Attālās piekļuves Trojas zirgi (ScreenConnect, AnyDesk, RustDesk, UltraViewer) tehniskā atbalsta krāpniecība: Ethernet tīkla izvilkšana, pakalpojumu nogalināšana un banku iesaldēšana¶

Kad krāpnieks pārliecina jūs instalēt attālās darbvirsmas rīku vai palaiž jūsu datorā attālās uzraudzības aģentu, viņi iegūst tiešraidē, neierobežotu kontroli pār jūsu peli, tastatūru, failu sistēmu un aktīvajām pārlūkprogrammas sesijām. Rādot viltotu drošības skenēšanu vai melnu privātuma aizkaru monitorā, operators klusi iztukšo čeku kontus, ievāc saglabātās paroles un instalē pastāvīgus fona pakalpojumus, kas iztur standarta atsāknēšanu. Šajā rokasgrāmatā ir sniegtas tūlītējas darbības, lai pārtrauktu uzbrucēja datu saiti, neatgriezeniski izskaustu bez uzraudzības atstātus attālās piekļuves pakalpojumus un bloķētu jūsu banku un kredītu infrastruktūru, pirms līdzekļi tiek atbrīvoti no vadu tīkla.

Dariet to tagad¶

1. Fiziski un nekavējoties pārtrauciet visu interneta savienojumu. Atvienojiet Ethernet kabeli no galddatora vai maršrutētāja aizmugures, pagrieziet klēpjdatora fizisko Wi-Fi slēdzi vai nospiediet un 10 sekundes turiet nospiestu Wi-Fi maršrutētāja barošanas pogu, līdz nodziest visas gaismas. Netērējiet laiku, mēģinot cīnīties ar krāpnieku, lai kontrolētu peles kursoru, lai noklikšķinātu uz atvienošanas pogas.
2. Piespiedu kārtā izslēdziet apdraudēto datoru, ja ekrāns ir aptumšots. Ja uzbrucējs ir iespējojis "Blank Guest Monitor" vai bloķējis tastatūras ievadi, nospiediet un 10 sekundes turiet nospiestu datora fizisko barošanas pogu, līdz ierīce pilnībā izslēdzas. Atstājiet to izslēgtu, kamēr aizsargājat savus finanšu kontus no atsevišķas, tīras ierīces.
3. Zvaniet uz savas bankas krāpšanas nodaļu no neatkarīga tālruņa. Izmantojiet mobilo tālruni, lai zvanītu uz oficiālo numuru, kas norādīts jūsu debetkartes vai kredītkartes aizmugurē, vai zvaniet uz vietējo neatliekamās palīdzības numuru (911 Amerikas Savienotajās Valstīs un Kanādā, 112 visā Eiropas Savienībā, 999 Apvienotajā Karalistē), ja notiek aktīvs izspiešanas drauds. skat neatliekamās palīdzības numuri starptautiskiem kontaktiem. Uzdodiet bankai nekavējoties stingri iesaldēt visus čeku, krājkontus un kredītlīnijas kontus un pieprasīt ārkārtas atsaukšanu visiem neapstiprinātajiem automatizētās klīringa centra (ACH), pārskaitījumu vai reāllaika maksājumu pārvedumiem.
4. Atsauciet aktīvos sesijas sīkfailus un mainiet paroles no tīra viedtālruņa. Izmantojot tālruni, izmantojot mobilos datus (nav savienojuma ar mājas Wi-Fi, ja apdraudētais dators atkal ir ieslēgts), piesakieties savā primārajā e-pastā, banku portālos un mākoņkrātuves kontos. Pārtrauciet visas aktīvās pieteikšanās sesijas, atsauciet neatpazītās daudzfaktoru autentifikācijas (MFA) ierīces un pagrieziet savas paroles.
5. Sāknējiet inficēto datoru drošajā režīmā bez tīkla izveides. Atkārtoti ieslēdziet apdraudēto datoru tikai tad, kad tas ir atvienots no interneta, pārejot Windows drošajā režīmā vai macOS drošajā režīmā, lai pārbaudītu un izņemtu bez uzraudzības fona pakalpojumus (ScreenConnect Client, AnyDesk Service, RustDesk Service), pirms operētājsistēma ielādē trešās puses tīkla draiverus.

Izpratne par komerciāla RMM un attālās darbvirsmas uzbrukuma anatomiju¶

Mūsdienu tehniskā atbalsta krāpniecība, krāpšanās ar atmaksu un uzbrukumi, kas saistīti ar banku uzdošanos, reti balstās uz individuāli rakstītiem datorvīrusiem. Tā vietā draudu dalībnieki ļaunprātīgi izmanto likumīgu, digitāli parakstītu attālo uzraudzību un pārvaldību (RMM) programmatūra un komerciāli attālās darbvirsmas rīki. Tā kā šiem izpildāmajiem failiem ir derīgi kriptogrāfiskā koda parakstīšanas sertifikāti no uzticamiem programmatūras piegādātājiem, standarta pretvīrusu programmas, piemēram, Windows Defender vai macOS XProtect, nebloķē to instalēšanu.

Kā uzbrucēji izmanto likumīgus attālā atbalsta bināros failus¶

Kad upuris zvana uz bezmaksas numuru, kas parādīts viltus pārlūkprogrammas uznirstošajā logā, atbild uz steidzamu rēķina e-pasta ziņojumu vai izpilda viltus bankas krāpniecības izmeklētāja norādījumus, operators liek viņam lejupielādēt izpildāmo vai MSI instalēšanas programmu. Visvairāk ļaunprātīgi izmantotās platformas ir:

• ConnectWise ScreenConnect (iepriekš Control): bieži tiek izvietots, izmantojot pielāgotu .msi vai .exe pakotne, kas mitināta uzbrucēja kontrolētā serverī. Kad tas ir izpildīts, tas tiek instalēts kā pastāvīgs Windows sistēmas pakalpojums (ScreenConnect Client (xxxx)) skrien ar NT AUTHORITY\SYSTEM privilēģijas, nodrošinot klusu, bez uzraudzības piekļuvi ikreiz, kad dators ir tiešsaistē.
• ** AnyDesk (anydesk.exe):** Bieži izmanto starpplatformu krāpniecībā, kuru mērķauditorija ir Windows, macOS un mobilās ierīces. Uzbrucēji liek upurim skaļi nolasīt 9 ciparu AnyDesk adresi, pieprasīt administratīvo paaugstinājumu un iestatīt "Unattended Access Password", lai atjaunotu savienojumu, kamēr upuris guļ.
• ** RustDesk (rustdesk.exe):** Atvērtā pirmkoda attālās darbvirsmas rīks, ko iecienījuši krāpnieciski sindikāti, jo tie var pašimitināt pārraides serverus, apejot pārdevēju ļaunprātīgas noņemšanu.
• UltraViewer, TeamViewer, Zoho Assist un SimpleHelp: parasti tiek savienoti kopā. Krāpnieks, kurš izveido savienojumu, izmantojot UltraViewer vai AnyDesk, bieži klusi instalē slēpto ScreenConnect vai SimpleHelp pakete fonā kā rezerves aizmugures durvis.

Ārkārtas darbplūsma: savienojuma pārtraukšana un bojājumu noteikšana¶

Izmantojiet tālāk norādīto darbības blokshēmu, lai apturētu aktīvo attālo sesiju, izolētu darbstaciju un noteiktu, vai iekārtu var tīrīt drošajā režīmā vai arī tai ir nepieciešama pilnīga operētājsistēmas tīrīšana.

flowchart TD
    A["Atklāta aktīva vai nesena attālās piekļuves krāpniecība"] --> B["Fiziski atvienojiet Ethernet kabeli un izslēdziet Wi-Fi maršrutētāju"]
    B --> C{"Vai ekrāns ir aptumšots vai pele ir bloķēta?"}
    C -- "Jā" --> D["Turiet datora fiziskās barošanas pogu 10 sekundes, lai izslēgtu to"]
    C -- "Nē" --> E["Ieslēdziet lidmašīnas režīmu un parasti izslēdziet datoru"]
    D --> F["Izmantojiet tīru viedtālruni mobilajos datos, lai izsauktu bankas krāpšanas nodaļu"]
    E --> F
    F --> G["Iesaldēšanas pārbaude / ietaupījumi, atsaukšanas vadi / Zelle, kredītu bloķēšanas biroji"]
    G --> H["No Clean viedtālruņa: mainiet e-pasta/bankas paroles un nogaliniet sesijas"]
    H --> I{"Vai krāpniekam bija bez uzraudzības piekļuve vai viņš palaida CMD/PowerShell?"}
    I -- "Jā (augsts risks)" --> J["Ielādējiet datoru bezsaistē drošajā režīmā, lai glābtu tikai personiskos dokumentus"]
    I -- "Nē (īsa uzraudzīta sesija)" --> K["Sāknējiet bezsaistē drošajā režīmā, lai iztīrītu RMM pakalpojumus un sertifikātus"]
    J --> L["Veiciet pilnu OS atkārtotu instalēšanu, izmantojot USB datu nesēju no Clean PC"]
    K --> M["Noņemiet pakalpojumus, ieplānotos uzdevumus, AppData un audita pārlūkprogrammas paplašinājumus"]

Krāpnieku ļaunprātīgi izmantoto attālās piekļuves rīku salīdzinājums¶

Pirms mēģināt tīrīt iekārtu vai ziņot par incidentu savas bankas kriminālistikas krāpšanas komandai, noskaidrojiet, kurš(-i) attālais(-ie) rīks(-i) tika instalēts(-i). Atcerieties, ka krāpnieki vienas sesijas laikā parasti instalē divus vai trīs dažādus rīkus, tāpēc, ja atinstalējat redzamo darbvirsmas ikonu, viņu slēptais sekundārais pakalpojums paliek aktīvs.

Soli pa solim banku un finanšu šķirošana (pirmās 30 minūtes)¶

Attālās piekļuves krāpniecībā datora infekcija ir tikai piegādes mehānisms; primārā ārkārtas situācija ir akūta finanšu zādzība. Uzbrucēji izmanto psiholoģiskus un tehniskus trikus, piemēram, rediģē HTML avota kodu (Inspect Element) jūsu bankas tīmekļa vietnē, lai simulētu nejaušu notikumu $40,000 vietā pārmaksa $400, lai jūs varētu pievilināt naudu, iegādāties dāvanu kartes vai iemaksāt skaidru naudu Bitcoin bankomātā. Pat ja jūs atteicāties sūtīt naudu, uzbrucējs ar attālo piekļuvi var uzsākt pārskaitījumu tieši, kamēr jūsu ekrāns ir aptumšots.

1. Nekavējoties veiciet stingru iesaldēšanu un sāciet pārsūtīšanas atsaukšanu¶

Nekavējoties zvaniet savas finanšu iestādes krāpšanas apkarošanas nodaļai, izmantojot tīru tālruni. Skaidri norādiet: "Manu datoru apdraudēja attālās piekļuves Trojas zirgs tehniskā atbalsta/bankas uzdošanās krāpniecības laikā. Neautorizētai pusei bija tieša piekļuve manai tiešsaistes bankas sesijai." Pieprasiet veikt šādas konkrētas darbības:

• Tiešsaistes bankas profila bloķēšana: lūdziet bankai pilnībā atspējot jūsu tiešsaistes un mobilās bankas pieteikšanās akreditācijas datus un padarīt nederīgus visus aktīvās OAuth pilnvaras un sesijas sīkfailus.
• ACH, vadu un RTP atsaukšana (SWIFT / Fedwire / Faster Payments): Palūdziet pārstāvim pārbaudīt jūsu kontu, lai noteiktu neapstiprinātu vai rindā esošo izejošo automātisko klīringa centru (ACH) pārskaitījumi, iekšzemes/starptautiskie elektroniskie pārvedumi, Zelle / Venmo maksājumiem vai "Rēķinu apmaksas" čekiem, kas ieplānoti turpmākiem datumiem. Krāpnieki bieži ieplāno rēķina apmaksas čeku vai pēc datuma ACH pārskaitījumu, kas tiek izpildīts 3-5 dienas vēlāk, cerot, ka jūs to nepamanīsit.
• Konta numura aizstāšana: tā kā uzbrucējs, iespējams, ir apskatījis visus jūsu maršrutēšanas un konta numurus (vai no jūsu pārlūkprogrammas lejupielādējis bankas izrakstus PDF formātā), ar debetkartes iesaldēšanu vien nepietiek. Jums ir jāpieprasa, lai banka aizvērtu apdraudētos kontu numurus un pārceļ jūsu atlikumus uz pilnīgi jauniem kontu numuriem ar "Nost No Debit" (PND) ierobežojumi vecajiem kontiem.
• Pārbaudiet slēptos iekšējos pārskaitījumus vai skaidras naudas avansus: Uzbrucēji bieži ņem skaidras naudas avansu no jūsu saistītās kredītkartes vai mājas kapitāla kredītlīnijas (HELOC) un vispirms pārskaitiet to savā norēķinu kontā, lai liktu jums domāt, ka viņi jums "nejauši pārmaksājuši", vai arī lai apvienotu maksimālu likviditāti pirms kombinētā bilances pievienošanas ārzonai. Pastāstiet bankas krāpniecības speciālistam, lai viņš pārbaudītu, vai starp jūsu krājkontiem, kredītkartes vai brokeru kontiem nav notikuši iekšbankas pārskaitījumi.

2. Iesaldējiet kredītu birojus un pārbaudiet jaunus aizdevuma pieteikumus¶

Kamēr ir izveidots savienojums ar datoru, krāpnieki regulāri pārmeklē jūsu Downloads vai Documents mapes tādiem atslēgvārdiem kā tax, 1040, W2, passport, license, vai password un izfiltrējiet savas nodokļu deklarācijas un ID skenēšanu.

1. Izmantojot savu tīro viedtālruni, nekavējoties veiciet bezmaksas Drošības iesaldēšanu visos lielākajos kredītu birojos:
2. ASV: iesaldēšana Equifax (1-888-298-0045), Pieredze (1-888-397-3742), TransUnion (1-800-916-8800), un ChexSystems (1-800-428-9687).
3. Apvienotajā Karalistē: sazinieties ar Experian, Equifax un TransUnion un reģistrējieties Cifas Protective Registration.
4. Kanādā: ievietojiet kredīta iesaldēšanas vai krāpšanas brīdinājumus, izmantojot Equifax Canada un TransUnion Canada.
5. Austrālijā: pieprasiet kredīta aizliegumu, izmantojot Equifax, Illion un Experian.
6. Nekavējoties pārskatiet savu kredītvēsturi par pēdējo 24 stundu laikā veiktajiem jautājumiem; krāpnieki bieži piesakās tūlītējiem tiešsaistes personīgajiem aizdevumiem fona pārlūkprogrammas cilnē, runājot ar jums.

Attālās piekļuves pakalpojumu dzēšana drošajā režīmā (Windows un macOS)¶

Ja pirms cietā diska tīrīšanas nolemjat pārbaudīt iekārtu, saglabāt kriminālistikas žurnālus tiesībaizsardzības iestādēm vai izglābt neaizstājamus personīgos fotoattēlus, nekad nepalaidiet datoru parastajā režīmā, kamēr ir izveidots savienojums ar internetu. Brīdī, kad parastā sāknēšana tiek pabeigta ar aktīvo Wi-Fi, tas ir noturīgs ScreenConnect vai AnyDesk pakalpojums piezvanīs uz krāpnieka konsoli un brīdinās, ka jūsu ierīce atkal ir tiešsaistē.

1. fāze: sāknēšana drošajā režīmā bez tīkla izveides¶

Operētājsistēmā Windows 10 un Windows 11¶

1. Pārliecinieties, vai Ethernet kabelis ir atvienots un jūsu mājas Wi-Fi maršrutētājs ir atvienots vai ir aktīvs lidmašīnas režīms.
2. Ieslēdziet datoru. Windows pierakstīšanās ekrānā turiet nospiestu taustiņu Kreisais Shift, vienlaikus noklikšķinot uz Barošana , > Restartēt.
3. Zilajā atkopšanas ekrānā atlasiet Problēmu novēršana -> Papildu opcijas -> Startēšanas iestatījumi -> Restartēt.
4. Kad tiek parādīts startēšanas opciju saraksts, nospiediet 4 vai F4 (Enable Safe Mode). Nespiediet 5 (Safe Mode with Networking).

Operētājsistēmā macOS (Apple Silicon un Intel)¶

1. Izslēdziet Mac datoru un Wi-Fi maršrutētāju.
2. ** Apple Silicon (M1/M2/M3/M4):** Turiet nospiestu barošanas pogu, līdz tiek parādīts paziņojums “Notiek startēšanas opciju ielāde”. Atlasiet startēšanas disku, turiet nospiestu taustiņu Shift un noklikšķiniet uz Turpināt drošajā režīmā.
3. Intel Mac: ieslēdziet Mac datoru un nekavējoties turiet nospiestu taustiņu Shift, līdz tiek parādīts pieteikšanās logs.

2. fāze: pastāvīgo Windows pakalpojumu meklēšana un pārtraukšana¶

Standarta atinstalēšana, izmantojot "Pievienot vai noņemt programmas", bieži vien neizdodas noņemt pielāgoto ScreenConnect MSI tiek veidota, jo uzbrucēji izņem atinstalēšanas programmas ierakstu no Windows reģistra vai izvieto vairākus gadījumus ar nejaušinātiem heksadecimālajiem pakalpojumu nosaukumiem.

1. Windows drošajā režīmā nospiediet Win + R, tips services.mscun nospiediet Enter.
2. Noklikšķiniet uz kolonnas Nosaukums, lai kārtotu alfabēta secībā, un rūpīgi pārbaudiet, vai katrā pakalpojumā nav norādīti tālāk norādītie nosaukumi.
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Piezīme: var būt divi vai trīs atsevišķi ScreenConnect Client ieraksti ar dažādām 16 rakstzīmju burtciparu virknēm iekavās, kur katrs apzīmē citu krāpnieku serveri).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent vai SimpleHelp Remote Access
9. Par katru atrasto aizdomīgo pakalpojumu ar peles labo pogu noklikšķiniet uz tā un atlasiet Properties.
10. Uzmanīgi izlasiet lauku Path to executable un pierakstiet to (piemēram, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Mainiet nolaižamo izvēlni Startup type uz Atspējots, noklikšķiniet uz Apturēt (ja darbojas) un noklikšķiniet uz Lietot un Labi.
12. Pēc tam atveriet paaugstinātu komandu uzvedni (Win + X -> Termināls (Administrators) vai Komandrinda (Administrators)) un neatgriezeniski izdzēsiet pakalpojumu reģistrācijas, izmantojot precīzu pakalpojuma nosaukumu, kas norādīts rekvizītu logā:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Par ScreenConnect, vaicājiet visus instalētos gadījumus un izdzēsiet katru pēc precīza pakalpojuma atslēgas nosaukuma:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

3. fāze: ieplānoto uzdevumu, startēšanas mapju un slēpto direktoriju tīrīšana¶

Pat pēc Windows pakalpojuma dzēšanas uzbrucēji bieži konfigurē ieplānotu uzdevumu, kas atkārtoti lejupielādē attālo aģentu, izmantojot powershell.exe vai mshta.exe katru reizi, kad lietotājs piesakās.

1. Nospiediet Win + R, tips taskschd.mscun nospiediet taustiņu Enter, lai atvērtu Uzdevumu plānotāju.
2. Kreisajā rūtī noklikšķiniet uz Uzdevumu plānotāja bibliotēka. Izvērsiet katru apakšmapi un pārbaudiet katra ieplānotā uzdevuma cilni Darbības. Dzēsiet visus uzdevumus, kas palaiž bināros failus no C:\Users\<User>\AppData\, C:\ProgramData\, vai izsauc curl, bitsadmin, powershell -WindowStyle Hidden, vai jebkuru attālās darbvirsmas izpildāmo failu.
3. Nospiediet Win + R, tips shell:startupun nospiediet Enter. Dzēsiet visus īsceļus vai .bat / .vbs skripti, kas ievietoti jūsu lietotāja startēšanas mapē. Atkārtojiet to, ierakstot shell:common startup lai pārbaudītu visas sistēmas startēšanas mapi.
4. Iespējojiet slēpto failu skatīšanu programmā File Explorer (Skats -> Rādīt -> Slēptie vienumi) un manuāli izdzēsiet lietojumprogrammu direktorijus un konfigurācijas kešatmiņas visiem attālajiem rīkiem:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ un C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ un C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ un C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

4. fāze: macOS LaunchDaemons, LaunchAgents un Privacy Grants noņemšana¶

Operētājsistēmā MacOS attālās piekļuves rīki nodrošina noturību LaunchDaemons (visā sistēmā) un LaunchAgents (lietotāja līmenī), apvienojumā ar macOS TCC (Pārredzamība, piekrišana un kontrole) atļaujas Ekrāna ierakstīšanai un Pieejamībai.

1. MacOS drošajā režīmā (bezsaistē) atveriet Finder un nospiediet Cmd + Shift + G (Go to Folder) un pa vienam pārbaudiet šādus trīs direktorijus:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Velciet jebkuru .plist faili, kas satur connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, vai simplehelp uz miskasti.
6. Tālāk atveriet /Applications/ un /Library/Application Support/ un pārvietojiet visus atbilstošos attālās piekļuves programmu komplektus un atbalsta mapes uz miskasti.
7. Atveriet Sistēmas iestatījumi -> Privātums un drošība. Pārbaudiet divas kritiskās sadaļas:
8. Ekrāna un sistēmas audio ierakstīšana: atlasiet jebkuru attālā atbalsta rīku sarakstā un noklikšķiniet uz mīnusa (-), lai atsauktu iespēju skatīt displeju.
9. Pieejamība: atlasiet jebkuru attālā atbalsta rīku un noklikšķiniet uz mīnusa (-), lai atsauktu tās spēju vadīt peles kursoru un sintezēt taustiņu nospiešanu.
10. Pilna diska piekļuve: pārbaudiet, vai nevienai nezināmai lietojumprogrammai vai termināļa iesaiņojumam nav piešķirta pilna diska piekļuve.

Windows paroles bloķēšanas un viltotu sāknēšanas reklāmkarogu atcelšana¶

Pirms atvienošanas atriebīgi krāpnieki bieži izslēdz upurus no saviem datoriem un pieprasa izpirkuma maksu par paroli. Viņi izmanto trīs galvenās metodes:

1. Lokālās Windows paroles maiņa (net user) vai pievienojot negodīgu administratora kontu¶

Kamēr viņu ekrāna aizkars ir aktīvs, krāpnieki bieži atver paaugstinātu komandu uzvedni un palaiž net user <YourUsername> <NewPassword> vai izveidojiet backdoor administratora kontu (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Kā pārbaudīt un novērst: drošajā režīmā atveriet paaugstinātu komandu uzvedni (cmd.exe kā administrators) un veids net user. Ja redzat nepazīstamu kontu, nekavējoties izdzēsiet to ar net user <RogueAccountName> /delete. Ja jūsu vietējā parole ir mainīta, sāknējiet no Windows instalācijas USB uz Windows atkopšanas vidi (WinRE), lai atjaunotu iepriekšējo sistēmas atjaunošanas punktu, vai pierakstieties ar savu saistīto Microsoft kontu pēc paroles atiestatīšanas tīrā viedtālrunī.

2. Startēšanas ziņojuma reklāmkaroga iespējošana, izmantojot reģistru (LegalNoticeCaption)¶

Krāpnieki bieži modificē HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System iestatot LegalNoticeCaption un LegalNoticeText lai pirms pieteikšanās parādītu viltotu Microsoft drošības bloķēšanas tālruņa numuru. * Kā labot: šis ir tikai kosmētisks teksta ekrāns pirms parastās Windows pieteikšanās uzvednes. Noklikšķiniet uz OK vai nospiediet Enter, lai to apietu, atveriet regedit drošajā režīmā dodieties uz HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemun notīriet iekšpusē esošo tekstu LegalNoticeCaption un LegalNoticeText.

3. Drošas sāknēšanas PIN bloķēšana (bcdedit)¶

Microsoft noņēma mantojumu syskey.exe rīks operētājsistēmas Windows 10 versijā 1709. Mūsdienās krāpnieki iekšpusē atzīmē Droša sāknēšana msconfig un restartējiet datoru bezsaistē. Tā kā Windows Hello PIN bieži neizdodas drošā režīma pieteikšanās ekrānā bez piekļuves tīklam, upuri tiek iesprostoti sāknēšanas cilpā. * Kā labot: Pieteikšanās ekrānā turiet nospiestu taustiņu Shift + Restart, atlasiet Problēmu novēršana -> Papildu opcijas -> Komandu uzvedne un palaidiet:

bcdedit /deletevalue {current} safeboot

Restartējiet datoru kā parasti (interneta maršrutētāju neatvienojot), lai varētu pieteikties ar kešatmiņā saglabāto paroli vai PIN un noņemt attālo programmatūru.

Kāpēc pārlūkprogrammas sesiju zādzībām un informācijas zagļiem ir nepieciešama pilnīga OS tīrīšana¶

Pat ja izdzēšat ScreenConnect, AnyDesk, vai RustDesk pakalpojumus drošajā režīmā, jums jānovērtē, vai krāpnieks ir izvietojis sekundāro Infostealer (Lumma, RedLine, Vidar, Stealc) vai nokopējis pārlūkprogrammas profila direktoriju.

Bez uzraudzības attālās sesijas laikā uzbrucējam ir nepieciešamas mazāk nekā 8 sekundes, lai palaistu PowerShell skriptu, kas kopē jūsu Google Chrome, Microsoft Edge vai Brave lietotāja datu direktoriju (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) kopā ar vietējo DPAPI galvenā atšifrēšanas atslēga. Ar šiem failiem savā serverī uzbrucējam ir:

1. Katra parole, kas saglabāta jūsu tīmekļa pārlūkprogrammas iebūvētajā paroļu pārvaldniekā.
2. Aktīvās sesijas sīkfaili (Cookies un Network\Cookies SQLite datu bāzes): Pat ja jūsu e-pasts vai banka izmanto divu faktoru autentifikāciju (2FA), ja jums ir jūsu atšifrētās sesijas marķiera sīkfails, uzbrucējs var importēt jūsu pārlūkprogrammas profilu sava datora pārlūkprogrammā, kas novērš noteikšanu, un piekļūt jūsu Gmail, Outlook, Amazon vai kriptovalūtas maiņas kontam, neprasot paroli vai 2FA kodu.
3. ** Uz pārlūkprogrammu balstītas kriptovalūtas maka glabātuves (MetaMask, Phantom, Rabby):** Iekšpusē šifrēti glabātuves faili Local Extension Settings tiek izfiltrēti bezsaistes brutālai piespiešanai.

Kad ir jāveic tīra USB operētājsistēmas atkārtota instalēšana¶

Lai gan drošā režīma pakalpojuma noņemšana ir pietiekama, ja esat notvēris krāpnieku 10 sekunžu laikā pēc AnyDesk instalēšanas un nekad nepiešķīrāt viņam administratora paaugstinājumu vai bez uzraudzības piekļuvi, jums ir jānotīra disks un jāveic tīra OS instalēšana no USB atmiņas zibatmiņas, ja noticis kāds no tālāk minētajiem gadījumiem:

• Jūsu ekrāns kļuva melns (Blank Guest Monitor) vai jūsu pele/tastatūra bija bloķēta.
• Jūs redzējāt komandu uzvedni (cmd.exe) vai PowerShell loga mirgošana ekrānā.
• Jūs atstājāt datoru bez uzraudzības, kamēr krāpnieks veica viltus drošības skenēšanu.
• Jūs instalējāt ConnectWise ScreenConnect (kas darbojas kā SYSTEM pēc noklusējuma un pieļauj neredzamu fona čaulas skripta izpildi).

Lai veiktu drošu pārinstalēšanu: 1. Atrodoties bezsaistē drošajā režīmā, pievienojiet pilnīgi jaunu USB zibatmiņas disku kompromitētajam datoram un kopējiet tikai personas datu failus (.jpg, .pdf, .docx, .xlsx, ģimenes video). Nekad nekopējiet .exe, .msi, .bat, .ps1vai pārlūkprogrammas profila mapes. 2. Izmantojot citu, tīru datoru, lejupielādējiet oficiālo Windows Media izveides rīku no Microsoft (microsoft.com/software-download) vai izveidojiet sāknējamu macOS instalētāju. 3. Sāknējiet apdraudēto datoru no tīrā USB instalēšanas programmas, izdzēsiet visus esošās nodalījumus primārajā diskā (Drive 0) un instalējiet jaunu operētājsistēmas kopiju.

Saglabājiet savas likumīgās tiesības uz bankas atlīdzību¶

Bankas bieži mēģina noliegt krāpšanas atlīdzināšanas prasības attālās piekļuves krāpniecībā, apgalvojot, ka, tā kā AnyDesk vai ScreenConnect noklikšķinājāt uz "Lejupielādēt", jūs "atļāvāt" darījumus vai rīkojāties rupji nolaidīgi. Zinot, kā jūsu jurisdikcijā darbojas likumā noteiktā patērētāju banku aizsardzība, ir ļoti svarīgi runāt ar savas bankas krāpšanas prasību tiesnesi.

Amerikas Savienotajās Valstīs: Elektronisko līdzekļu pārskaitījumu likums (EFTA) un Regulation E (12 CFR § 1005)¶

Saskaņā ar federālo elektronisko līdzekļu pārskaitījumu likumu (Regulation E), Patērētāju finanšu aizsardzības birojs (CFPB) ir izdevusi oficiālas uzraudzības vadlīnijas, kurās norādīts, ka: * Inducētā piekļuve joprojām ir "Neautorizēts elektroniskais līdzekļu pārskaitījums": saskaņā ar 12 CFR § 1005.2(m), elektroniskais līdzekļu pārvedums, ko ierosinājusi persona, kura ieguvusi piekļuvi patērētāja kontam, izmantojot krāpšanu vai laupīšanu, likumā ir definēta kā neautorizēta ELP, pat ja patērētājs tika maldināts, lai ievadītu paroli, vienreizēju piekļuves kodu vai instalētu attālās darbvirsmas programmatūru. * Nolaidību nevar izmantot, lai noraidītu jūsu prasību: CFPB oficiālā interpretācija Regulation E (Comment 6(b)-2) norāda, ka patērētāja nolaidību (piemēram, iekrišanu pikšķerēšanas uznirstošajā logā vai attālinātas darbvirsmas piekļuves piešķiršanu krāpniekam) nevar izmantot banka, lai uzliktu patērētājam lielāku atbildību nekā Regulation E ļauj ($50 maksimāli, ja tiek ziņots 2 darba dienu laikā; $500 maksimāli 60 dienu laikā). * Atšķiriet pārskaitījumus, uz kuriem noklikšķināja krāpnieks, un patērētāju noklikšķināto pārsūtīšanu: ja krāpnieks AnyDesk/ScreenConnect sesijas laikā aiz melna ekrāna pakustināja peli un noklikšķināja uz "Sūtīt", tā ir Neatļauta ELP, uz kuru attiecas Regulation E. Rakstiski paziņojiet bankai: "Es neuzsācēju, neautorizēju un nenoklikšķināju uz šī pārsūtīšanas pogas; noziedzīgs apdraudējums veicis pārskaitījumu attālināti, izmantojot attālās piekļuves Trojas zirgu, vienlaikus bloķējot manu ekrānu, kas ir nesankcionēta ELP saskaņā ar 12 CFR § 1005.2(m)." Pievienojiet savu saglabāto informāciju. connection_trace.txt žurnāls vai Windows notikumu skatītāja pakalpojuma vadības pārvaldnieka žurnāli (Event ID 7045 rāda precīzu minūti ScreenConnect vai AnyDesk pakalpojums tika uzstādīts) kā kriminālistikas pierādījums.

Apvienotajā Karalistē, Eiropas Savienībā, Kanādā un Austrālijā¶

• Apvienotā Karaliste (PSR & FOS): Ja krāpnieks tieši kontrolēja jūsu datoru, lai pārvietotu līdzekļus, ziņojiet par to kā Neautorizētu maksājumu saskaņā ar Maksājumu pakalpojumu noteikumiem 2017. Ja krāpnieks manipulēja ar jūsu ekrānu (Inspect Element viltus atmaksa), lai jūs pats autorizētu Ātrāku maksājumu, ziņojiet par to saskaņā ar Maksājumu pakalpojumu regulatora (PSR) obligāts Autorizēts pārsūtīšanas maksājums (APP) Krāpšanas atlīdzināšanas noteikumi un jebkuru atteikumu eskalēt Finanšu ombuda dienestam (FOS).
• Eiropas Savienība, Kanāda un Austrālija: nekavējoties ziņojiet par incidentu savai bankai un valsts policijai, uzsverot, ka attālās piekļuves Trojas zirgs veica sesiju vai manipulēja ar to. Neatrisinātos banku strīdus eskalēt Banku pakalpojumu un investīciju ombudam (OBSI) Kanādā vai Austrālijas finanšu sūdzību iestāde (AFCA) Austrālijā saskaņā ar ePayments Code.

Pēc incidenta sanācijas un ziņošanas kontrolsaraksts¶

Pirms mājas tīkla atkārtotas pievienošanas vai parastās tiešsaistes bankas lietošanas atsākšanas aizpildiet visus šī kontrolsaraksta vienumus:

• Fiziskā izolācija apstiprināta: pirms jebkādas turpmākas problēmu novēršanas kompromitēts dators tika fiziski atvienots no Ethernet un Wi-Fi.
• Banku konti ir iesaldēti un pārnumurēti: Visi čeku, uzkrājumu un HELOC kontu numuri, kas bija redzami datorā, ir slēgti un atkārtoti izsniegti ar jauniem konta numuriem.
• Plānotā rēķinu apmaksa un ACH rindas ir iztīrītas: ar bankas uzraugu pārbaudīts, ka nav datētu rēķinu apmaksas čeku, ārējās bankas saites (Plaid), vai attālās sesijas laikā tika pievienoti stāvvada norādījumi.
• Kredīta iesaldēšana ir aktīva: drošības iesaldēšana, izmantojot Equifax, Experian, TransUnion un ChexSystems.
• E-pasta pārsūtīšanas noteikumi pārbaudīti: pieteicies pakalpojumā Gmail/Outlook/Yahoo no tīra viedtālruņa un pārbaudīts Iestatījumi -> Pārsūtīšana un POP/IMAP un Noteikumi/filtri, vai nav slēptu noteikumu, kas automātiski izdzēš vai pārsūta e-pastus, kas satur "Bank", "Fraud", "Wire", vai "Security Alert".
• Pārlūkprogrammas paroļu glabātuve ir pagriezta: katra parole, kas saglabāta pārlūkprogrammas Chrome, Edge, Firefox vai Safari paroļu pārvaldniekos, ir nomainīta no tīras ierīces.
• Saglabāti tiesu medicīnas žurnāli un iesniegti oficiālie ziņojumi: Iesniedziet ziņojumus FBI IC3 (ic3.gov) un FTC (reportfraud.ftc.gov) ASV, Action Fraud (actionfraud.police.uk) Apvienotajā Karalistē, Kanādas krāpšanas apkarošanas centrs vai Scamwatch (scamwatch.gov.au) Austrālijā. Ziņojiet arī par instalētāja bināro vai savienojuma ID connectwise.com/company/trust/report-abuse vai anydesk.com/en/abuse.

Bieži uzdotie jautājumi¶

Krāpnieks man parādīja manu Windows notikumu skatītāju un netstat in Command Prompt and it was full of thousands of warnings, errors, and "FOREIGN ADDRESS" connections. Was my computer actually hacked before I called them?¶

No. Both `eventvwr` (Windows Event Viewer) and `netstat` are normal administrative utilities built into every copy of Windows, and scammers abuse them as psychological props. Every healthy Windows computer generates thousands of routine yellow Warning and red Error logs in Event Viewer during normal boot-ups and background updates, and `netstat` lists every normal background connection your browser and operating system make to cloud servers as a "Foreign Address." Your computer was completely safe until the moment you followed the caller's instructions to download and run their remote access tool.

How did the scammer make my real bank website show that they accidentally deposited $40,000 into my checking account if they cannot hack the bank's server?¶

While connected to your computer via AnyDesk or ScreenConnect, the scammer blacks out your screen for 15 seconds, right-clicks your bank balance in your web browser, and clicks **"Inspect" (`Developer Tools`)**. This opens the local HTML text displayed in your browser tab. The scammer simply types `$45,200.00` over your real `$5,200.00` balance and adds a fake text line reading `"ACH REFUND OVERPAYMENT +$40,000.00"` on your screen. This edit exists only inside your browser tab's temporary memory (`DOM`) and vanishes the instant you refresh the page (`F5`) or check your balance on your smartphone app. Alternatively, they transfer `$40,000` from your own savings account or credit line into your checking account and relabel the screen to trick you into wiring your own money to them.

If I uninstalled AnyDesk or UltraViewer from the Control Panel, am I safe to turn my Wi-Fi back on?¶

Usually not without inspecting Windows Services (`services.msc`) in Safe Mode first. Professional tech support scam call centers know that victims often uninstall AnyDesk or UltraViewer as soon as they hang up. Therefore, within the first two minutes of connecting to your PC, scammers routinely use silent file transfer to drop a secondary, hidden **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) or **SimpleHelp** agent that does not create a desktop shortcut and hides inside `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Unless you verify in Safe Mode that no rogue `SYSTEM` services or scheduled tasks exist, or perform a full USB OS wipe, reconnecting to Wi-Fi can immediately hand control of your PC back to the attacker.

Can a scammer access other computers or smartphones on my home Wi-Fi network just because I installed AnyDesk on one laptop?¶

Installing AnyDesk or ScreenConnect compromises the specific computer where you ran the installer, not your phones or other laptops directly. However, if you use **Google Chrome, Microsoft Edge, or Apple iCloud password and session syncing** across your laptop and smartphone, any passwords the scammer steals or changes on the infected laptop will impact your shared cloud accounts. Also, while connected to your laptop, an attacker can log into your home router's admin page (`192.168.1.1`) if it still uses the default admin password and alter your router's `DNS` settings. After isolating the infected laptop, factory-reset your Wi-Fi router or verify its DNS settings and admin password from a clean device.

Saistītie ceļveži¶

• Tehniskā atbalsta uznirstošo logu krāpniecība un attālās darbvirsmas AnyDesk/TeamViewer noņemšana
• Session cookie hijacking, infostealer malware, and passkey revocation
• Viltus CAPTCHA ClickFix PowerShell "Win+R" starpliktuves ļaunprātīga programmatūra un Lumma Infostealer labošana
• Atļauta push maksājumu (APP) krāpšana lietotnē: Zelle, Venmo un Faster Payments uzdošanās un atlīdzības tiesības
• Bank account breach
• Ārkārtas palīdzības numuri pa valstīm

Avoti un oficiālās vadlīnijas¶

• Cybersecurity and Infrastructure Security Agency (CISA), Federal Bureau of Investigation (FBI), National Security Agency (NSA), & Multi-State Information Sharing and Analysis Center (MS-ISAC) (United States): Joint Cybersecurity Advisory (AA23-025A): Protecting Against Malicious Use of Remote Monitoring and Management (RMM) Software.
• Patērētāju finanšu aizsardzības birojs (CFPB) (United States): Electronic Fund Transfers (Regulation E, 12 CFR Part 1005) Official Interpretations and FAQs on Unauthorized EFTs and Fraudulently Induced Access.
• Federālā tirdzniecības komisija (FTC) (United States): How To Spot, Avoid, and Report Tech Support Scams.
• Nacionālais kiberdrošības centrs (NCSC) & Action Fraud (United Kingdom): Protecting Devices from Unauthorised Remote Access Tools and Screen-Sharing Fraud.
• ConnectWise Trust & Security Response Center: Identifying and Removing Rogue ScreenConnect (ConnectWise Control) Client Instances.