Nuotolinės prieigos Trojos arklys („ScreenConnect“, „AnyDesk“, „RustDesk“, „UltraViewer“) techninio palaikymo sukčiai: „Ethernet“ ištraukimas, paslaugų žudymas ir banko įšaldymas¶

Kai aferistas įtikina jus įdiegti nuotolinio darbalaukio įrankį arba vykdo nuotolinio stebėjimo agentą jūsų kompiuteryje, jie įgyja tiesioginę ir neribotą pelės, klaviatūros, failų sistemos ir aktyvių naršyklės seansų kontrolę. Kai monitoriuje rodomas netikras saugos nuskaitymas arba juoda privatumo uždanga, operatorius tyliai išleidžia tikrinamas sąskaitas, surenka išsaugotus slaptažodžius ir įdiegia nuolatines fonines paslaugas, kurios atlaiko standartinius perkrovimus. Šiame vadove pateikiami neatidėliotini veiksmai, kaip nutraukti užpuoliko duomenų ryšį, visam laikui panaikinti neprižiūrimas nuotolinės prieigos paslaugas ir užrakinti bankininkystės bei kredito infrastruktūrą prieš lėšoms išvalant laidų tinklą.

Padarykite tai dabar¶

1. Fiziškai ir nedelsdami atjunkite visą interneto ryšį. Atjunkite eterneto kabelį nuo stalinio kompiuterio arba maršruto parinktuvo galinės dalies, perjunkite nešiojamojo kompiuterio fizinį „Wi-Fi“ jungiklį arba paspauskite ir 10 sekundžių palaikykite „Wi-Fi“ maršruto parinktuvo maitinimo mygtuką, kol užges visos lemputės. Negaiškite laiko bandydami kovoti su aferistu už pelės žymeklio valdymą ir spustelėdami atjungimo mygtuką.
2. Priverstinai išjunkite pažeistą kompiuterį, jei ekranas užtemdytas. Jei užpuolikas įjungė „Tuščią svečių monitorių“ arba užrakino klaviatūros įvestį, paspauskite ir palaikykite fizinį kompiuterio maitinimo mygtuką 10 sekundžių, kol įrenginys visiškai išsijungs. Palikite jį išjungtą, kol apsaugote savo finansines sąskaitas naudodami atskirą švarų įrenginį.
3. Skambinkite savo banko sukčiavimo skyriui iš nepriklausomo telefono. Naudokite mobilųjį telefoną ir skambinkite oficialiu numeriu, išspausdintu ant debeto arba kredito kortelės, arba skambinkite vietiniu pagalbos numeriu (911 Jungtinėse Amerikos Valstijose ir Kanadoje, 112 visoje Europos Sąjungoje, 999 Jungtinėje Karalystėje), jei kyla aktyvi turto prievartavimo grėsmė; žr pagalbos numeriai tarptautiniams kontaktams. Nurodykite banką nedelsiant griežtai įšaldyti visas čekines, taupomąsias ir kredito linijos sąskaitas ir reikalauti skubiai atšaukti visus laukiančius automatinio kliringo namų (ACH), pavedimus ar mokėjimų realiuoju laiku pervedimus.
4. Pašalinkite aktyvius seanso slapukus ir pakeiskite slaptažodžius iš švaraus išmaniojo telefono. Naudodami telefoną naudodami mobiliojo ryšio duomenis (neprisijungę prie namų „Wi-Fi“, jei pažeistas kompiuteris vėl įjungtas), prisijunkite prie pagrindinio el. pašto, banko portalų ir debesies saugyklos paskyrų. Nutraukite visas aktyvias prisijungimo sesijas, atšaukkite neatpažintus kelių faktorių autentifikavimo (MFA) įrenginius ir pakeiskite slaptažodžius.
5. Paleiskite užkrėstą kompiuterį į saugųjį režimą be tinklo. Įjunkite pažeistą kompiuterį tik tada, kai jis atjungtas nuo interneto, įjunkite Windows saugųjį režimą arba macOS saugųjį režimą, kad patikrintumėte ir pašalintumėte neprižiūrimas fonines paslaugas (ScreenConnect Client, AnyDesk Service, RustDesk Service) prieš operacinei sistemai įkeliant trečiųjų šalių tinklo tvarkykles.

Komercinio RMM ir nuotolinio darbalaukio atakos anatomijos supratimas¶

Šiuolaikinės techninės pagalbos sukčiavimas, pinigų grąžinimo sukčiavimas ir apsimetinėjimo banku išpuoliai retai priklauso nuo pagal užsakymą parašytų kompiuterinių virusų. Vietoj to, grėsmės veikėjai piktnaudžiauja teisėtu, skaitmeniniu parašu pasirašytu nuotoliniu stebėjimu ir valdymu (RMM) programinė įranga ir komerciniai nuotolinio darbalaukio įrankiai. Kadangi šiose vykdomosiose programose yra galiojantys kriptografinio kodo pasirašymo sertifikatai iš patikimų programinės įrangos tiekėjų, standartinės antivirusinės programos, pvz., „Windows Defender“ ar „MacOS XProtect“, neblokuoja jų diegimo.

Kaip užpuolikai ginkluoja teisėtus nuotolinio palaikymo dvejetainius failus¶

Kai auka paskambina nemokamu numeriu, rodomu netikrame naršyklės iššokančiajame lange, atsako į skubios sąskaitos faktūros el. laišką arba vykdo netikro banko sukčiavimo tyrėjo nurodymus, operatorius nurodo atsisiųsti vykdomąją programą arba MSI diegimo programą. Labiausiai piktnaudžiaujama platformomis:

• ConnectWise ScreenConnect (anksčiau valdymas): dažnai diegiamas naudojant tinkintą .msi arba .exe paketą, priglobtą užpuoliko valdomame serveryje. Kai jis vykdomas, jis įdiegiamas kaip nuolatinė „Windows“ sistemos paslauga (ScreenConnect Client (xxxx)) bėgimas su NT AUTHORITY\SYSTEM privilegijas, suteikiant tylią, neprižiūrimą prieigą, kai kompiuteris yra prisijungęs.
• AnyDesk (anydesk.exe): Dažnai naudojamas įvairiose platformose aferose, nukreiptose į „Windows“, „MacOS“ ir mobiliuosius įrenginius. Užpuolikai nurodo aukai garsiai perskaityti 9 skaitmenų „AnyDesk“ adresą, paprašyti administracinio paaukštinimo ir nustatyti „Neprižiūrimos prieigos slaptažodį“, kad vėl prisijungtų, kol auka miega.
• ** RustDesk (rustdesk.exe):** Atvirojo kodo nuotolinio darbalaukio įrankis, kurį mėgsta sukčių sindikatai, nes jie gali savarankiškai priglobti perdavimo serverius, apeidami tiekėjų piktnaudžiavimo pašalinimus.
• UltraViewer, TeamViewer, Zoho Assist ir SimpleHelp: dažniausiai sujungti grandinėmis. Sukčiai, prisijungę per „UltraViewer“ arba „AnyDesk“, dažnai tyliai įdiegs paslėptą ScreenConnect arba SimpleHelp paketą fone kaip atsargines galines duris.

Avarinė darbo eiga: ryšio nutraukimas ir žalos nustatymas¶

Norėdami sustabdyti aktyvią nuotolinę seansą, izoliuoti darbo vietą ir nustatyti, ar įrenginį galima išvalyti saugiuoju režimu, ar reikia visiškai išvalyti operacinę sistemą, naudokite šią veiklos schemą.

flowchart TD
    A["Aptikta aktyvi arba naujausia nuotolinės prieigos sukčiai"] --> B["Fiziškai atjunkite eterneto kabelį ir išjunkite „Wi-Fi“ maršrutizatorių"]
    B --> C{"Ar ekranas užtemdytas arba pelė užrakinta?"}
    C -- "Taip" --> D["Norėdami priverstinai išjungti, palaikykite kompiuterio fizinio maitinimo mygtuką 10 sekundžių"]
    C -- "Nr" --> E["Įjunkite lėktuvo režimą ir paprastai išjunkite kompiuterį"]
    D --> F["Norėdami paskambinti banko sukčiavimo skyriui, naudokite švarų išmanųjį telefoną mobiliojo ryšio duomenimis"]
    E --> F
    F --> G["Užšaldymo patikrinimas / taupymas, laidų atšaukimas / „Zelle“, užrakinti kredito biurus"]
    G --> H["Iš „Clean Smartphone“: keiskite el. pašto / banko slaptažodžius ir nužudykite sesijas"]
    H --> I{"Ar sukčiai turėjo neprižiūrimą prieigą arba paleido CMD / PowerShell?"}
    I -- "Taip (didelė rizika)" --> J["Paleiskite kompiuterį neprisijungus į saugųjį režimą, kad išgelbėtumėte tik asmeninius dokumentus"]
    I -- "Ne (trumpa prižiūrima sesija)" --> K["Paleiskite neprisijungę į saugųjį režimą, kad išvalytumėte RMM paslaugas ir sertifikatus"]
    J --> L["Atlikite „Full Clean OS“ iš naujo įdiegimą per USB laikmeną iš „Clean PC“."]
    K --> M["Pašalinkite paslaugas, suplanuotas užduotis, „AppData“ ir „Audit“ naršyklės plėtinius"]

Nuotolinės prieigos įrankių, kuriais piktnaudžiauja sukčiai, palyginimas¶

Prieš bandydami išvalyti įrenginį arba pranešti apie incidentą savo banko sukčiavimo ekspertų komandai, nustatykite, kuris (-i) nuotolinis įrankis (-iai) buvo įdiegtas (-i). Atminkite, kad sukčiai per vieną seansą įprastai įdiegia du ar tris skirtingus įrankius, kad pašalinus matomą darbalaukio piktogramą jų paslėpta antrinė paslauga liktų aktyvi.

Step-by-step banking and financial triage (First 30 minutes)¶

In a remote access scam, the computer infection is only the delivery mechanism; the primary emergency is acute financial theft. Attackers use psychological and technical tricks, such as editing the HTML source code (Inspect Element) of your bank's webpage to simulate an accidental $40,000 overpayment instead of $400, to trick you into wiring money, buying gift cards, or depositing cash into a Bitcoin ATM. Even if you refused to send money, an attacker with remote access can initiate transfers directly while your screen is blacked out.

1. Place an immediate hard freeze and initiate transfer recalls¶

Call your financial institution's dedicated fraud department immediately using a clean phone. State clearly: "My computer was compromised by a remote access trojan during a tech support/bank impersonation scam. An unauthorized party had live access to my online banking session." Demand the following specific actions:

• Online Banking Profile Lockout: Have the bank disable your online and mobile banking login credentials entirely and invalidate all active OAuth tokens and session cookies.
• ACH, Wire, and RTP Recall (SWIFT / Fedwire / Faster Payments): Ask the representative to inspect your account for any pending or queued outbound Automated Clearing House (ACH) transfers, domestic/international wire transfers, Zelle / Venmo payments, or "Bill Pay" checks scheduled for future dates. Scammers often schedule a Bill Pay check or post-dated ACH transfer set to execute 3 to 5 days later hoping you will not notice.
• Account Number Substitution: Because the attacker likely viewed your full routing and checking account numbers (or downloaded PDF bank statements from your browser), freezing the debit card alone is insufficient. You must request that the bank close the compromised account numbers and transition your balances into brand-new account numbers with "Post No Debits" (PND) restrictions on the old accounts.
• Check for Hidden Internal Transfers or Cash Advances: Attackers frequently take a cash advance from your linked credit card or Home Equity Line of Credit (HELOC) and transfer it into your checking account first, either to make you believe they "accidentally over-refunded" you, or to pool maximum liquidity before wiring the combined balance offshore. Tell the bank fraud specialist to check if any intra-bank transfers occurred between your savings, credit card, or brokerage accounts.

2. Užšaldykite kredito biurus ir patikrinkite, ar nėra naujų paskolos paraiškų¶

Prisijungę prie kompiuterio, sukčiai reguliariai ieško jūsų Downloads arba Documents aplankai tokiems raktiniams žodžiams kaip tax, 1040, W2, passport, license, arba password ir išfiltruoti savo mokesčių deklaracijas ir asmens tapatybės dokumentų nuskaitymus.

1. Nedelsdami pateikite nemokamą Security Freeze visuose pagrindiniuose kredito biuruose naudodami švarų išmanųjį telefoną:
2. Jungtinėse Valstijose: Freeze Equifax (1-888-298-0045), Patyręs (1-888-397-3742), TransUnion (1-800-916-8800) ir ChexSystems (1-800-428-9687).
3. Jungtinėje Karalystėje: susisiekite su Experian, Equifax ir TransUnion ir užsiregistruokite Cifas Protective Registration.
4. Kanadoje: pateikite kredito įšaldymo arba sukčiavimo įspėjimus naudodami Equifax Canada ir TransUnion Canada.
5. In Australia: Request a credit ban through Equifax, Illion, and Experian.
6. Review your credit report immediately for hard inquiries made in the last 24 hours; scammers often apply for instant online personal loans in a background browser tab while talking to you.

Eradicating remote access services in Safe Mode (Windows and macOS)¶

Jei nuspręsite apžiūrėti aparatą, išsaugoti teismo ekspertizės žurnalus teisėsaugai arba išgelbėti nepakeičiamas asmenines nuotraukas prieš valydami standųjį diską, niekada neįjunkite kompiuterio į įprastą režimą, kai esate prisijungę prie interneto. Tą akimirką, kai normalus įkrovimas baigiasi aktyviu „Wi-Fi“, nuolatinis ScreenConnect arba AnyDesk tarnyba paskambins į sukčių pultą ir įspės, kad jūsų aparatas vėl prisijungęs.

1 etapas: paleidimas į saugųjį režimą be tinklo¶

„Windows 10“ ir „Windows 11“.¶

1. Įsitikinkite, kad eterneto kabelis atjungtas, o namų „Wi-Fi“ maršruto parinktuvas atjungtas arba įjungtas lėktuvo režimas.
2. Įjunkite kompiuterį. „Windows“ prisijungimo ekrane laikykite nuspaudę Kairįjį Shift klavišą ir spustelėdami Maitinimas -> Paleisti iš naujo.
3. On the blue recovery screen, select Troubleshoot -> Advanced options -> Startup Settings -> Restart.
4. When the startup options list appears, press 4 or F4 (Enable Safe Mode). Do not press 5 (Safe Mode with Networking).

On macOS (Apple Silicon and Intel)¶

1. Turn off the Mac and turn off your Wi-Fi router.
2. Apple Silicon (M1/M2/M3/M4): Hold the Power button until "Loading startup options" appears. Select your startup disk, hold Shift, and click Continue in Safe Mode.
3. Intel Mac: Turn on the Mac and immediately hold the Shift key until the login window appears.

Phase 2: Hunting and terminating persistent Windows Services¶

Standard uninstallation via "Add or Remove Programs" often fails to remove customized ScreenConnect MSI builds because attackers strip the uninstaller entry from the Windows Registry or deploy multiple instances under randomized hexadecimal service names.

1. In Windows Safe Mode, press Win + R, tipas services.msc, and press Enter.
2. Click the Name column to sort alphabetically, and carefully inspect every service for the following names:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Note: There may be two or three separate ScreenConnect Client entries with different 16-character alphanumeric strings in parentheses, where each represents a different scammer server).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent arba SimpleHelp Remote Access
9. For every suspicious service you find, right-click it and select Properties.
10. Read the Path to executable field carefully and write it down (for example, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Change the Startup type dropdown to Disabled, click Stop (if running), and click Apply and OK.
12. Next, open an elevated Command Prompt (Win + X -> Terminalas (administratorius) arba Komandų eilutė (administratorius)) ir visam laikui ištrinkite paslaugų registracijas naudodami tikslų paslaugos pavadinimą, nurodytą ypatybių lange:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Už ScreenConnect, pateikite užklausą dėl visų įdiegtų egzempliorių ir ištrinkite kiekvieną pagal tikslų paslaugos rakto pavadinimą:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

3 etapas: suplanuotų užduočių, paleisties aplankų ir paslėptų katalogų išvalymas¶

Net ištrynę „Windows“ paslaugą, užpuolikai dažnai sukonfigūruoja suplanuotą užduotį, kuri iš naujo atsisiunčia nuotolinį agentą per powershell.exe arba mshta.exe kiekvieną kartą vartotojui prisijungus.

1. Paspauskite Win + R, tipas taskschd.mscir paspauskite Enter, kad atidarytumėte Task Scheduler.
2. Kairiojoje srityje spustelėkite Task Scheduler Library. Išskleiskite kiekvieną poaplankį ir patikrinkite kiekvienos suplanuotos užduoties skirtuką Veiksmai. Ištrinkite visas užduotis, kurios paleidžia dvejetainius failus C:\Users\<User>\AppData\, C:\ProgramData\, arba iškviečia curl, bitsadmin, powershell -WindowStyle Hidden, arba bet koks nuotolinio darbalaukio vykdomasis failas.
3. Paspauskite Win + R, tipas shell:startupir paspauskite Enter. Ištrinkite visus sparčiuosius klavišus arba .bat / .vbs scenarijus, patalpintus jūsų vartotojo paleisties aplanke. Pakartokite tai įvesdami shell:common startup norėdami patikrinti visos sistemos paleisties aplanką.
4. Įgalinkite paslėptų failų peržiūrą programoje „File Explorer“ (View -> Show -> Hidden items) ir rankiniu būdu ištrinkite visų nuotolinių įrankių programų katalogus ir konfigūracijos talpyklas:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ ir C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ ir C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ ir C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

4 etapas: „MacOS LaunchDaemons“, „LaunchAgents“ ir „Privacy Grants“ pašalinimas¶

„MacOS“ nuotolinės prieigos įrankiai užtikrina patvarumą LaunchDaemons (visoje sistemoje) ir LaunchAgents (vartotojo lygiu), kartu su „macOS“. TCC (Skaidrumo, sutikimo ir valdymo) leidimai Ekrano įrašymas ir Prieinamumas.

1. Būdami macOS saugiuoju režimu (neprisijungę), atidarykite Finder, paspauskite Cmd + Shift + G (Go to Folder) ir po vieną patikrinkite šiuos tris katalogus:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Vilkite bet kurį .plist failus, kuriuose yra connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, arba simplehelp į Šiukšliadėžę.
6. Toliau atidarykite /Applications/ ir /Library/Application Support/ ir perkelkite visus atitinkamus nuotolinės prieigos programų paketus ir palaikymo aplankus į šiukšliadėžę.
7. Atidarykite Sistemos nustatymai -> Privatumas ir sauga. Patikrinkite dvi svarbias dalis:
8. Ekrano ir sistemos garso įrašymas: pasirinkite bet kurį sąraše esantį nuotolinio palaikymo įrankį ir spustelėkite minuso (-) mygtuką, kad atšauktumėte galimybę peržiūrėti ekraną.
9. Prieinamumas: pasirinkite bet kurį nuotolinio palaikymo įrankį ir spustelėkite minuso (-) button to revoke its ability to control your mouse cursor and synthesize keystrokes.
10. Full Disk Access: Verify that no unknown application or terminal wrapper has been granted Full Disk Access.

Reversing Windows password locks and fake boot banners¶

Before disconnecting, vindictive scammers frequently lock victims out of their computers and demand a ransom for the password. They use three primary methods:

1. Changing your local Windows password (net user) or adding a rogue admin account¶

While their screen curtain is active, scammers often open an elevated Command Prompt and run net user <YourUsername> <NewPassword> or create a backdoor administrator account (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * How to check and fix: In Safe Mode, open an elevated Command Prompt (cmd.exe as Administrator) and type net user. If you see an unfamiliar account, delete it immediately with net user <RogueAccountName> /delete. Jei vietinis slaptažodis buvo pakeistas, paleiskite iš „Windows“ diegimo USB į „Windows“ atkūrimo aplinką (WinRE), kad atkurtumėte ankstesnį sistemos atkūrimo tašką, arba prisijunkite naudodami susietą „Microsoft“ paskyrą iš naujo nustatę slaptažodį švariame išmaniajame telefone.

2. Enabling a startup message banner via Registry (LegalNoticeCaption)¶

Sukčiai dažnai keičia HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System nustatant LegalNoticeCaption ir LegalNoticeText kad prieš prisijungiant būtų rodomas netikras „Microsoft Security“ blokavimo telefono numeris. * Kaip pataisyti: tai tik kosmetinis teksto ekranas prieš įprastą „Windows“ prisijungimo raginimą. Spustelėkite Gerai arba paspauskite Enter, kad jį apeitumėte, atidarykite regedit saugiuoju režimu eikite į HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemir išvalykite viduje esantį tekstą LegalNoticeCaption ir LegalNoticeText.

3. Saugaus įkrovos PIN blokavimas (bcdedit)¶

„Microsoft“ pašalino palikimą syskey.exe įrankis Windows 10 versijoje 1709. Šiandien sukčiai viduje pažymi Saugus įkrovimas msconfig ir iš naujo paleiskite kompiuterį neprisijungę. Kadangi „Windows Hello“ PIN kodai dažnai sugenda saugiojo režimo prisijungimo ekrane be prieigos prie tinklo, aukos patenka į įkrovos kilpą. * Kaip pataisyti: Prisijungimo ekrane laikykite nuspaudę Shift + Restart, pasirinkite Trikčių šalinimas -> Išplėstinės parinktys -> Komandų eilutė ir paleiskite:

bcdedit /deletevalue {current} safeboot

Įprastai iš naujo paleiskite kompiuterį (interneto maršruto parinktuvą palikite atjungtą), kad galėtumėte prisijungti naudodami talpykloje saugomą slaptažodį arba PIN kodą ir pašalinti nuotolinę programinę įrangą.

Kodėl naršyklės seanso vagystės ir informacijos vagystės reikalauja visiško OS nuvalymo¶

Net jei ištrinsite ScreenConnect, AnyDesk, arba RustDesk paslaugas saugiuoju režimu, turite įvertinti, ar sukčius įdiegė antrinį Infostealer (Lumma, RedLine, Vidar, Stealc) arba nukopijavote naršyklės profilio katalogą.

Neprižiūrimos nuotolinės sesijos metu užpuolikas užtrunka mažiau nei 8 sekundes, kol paleidžia „PowerShell“ scenarijų, kuris nukopijuoja jūsų „Google Chrome“, „Microsoft Edge“ ar „Brave“ naudotojo duomenų katalogą (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) kartu su vietiniu DPAPI pagrindinis iššifravimo raktas. Turėdamas šiuos failus savo serveryje, užpuolikas turi:

1. Kiekvienas slaptažodis išsaugotas žiniatinklio naršyklės integruotoje slaptažodžių tvarkyklėje.
2. Aktyvių seansų slapukai (Cookies ir Network\Cookies SQLite duomenų bazės): Net jei jūsų el. paštas ar bankas naudoja dviejų veiksnių autentifikavimą (2FA), turėdamas jūsų iššifruotą seanso prieigos rakto slapuką, užpuolikas gali importuoti jūsų naršyklės profilį į savo kompiuterio naršyklę, kuri neturi aptikimo, ir pasiekti jūsų „Gmail“, „Outlook“, „Amazon“ arba kriptovaliutų keitimo paskyrą, nereikalaujant slaptažodžio arba 2FA kodas.
3. Naršyklėmis pagrįstos kriptovaliutų piniginės saugyklos (MetaMask, Phantom, Rabby): Užšifruoti saugyklos failai viduje Local Extension Settings yra išfiltruoti brutaliam priverstiniam darbui neprisijungus.

Kai turite iš naujo įdiegti USB operacinę sistemą¶

Nors saugaus režimo paslaugos pašalinimo pakanka, jei per 10 sekundžių nuo „AnyDesk“ įdiegimo sugavote aferistą ir niekada nesuteikėte jam administratoriaus paaukštinimo arba neprižiūrimos prieigos, turite išvalyti diską ir atlikti švarų OS diegimą iš USB atmintinės, jei atsitiko bet kuris iš šių atvejų:

• Jūsų ekranas pasidarė juodas (Blank Guest Monitor) arba jūsų pelė / klaviatūra buvo užrakinta.
• Pamatėte komandų eilutę (cmd.exe) arba „PowerShell“ langas mirksi ekrane.
• Palikote kompiuterį be priežiūros, kol sukčius atliko netikrą saugumo patikrinimą.
• Jūs įdiegėte ConnectWise ScreenConnect (kuris veikia kaip SYSTEM pagal numatytuosius nustatymus ir leidžia vykdyti nematomą fono apvalkalo scenarijų).

Norėdami saugiai įdiegti iš naujo: 1. Būdami neprisijungę saugiuoju režimu, prijunkite visiškai naują USB atmintinę prie pažeisto kompiuterio ir nukopijuokite tik asmeninių duomenų failus (.jpg, .pdf, .docx, .xlsx, šeimos vaizdo įrašai). ** Niekada nekopijuokite .exe, .msi, .bat, .ps1, arba naršyklės profilio aplankus.** 2. Naudodami kitokį švarų kompiuterį atsisiųskite oficialų Windows Media Creation Tool iš Microsoft (microsoft.com/software-download) arba sukurkite įkeliamą „MacOS“ diegimo programą. 3. Paleiskite pažeistą kompiuterį iš švarios USB diegimo programos, ištrinkite visus esamus skaidinius pagrindiniame diske (Drive 0) ir įdiekite naują operacinės sistemos kopiją.

Išsaugokite savo teisėtą teisę į banko kompensaciją¶

Bankai dažnai bando atmesti paraiškas dėl apgaulės kompensavimo nuotolinės prieigos sukčiavimo atveju teigdami, kad „AnyDesk“ arba „ScreenConnect“ spustelėjote „Atsisiųsti“, „įgaliojote“ operacijas arba veikėte labai aplaidžiai. Žinodami, kaip įstatymų nustatyta vartotojų bankininkystės apsauga veikia jūsų jurisdikcijoje, labai svarbu kalbantis su savo banko ieškinio dėl sukčiavimo teisėju.

Jungtinėse Amerikos Valstijose: Elektroninis lėšų pervedimo įstatymas (EFTA) ir Regulation E (12 CFR § 1005)¶

Pagal federalinį elektroninių lėšų pervedimo įstatymą (Regulation E), Vartotojų finansinės apsaugos biuras (CFPB) paskelbė oficialias priežiūros gaires, kuriose teigiama, kad: * Prieiga vis dar yra „neteisėtas elektroninis lėšų pervedimas“: Pagal 12 CFR § 1005.2(m), elektroninis lėšų pervedimas, kurį inicijavo asmuo, gavęs prieigą prie vartotojo sąskaitos per sukčiavimą ar apiplėšimą, pagal įstatymą apibrėžiamas kaip neteisėtas ELP, net jei vartotojas buvo apgautas pateikti slaptažodį, vienkartinį prieigos kodą arba įdiegti nuotolinio darbalaukio programinę įrangą. * Neįmanoma atmesti jūsų pretenzijos dėl aplaidumo: oficialus CFPB aiškinimas Regulation E (Comment 6(b)-2) nurodoma, kad dėl vartotojų aplaidumo (pvz., pakliuvus į sukčiavimo iššokantįjį langą arba suteikus sukčiui prieigą prie nuotolinio darbalaukio) bankas negali panaudoti vartotojui didesnę atsakomybę nei Regulation E leidžia ($50 daugiausia, jei pranešama per 2 darbo dienas; $500 daugiausiai per 60 dienų). * Atskirkite sukčių paspaudimus nuo vartotojų spustelėtų pervedimų: jei sukčius per „AnyDesk“ / „ScreenConnect“ seansą už juodo ekrano pajudino pelę ir spustelėjo „Siųsti“, tai yra Neteisėta ELP, kurią apima Regulation E. Raštu pasakykite bankui: "Aš neinicijuojau, neįgaliojau ir nespustelėjau šio pervedimo mygtuko; nusikalstamos grėsmės veikėjas nuotoliniu būdu atliko pervedimą naudodamas nuotolinės prieigos Trojos arklys ir užrakinęs ekraną, o tai yra neteisėta ELP pagal 12 CFR § 1005.2(m)." Pridėkite išsaugotą informaciją. connection_trace.txt žurnalas arba „Windows Event Viewer Service Control Manager“ žurnalai (Event ID 7045 showing the exact minute the ScreenConnect arba AnyDesk paslauga buvo įdiegta) kaip teismo ekspertizės įrodymas.

Jungtinėje Karalystėje, Europos Sąjungoje, Kanadoje ir Australijoje¶

• Jungtinė Karalystė (PSR & FOS): Jei sukčius tiesiogiai valdė jūsų kompiuterį, kad pervestų lėšas, praneškite apie tai kaip Neteisėtą mokėjimą pagal 2017 m. mokėjimo paslaugų reglamentą. Jei sukčius manipuliavo jūsų ekranu (Inspect Element netikras pinigų grąžinimas), kad apgaulėtumėte jus pačiam įgalioti greitesnį mokėjimą, praneškite apie tai Mokėjimo paslaugų reguliuotojo (PSR) mandatory Authorized Push Payment (APP) Fraud reimbursement rules and escalate any denial to the Financial Ombudsman Service (FOS).
• European Union, Canada, and Australia: Report the incident immediately to your bank and national police, emphasizing that a remote access trojan executed or manipulated the session. Escalate unresolved bank disputes to the Ombudsman for Banking Services and Investments (OBSI) in Canada or the Australian Financial Complaints Authority (AFCA) in Australia under the ePayments Code.

Ištaisymo po incidento ir pranešimų teikimo kontrolinis sąrašas¶

Complete every item in this checklist before reconnecting your home network or resuming normal online banking:

• Physical isolation confirmed: Compromised computer was physically disconnected from Ethernet and Wi-Fi before any further troubleshooting.
• Banko sąskaitos užšaldytos ir pernumeruotos: visi čekių, santaupų ir HELOC sąskaitų numeriai, kurie buvo matomi kompiuteryje, buvo uždaryti ir iš naujo išduoti su naujais sąskaitų numeriais.
• Suplanuotos sąskaitų apmokėjimo ir ACH eilės išvalytos: banko prižiūrėtojas patvirtino, kad nėra būsimų sąskaitos apmokėjimo čekių, išorinių banko nuorodų (Plaid), arba nuotolinės sesijos metu buvo pridėtos stovimos laidos instrukcijos.
• Kreditas įšaldomas: Saugumas įšaldomas naudojant „Equifax“, „Experian“, „TransUnion“ ir „ChexSystems“.
• El. laiškų persiuntimo taisyklės patikrintos: Prisijungta prie „Gmail“ / „Outlook“ / „Yahoo“ iš švaraus išmaniojo telefono ir patikrinta Nustatymai -> Persiuntimas ir POP / IMAP bei Taisyklės / Filtrai, ar nėra paslėptų taisyklių, kurios automatiškai ištrina arba persiunčia el. laiškus, kuriuose yra "Bank", "Fraud", "Wire", arba "Security Alert".
• Naršyklės slaptažodžių saugykla pasukta: kiekvienas slaptažodis, saugomas „Chrome“, „Edge“, „Firefox“ arba „Safari“ slaptažodžių tvarkytuvėse, buvo pakeistas iš švaraus įrenginio.
• Forensic logs saved and official reports filed: File reports with the FBI IC3 (ic3.gov) and FTC (reportfraud.ftc.gov) in the US, Action Fraud (actionfraud.police.uk) in the UK, the Canadian Anti-Fraud Centre, or Scamwatch (scamwatch.gov.au) in Australia. Also report the installer binary or connection ID to connectwise.com/company/trust/report-abuse arba anydesk.com/en/abuse.

Dažnai užduodami klausimai¶

The scammer showed me my Windows Event Viewer and netstat Komandinėje eilutėje ir joje buvo daugybė įspėjimų, klaidų ir „UŽSIENIO ADRESO“ jungčių. Ar iš tikrųjų buvo nulaužtas mano kompiuteris, kol jiems paskambinau?¶

Ne. Abu `eventvwr` („Windows“ įvykių peržiūros programa) ir `netstat` yra įprastos administracinės paslaugos, įmontuotos į kiekvieną „Windows“ kopiją, o sukčiai jomis piktnaudžiauja kaip psichologiniu rekvizitu. Kiekvienas sveikas „Windows“ kompiuteris sukuria tūkstančius įprastinių geltonų įspėjimų ir raudonų klaidų žurnalų įvykių peržiūros priemonėje, kai įprastai paleidžiama ir atnaujinama fone. `netstat` nurodo kiekvieną įprastą foninį ryšį, kurį jūsų naršyklė ir operacinė sistema atlieka su debesies serveriais, kaip „užsienio adresą“. Jūsų kompiuteris buvo visiškai saugus iki to momento, kai vykdėte skambinančiojo nurodymus, kad atsisiųstumėte ir paleistumėte jo nuotolinės prieigos įrankį.

Kaip sukčius mano tikroje banko svetainėje parodė, kad jie netyčia įnešė indėlį $40,000 į mano einamąją sąskaitą, jei jie negali nulaužti banko serverio?¶

Prisijungęs prie kompiuterio per „AnyDesk“ arba „ScreenConnect“, sukčius užtemdo ekraną 15 sekundžių, dešiniuoju pelės klavišu spusteli jūsų banko likutį žiniatinklio naršyklėje ir spusteli **„Apžiūrėti“ (`Developer Tools`)**. Taip atidaromas vietinis HTML tekstas, rodomas jūsų naršyklės skirtuke. Aferistas tiesiog spausdina `$45,200.00` virš tavo tikrojo `$5,200.00` balansą ir prideda netikrą teksto eilutę `"ACH REFUND OVERPAYMENT +$40,000.00"` jūsų ekrane. Šis redagavimas egzistuoja tik naršyklės skirtuko laikinojoje atmintyje (`DOM`) ir išnyksta iškart, kai atnaujinate puslapį (`F5`) arba patikrinkite likutį savo išmaniojo telefono programėlėje. Arba jie perkelia `$40,000` iš savo taupomosios sąskaitos ar kredito linijos į einamąją sąskaitą ir peržymėkite ekraną, kad apgaule apgautumėte savo pinigus.

Jei pašalinau „AnyDesk“ arba „UltraViewer“ iš valdymo skydelio, ar galiu saugiai vėl įjungti „Wi-Fi“?¶

Paprastai neapžiūrėjus Windows paslaugų (`services.msc`) pirmiausia saugiuoju režimu. Profesionalios techninės pagalbos aferos skambučių centrai žino, kad aukos dažnai pašalina „AnyDesk“ arba „UltraViewer“, kai tik paleidžia ragelį. Todėl per pirmąsias dvi minutes po prisijungimo prie kompiuterio sukčiai paprastai naudoja tylų failų perkėlimą, kad pašalintų antrinį, paslėptą **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) arba **SimpleHelp** agentas, kuris nesukuria darbalaukio nuorodos ir slepiasi viduje `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Nebent saugiuoju režimu patikrinsite, ar nėra sukčių `SYSTEM` paslaugų ar suplanuotų užduočių, arba atlikite visą USB OS nuvalymą, iš naujo prisijungę prie „Wi-Fi“ gali nedelsiant perduoti kompiuterio valdymą užpuolikui.

Ar sukčius gali pasiekti kitus kompiuterius ar išmaniuosius telefonus mano namų „Wi-Fi“ tinkle vien todėl, kad viename nešiojamajame kompiuteryje įdiegiau „AnyDesk“?¶

Diegiant „AnyDesk“ arba „ScreenConnect“ pažeidžiamas konkretus kompiuteris, kuriame paleidote diegimo programą, o ne jūsų telefonai ar kiti nešiojamieji kompiuteriai. Tačiau jei nešiojamajame kompiuteryje ir išmaniajame telefone naudojate **Google Chrome, Microsoft Edge arba Apple iCloud slaptažodį ir seansų sinchronizavimą**, bet kokie slaptažodžiai, kuriuos pavogs aferistas arba pakeisti užkrėstame nešiojamajame kompiuteryje, turės įtakos jūsų bendrinamoms debesies paskyroms. Be to, būdamas prisijungęs prie nešiojamojo kompiuterio, užpuolikas gali prisijungti prie jūsų namų maršrutizatoriaus administratoriaus puslapio (`192.168.1.1`), jei jis vis dar naudoja numatytąjį administratoriaus slaptažodį ir pakeis maršrutizatoriaus slaptažodį `DNS` nustatymus. Atskyrę užkrėstą nešiojamąjį kompiuterį, iš naujo nustatykite gamyklinius „Wi-Fi“ maršruto parinktuvą arba patikrinkite jo DNS nustatymus ir administratoriaus slaptažodį švariame įrenginyje.

Susiję vadovai¶

• Techninės pagalbos iššokančiųjų langų sukčiai ir nuotolinio darbalaukio „AnyDesk“ / „TeamViewer“ pašalinimas
• Seanso slapukų užgrobimas, informacijos vagystės kenkėjiška programa ir slaptažodžio atšaukimas
• Fake CAPTCHA ClickFix PowerShell Win+R clipboard malware and Lumma Infostealer remediation
• Įgaliotas tiesioginio mokėjimo (APP) sukčiavimas programoje: „Zelle“, „Venmo“ ir „Faster Payments“ apsimetinėjimas ir kompensavimo teisės
• Banko sąskaitos pažeidimas
• Pagalbos numeriai pagal šalį

Šaltiniai ir oficialios rekomendacijos¶

• Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA), Federalinis tyrimų biuras (FBI), Nacionalinio saugumo agentūra (NSA), ir kelių valstybių informacijos dalijimosi ir analizės centras (MS-ISAC) (Jungtinės Amerikos Valstijos): Jungtinis kibernetinio saugumo patarimas (AA23-025A): Apsauga nuo piktavališko nuotolinio stebėjimo ir valdymo naudojimo (RMM) Programinė įranga.
• Vartotojų finansinės apsaugos biuras (CFPB) (Jungtinės Valstijos): Elektroniniai lėšų pervedimai (Regulation E, 12 CFR Part 1005) Oficialios interpretacijos ir DUK apie neteisėtus ELP ir apgaulingai sukeltą prieigą.
• Federalinė prekybos komisija (FTC) (Jungtinės Valstijos): Kaip pastebėti techninės pagalbos sukčiavimus, jų išvengti ir pranešti apie juos.
• National Cyber Security Centre (NCSC) & Action Fraud (Jungtinė Karalystė): Įrenginių apsauga nuo neteisėtos nuotolinės prieigos įrankių ir ekrano bendrinimo sukčiavimo.
• „ConnectWise“ pasitikėjimo ir saugumo reagavimo centras: * „Rogue ScreenConnect“ nustatymas ir pašalinimas (ConnectWise Control) Kliento egzemplioriai*.