өз акчаңызды аларга өткөрүңүз.

Эгерде мен AnyDesk же UltraViewerди Башкаруу панелинен чыгарып салсам, Wi-Fi-ды кайра күйгүзүү коопсузбу?¶

Адатта Windows кызматтарын текшербей туруп (`services.msc`) биринчи Коопсуз режимде. Кесипкөй техникалык колдоо шылуун чалуулар борборлору жабырлануучулар телефонду койгондо эле AnyDesk же UltraViewerди орнотуудан чыгарарын билишет. Ошондуктан, сиздин компьютериңизге кошулгандан кийин алгачкы эки мүнөттүн ичинде шылуундар экинчилик, жашыруун **ConnectWise ScreenConnect** (кошумча) түшүрүү үчүн үнсүз файлдарды өткөрүп беришет.`ScreenConnect.ClientService.exe`) же **SimpleHelp** агенти, ал рабочий тез жолду түзбөйт жана ичине жашырат `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Коопсуз режимде эч кандай шылуун эмес экенин текшермейинче `SYSTEM` кызматтар же пландаштырылган тапшырмалар бар, же толук USB OS тазалоону аткарыңыз, Wi-Fi'га кайра туташуу сиздин компьютериңизди башкарууну ошол замат чабуулчуга өткөрүп бере алат.

Мен AnyDeskти бир ноутбукка орнотконум үчүн эле алдамчы менин үйдөгү Wi-Fi тармагындагы башка компьютерлерге же смартфондорго кире алабы?¶

AnyDesk же ScreenConnect орнотуу түз эле телефондоруңуз же башка ноутбуктарыңыз эмес, орноткучту иштеткен белгилүү бир компьютерди бузуп салат. Бирок, эгер сиз **Google Chrome, Microsoft Edge же Apple iCloud сырсөзүн жана сеансты синхрондоштурууну** ноутбукуңузда жана смартфонуңузда колдонсоңуз, шылуун уурдаган сырсөздөр же вирус жуккан ноутбуктагы өзгөртүүлөр жалпы булут эсептерине таасирин тийгизет. Ошондой эле, ноутбукка туташып турганда, чабуулчу үй роутериңиздин администратор барагына кире алат (`192.168.1.1`) эгерде ал дагы эле демейки администратор сырсөзүн колдонуп, роутериңизди өзгөртсө `DNS` орнотуулар. Вирус жуккан ноутбукту изоляциялагандан кийин, Wi-Fi роутериңизди баштапкы абалга кайтарыңыз же анын DNS жөндөөлөрүн жана администратордун сырсөзүн таза түзмөктөн текшериңиз.

Тиешелүү гиддер¶

• Техникалык колдоо калкыма шылуундук жана алыскы иш тактасы AnyDesk/TeamViewerди алып салуу
• Сеанс кукилерин уурдоо, маалымат уурдоочу кесепеттүү программа жана өтүүчү ачкычты жокко чыгаруу
• Жасалма CAPTCHA ClickFix PowerShell Win+R алмашуу буферинин кесепеттүү программасы жана Lumma Infostealer оңдоо
• Authorized push payment (APP) app fraud: Zelle, Venmo, and Faster Payments impersonation and reimbursement rights
• Банк эсебин бузуу
• Өлкөлөр боюнча шашылыш номерлер

Булактар жана расмий жетекчилик¶

• Киберкоопсуздук жана инфраструктуралык коопсуздук агенттиги (CISA), Федералдык иликтөө бюросу (FBI), Улуттук коопсуздук агенттиги (NSA), & Көп мамлекеттүү маалымат алмашуу жана талдоо борбору (MS-ISAC) (Америка Кошмо Штаттары): Киберкоопсуздук боюнча биргелешкен кеңеш (AA23-025A): Алыстан байкоону жана башкарууну зыяндуу колдонуудан коргоо (RMM) Программалык камсыздоо.
• Consumer Financial Protection Bureau (CFPB) (Америка Кошмо Штаттары): Электрондук фонддун которуулары (Regulation E, 12 CFR Part 1005) Расмий чечмелөөлөр жана Уруксатсыз EFTs жана алдамчылык жол менен жасалган кирүү боюнча көп берилүүчү суроолор.
• Federal Trade Commission (FTC) (Америка Кошмо Штаттары): Техникалык колдоо боюнча алдамчылыктарды кантип табуу, болтурбоо жана кабарлоо керек.
• Улуттук кибер коопсуздук борбору (NCSC) & Action Fraud (Улуу Британия): Түзмөктөрдү уруксатсыз алыстан кирүү куралдарынан жана экранды бөлүшүү алдамчылыгынан коргоо.
• ConnectWise Trust & Security Response Center: * Rogue ScreenConnect аныктоо жана жок кылуу (ConnectWise Control) Кардар инстанциялары*.