Trojaanse paarden voor externe toegang (ScreenConnect, AnyDesk, RustDesk, UltraViewer) met technische ondersteuning: het verwijderen van ethernet, het beëindigen van services en het bevriezen van banken¶

Wanneer een oplichter u overtuigt om een extern bureaublad-tool te installeren of een agent voor extern toezicht op uw computer uitvoert, krijgen zij live, onbeperkte controle over uw muis, toetsenbord, bestandssysteem en actieve browsersessies. Terwijl de operator een valse beveiligingsscan of een zwart privacygordijn op uw monitor weergeeft, leegt de operator stilletjes betaalrekeningen, verzamelt opgeslagen wachtwoorden en installeert persistente achtergrondservices die standaard opnieuw opstarten overleven. Deze handleiding biedt directe stappen om de dataverbinding van de aanvaller te verbreken, onbeheerde diensten voor externe toegang permanent uit te roeien en uw bank- en kredietinfrastructuur af te sluiten voordat geld het vaste netwerk leegmaakt.

Doe dit nu¶

1. Verbreek alle internetverbinding fysiek en onmiddellijk. Koppel de Ethernet-kabel los van de achterkant van uw desktop of router, zet de fysieke Wi-Fi-schakelaar op uw laptop om of houd de aan/uit-knop op uw Wi-Fi-router 10 seconden ingedrukt totdat alle lampjes uitgaan. Verspil geen tijd met het bestrijden van de oplichter voor controle over de muiscursor om op de knop voor het verbreken van de verbinding te klikken.
2. Schakel de besmette computer geforceerd uit als het scherm zwart is. Als de aanvaller "Lege gastmonitor" heeft ingeschakeld of uw toetsenbordinvoer heeft vergrendeld, houdt u de fysieke aan/uit-knop van uw computer tien volle seconden ingedrukt totdat de machine volledig is uitgeschakeld. Laat het uitgeschakeld terwijl u uw financiële rekeningen beveiligt vanaf een afzonderlijk, schoon apparaat.
3. Bel de fraudeafdeling van uw bank vanaf een onafhankelijke telefoon. Gebruik een mobiele telefoon om het officiële nummer te bellen dat op de achterkant van uw bankpas of creditcard staat, of bel uw lokale alarmnummer (911 in de Verenigde Staten en Canada, 112 in de hele Europese Unie, 999 in het Verenigd Koninkrijk) als er sprake is van een actieve afpersingsdreiging; zien noodnummers voor internationale contacten. Instrueer de bank om onmiddellijk een harde bevriezing van alle betaal-, spaar- en kredietrekeningen in te stellen, en een noodherroeping te eisen voor alle openstaande Automated Clearing House (ACH), overboekingen of realtime betalingsoverdrachten.
4. Trek actieve sessiecookies in en wijzig wachtwoorden vanaf een schone smartphone. Gebruik uw telefoon met mobiele data (niet verbonden met uw Wi-Fi-thuisnetwerk als de getroffen pc weer is ingeschakeld), log in op uw primaire e-mailadres, bankportals en cloudopslagaccounts. Beëindig alle actieve inlogsessies, trek niet-herkende Multi-Factor Authentication (MFA)-apparaten in en rouleer uw wachtwoorden.
5. Start de geïnfecteerde computer op in de veilige modus zonder netwerk. Schakel de aangetaste computer alleen weer in als de verbinding met het internet is verbroken en ga naar de veilige modus van Windows of macOS om onbeheerde achtergrondservices te inspecteren en te verwijderen (ScreenConnect Client, AnyDesk Service, RustDesk Service) voordat het besturingssysteem netwerkstuurprogramma's van derden laadt.

Inzicht in de anatomie van een commerciële RMM en een externe desktopaanval¶

Moderne oplichting met technische ondersteuning, fraude met terugbetalingen en aanvallen waarbij de identiteit van banken wordt nagebootst, zijn zelden afhankelijk van op maat geschreven computervirussen. In plaats daarvan maken bedreigingsactoren misbruik van legitieme, digitaal ondertekende bewaking en beheer op afstand (RMM) software en commerciële externe desktoptools. Omdat deze uitvoerbare bestanden geldige cryptografische codeondertekeningscertificaten van vertrouwde softwareleveranciers bevatten, blokkeren standaard antivirusprogramma's zoals Windows Defender of macOS XProtect de installatie ervan niet.

Hoe aanvallers legitieme binaire bestanden voor ondersteuning op afstand bewapenen¶

Wanneer een slachtoffer een gratis nummer belt dat wordt weergegeven in een nep-browserpop-up, antwoordt op een dringende factuur-e-mail of instructies opvolgt van een nep-onderzoeker naar bankfraude, geeft de operator hem opdracht een uitvoerbaar bestand of een MSI-installatieprogramma te downloaden. De meest misbruikte platforms zijn onder meer:

• ConnectWise ScreenConnect (voorheen Control): Vaak ingezet via een maatwerk .msi of .exe pakket gehost op een door een aanvaller bestuurde server. Eenmaal uitgevoerd, wordt het geïnstalleerd als een permanente Windows System Service (ScreenConnect Client (xxxx)) mee rennen NT AUTHORITY\SYSTEM privileges, waardoor stille, onbeheerde toegang wordt verleend wanneer de computer online is.
• Elk bureau (anydesk.exe): Vaak gebruikt bij platformonafhankelijke oplichting gericht op Windows, macOS en mobiele apparaten. Aanvallers instrueren het slachtoffer om het 9-cijferige AnyDesk-adres voor te lezen, om administratieve bevoegdheden aan te vragen en een "Unattended Access Password" in te stellen om opnieuw verbinding te maken terwijl het slachtoffer slaapt.
• RoestBureau (rustdesk.exe): Een open-source tool voor extern bureaublad die de voorkeur geniet van oplichtingssyndicaten omdat ze zelf relayservers kunnen hosten en zo de verwijdering van misbruik door leveranciers kunnen omzeilen.
• UltraViewer, TeamViewer, Zoho Assist en SimpleHelp: Vaak aan elkaar gekoppeld. Een oplichter die verbinding maakt via UltraViewer of AnyDesk zal vaak stilletjes een verborgen ScreenConnect of SimpleHelp pakket op de achtergrond als back-upachterdeur.

Noodworkflow: de verbinding verbreken en de schade beoordelen¶

Gebruik het volgende operationele stroomschema om een actieve sessie op afstand te stoppen, het werkstation te isoleren en te bepalen of de machine in de Veilige modus kan worden opgeschoond of dat het besturingssysteem volledig moet worden gewist.

flowchart TD
    A["Actieve of recente oplichting met externe toegang gedetecteerd"] --> B["Koppel de Ethernet-kabel fysiek los en schakel de Wi-Fi-router uit"]
    B --> C{"Is het scherm zwart of is de muis vergrendeld?"}
    C -- "Ja" --> D["Houd de fysieke aan/uit-knop van de pc 10 seconden ingedrukt om uit te schakelen"]
    C -- "Nee" --> E["Schakel de vliegtuigmodus in en sluit de pc normaal af"]
    D --> F["Gebruik een schone smartphone op mobiele data om de afdeling bankfraude te bellen"]
    E --> F
    F --> G["Controles/besparingen bevriezen, draden terugroepen/Zelle, kredietbureaus vergrendelen"]
    G --> H["Vanaf een schone smartphone: e-mail-/bankwachtwoorden roteren en sessies beëindigen"]
    H --> I{"Heeft de oplichter onbeheerde toegang gehad of CMD/PowerShell uitgevoerd?"}
    I -- "Ja (hoog risico)" --> J["Start de pc offline op in de veilige modus om alleen persoonlijke documenten te redden"]
    I -- "Nee (korte begeleide sessie)" --> K["Start offline op in de veilige modus om RMM-services en -certificaten te verwijderen"]
    J --> L["Voer een volledige schone besturingssysteemherinstallatie uit via USB-media vanaf een schone pc"]
    K --> M["Verwijder services, geplande taken, AppData en auditbrowserextensies"]

Vergelijking van tools voor externe toegang die door oplichters worden misbruikt¶

Voordat u probeert een machine schoon te maken of het incident te melden aan het forensische fraudeteam van uw bank, moet u vaststellen welke externe tool(s) zijn geïnstalleerd. Houd er rekening mee dat oplichters routinematig twee of drie verschillende tools installeren tijdens een enkele sessie, zodat hun verborgen secundaire service actief blijft als u het zichtbare bureaubladpictogram verwijdert.

Stapsgewijze bank- en financiële triage (eerste 30 minuten)¶

Bij oplichting met externe toegang is de computerinfectie slechts het leveringsmechanisme; the primary emergency is acute financial theft. Aanvallers gebruiken psychologische en technische trucs, zoals het bewerken van de HTML-broncode (Inspect Element) van de webpagina van uw bank om een ongeluk te simuleren $40,000 teveel betaald in plaats van $400, om u te misleiden zodat u geld overmaakt, cadeaubonnen koopt of contant geld in een Bitcoin-geldautomaat stort. Zelfs als u weigert geld te sturen, kan een aanvaller met externe toegang rechtstreeks overschrijvingen initiëren terwijl uw scherm zwart is.

1. Plaats onmiddellijk een harde bevriezing en start het terugroepen van overdrachten¶

Bel onmiddellijk de speciale fraudeafdeling van uw financiële instelling met een schone telefoon. Vermeld duidelijk: "Mijn computer is gecompromitteerd door een trojan voor externe toegang tijdens een oplichting met technische ondersteuning/bankimitatie. Een ongeautoriseerde partij had live toegang tot mijn online banksessie." Eis de volgende specifieke acties:

• Vergrendeling van profiel voor online bankieren: Laat de bank uw inloggegevens voor online en mobiel bankieren volledig uitschakelen en alle actieve OAuth-tokens en sessiecookies ongeldig maken.
• ACH, Wire, and RTP Recall (SWIFT / Fedwire / Faster Payments): Vraag de vertegenwoordiger om uw account te inspecteren op openstaande of in de wachtrij staande uitgaande Automated Clearing House (ACH) overschrijvingen, binnenlandse/internationale overboekingen, Zelle / Venmo betalingen of "Bill Pay"-cheques die gepland zijn voor toekomstige data. Oplichters plannen vaak een Bill Pay-cheque of een post-gedateerde ACH-overboeking die 3 tot 5 dagen later wordt uitgevoerd, in de hoop dat u het niet merkt.
• Vervanging van rekeningnummer: Omdat de aanvaller waarschijnlijk uw volledige routerings- en controlerekeningnummers heeft bekeken (of PDF-bankafschriften vanuit uw browser heeft gedownload), is het bevriezen van de bankpas alleen onvoldoende. U moet de bank verzoeken de gecompromitteerde rekeningnummers te sluiten en uw saldo over te zetten naar gloednieuwe rekeningnummers met 'Post geen afschrijvingen' (PND) beperkingen op de oude accounts.
• Controleer op verborgen interne overboekingen of geldopnamen: Aanvallers nemen regelmatig een voorschot in contanten van uw gekoppelde creditcard of kredietlijn voor eigen vermogen (HELOC) en maak het eerst over naar uw betaalrekening, ofwel om u te laten geloven dat ze u "per ongeluk te veel hebben terugbetaald", ofwel om maximale liquiditeit te bundelen voordat het gecombineerde saldo naar het buitenland wordt overgemaakt. Laat de bankfraudespecialist controleren of er intrabancaire overboekingen hebben plaatsgevonden tussen uw spaar-, creditcard- of beleggingsrekeningen.

2. Bevries kredietbureaus en controleer op nieuwe leningaanvragen¶

Terwijl ze op uw pc zijn aangesloten, doorzoeken oplichters routinematig uw Downloads of Documents mappen voor trefwoorden zoals tax, 1040, W2, passport, license, of password en exfiltreer uw belastingaangiften en ID-scans.

1. Plaats onmiddellijk een gratis Security Freeze bij alle grote kredietbureaus met uw schone smartphone:
2. In de Verenigde Staten: Equifax bevriezen (1-888-298-0045), Experiaanse (1-888-397-3742), TransUnie (1-800-916-8800), en ChexSystems (1-800-428-9687).
3. In het Verenigd Koninkrijk: Neem contact op met Experian, Equifax en TransUnion en registreer u voor Cifas Protective Registration.
4. In Canada: Plaats kredietbevriezingen of fraudewaarschuwingen bij Equifax Canada en TransUnion Canada.
5. In Australië: Vraag een kredietverbod aan via Equifax, Illion en Experian.
6. Controleer uw kredietrapport onmiddellijk op harde vragen die in de afgelopen 24 uur zijn gesteld; Oplichters vragen vaak direct online persoonlijke leningen aan via een browsertabblad op de achtergrond terwijl ze met u praten.

Services voor externe toegang uitroeien in de veilige modus (Windows en macOS)¶

Als u besluit de machine te inspecteren, forensische logboeken bij te houden voor wetshandhaving, of onvervangbare persoonlijke foto's te redden voordat u de harde schijf wist, start de computer nooit op in de normale modus terwijl u verbonden bent met internet. Op het moment dat een normale opstart wordt voltooid terwijl Wi-Fi actief is, wordt er een persistent ScreenConnect of AnyDesk service belt naar de console van de oplichter en waarschuwt hem dat uw machine weer online is.

Fase 1: Opstarten in de veilige modus zonder netwerk¶

Op Windows 10 en Windows 11¶

1. Zorg ervoor dat de Ethernet-kabel is losgekoppeld en dat uw Wi-Fi-router thuis is losgekoppeld of dat de vliegtuigmodus actief is.
2. Schakel de pc in. Houd op het Windows-aanmeldingsscherm de Linker Shift-toets ingedrukt terwijl u op Aan/uit -> Opnieuw opstarten klikt.
3. Selecteer op het blauwe herstelscherm Problemen oplossen -> Geavanceerde opties -> Opstartinstellingen -> Opnieuw opstarten.
4. Wanneer de lijst met opstartopties verschijnt, drukt u op 4 of F4 (Enable Safe Mode). Druk niet op 5 (Safe Mode with Networking).

Op macOS (Apple Silicon en Intel)¶

1. Schakel de Mac uit en schakel uw wifi-router uit.
2. Apple-silicium (M1/M2/M3/M4): Houd de aan/uit-knop ingedrukt totdat "Opstartopties laden" verschijnt. Selecteer uw opstartschijf, houd Shift ingedrukt en klik op Doorgaan in veilige modus.
3. Intel Mac: Zet de Mac aan en houd onmiddellijk de Shift-toets ingedrukt totdat het inlogvenster verschijnt.

Fase 2: Opsporen en beëindigen van persistente Windows-services¶

Standaard verwijdering via "Programma's toevoegen of verwijderen" slaagt er vaak niet in om aangepaste programma's te verwijderen ScreenConnect MSI bouwt omdat aanvallers het verwijderprogramma uit het Windows-register verwijderen of meerdere exemplaren implementeren onder willekeurige hexadecimale servicenamen.

1. Druk in de veilige modus van Windows op Win + R, typ services.mscen druk op Enter.
2. Klik op de kolom Naam om alfabetisch te sorteren en inspecteer elke service zorgvuldig op de volgende namen:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Opmerking: er kunnen er twee of drie afzonderlijke zijn ScreenConnect Client vermeldingen met verschillende alfanumerieke reeksen van 16 tekens tussen haakjes, waarbij elk een andere oplichterserver vertegenwoordigt).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent of SimpleHelp Remote Access
9. Voor elke verdachte service die u tegenkomt, klikt u er met de rechtermuisknop op en selecteert u Eigenschappen.
10. Lees het veld Pad naar uitvoerbaar zorgvuldig en noteer het (bijvoorbeeld C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Wijzig de vervolgkeuzelijst Opstarttype in Uitgeschakeld, klik op Stop (indien actief) en klik vervolgens op Toepassen en OK.
12. Open vervolgens een verhoogde opdrachtprompt (Win + X -> Terminal (Admin) of Opdrachtprompt (Admin)) en verwijder de serviceregistraties permanent met behulp van de exacte servicenaam die wordt vermeld in het eigenschappenvenster:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Voor ScreenConnect, doorzoek alle geïnstalleerde exemplaren en verwijder ze allemaal op basis van de exacte servicesleutelnaam:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Fase 3: Geplande taken, opstartmappen en verborgen mappen opschonen¶

Zelfs nadat een Windows-service is verwijderd, configureren aanvallers vaak een geplande taak waarmee de externe agent opnieuw wordt gedownload powershell.exe of mshta.exe elke keer dat een gebruiker inlogt.

1. Druk op Win + R, typ taskschd.mscen druk op Enter om Taakplanner te openen.
2. Klik op Taakplannerbibliotheek in het linkerdeelvenster. Vouw elke submap uit en inspecteer het tabblad Acties van elke geplande taak. Verwijder elke taak die binaire bestanden start C:\Users\<User>\AppData\, C:\ProgramData\, of aanroept curl, bitsadmin, powershell -WindowStyle Hidden, of een ander uitvoerbaar bureaublad op afstand.
3. Druk op Win + R, typ shell:startupen druk op Enter. Verwijder eventuele snelkoppelingen of .bat / .vbs scripts die in de opstartmap van uw gebruiker zijn geplaatst. Herhaal dit door te typen shell:common startup om de systeembrede opstartmap te inspecteren.
4. Schakel het bekijken van verborgen bestanden in Verkenner in (Beeld -> Tonen -> Verborgen items) en verwijder handmatig de applicatiemappen en configuratiecaches voor alle externe tools:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ en C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ en C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ en C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Fase 4: macOS LaunchDaemons, LaunchAgents en Privacy Grants verwijderen¶

Op macOS zorgen tools voor externe toegang voor persistentie via LaunchDaemons (systeembreed) en LaunchAgents (gebruikersniveau), gecombineerd met macOS TCC (Transparantie, Toestemming en Controle) machtigingen voor Schermopname en Toegankelijkheid.

1. Open in de veilige modus van macOS (offline) Finder en druk op Cmd + Shift + G (Go to Folder), en inspecteer de volgende drie mappen één voor één:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Sleep een willekeurige .plist bestanden met daarin connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, of simplehelp naar de prullenbak.
6. Open vervolgens /Applications/ en /Library/Application Support/ en verplaats eventuele bijbehorende app-bundels voor externe toegang en ondersteuningsmappen naar de prullenmand.
7. Open Systeeminstellingen -> Privacy en beveiliging. Controleer twee kritieke secties:
8. Scherm- en systeemaudio-opname: Selecteer een hulpmiddel voor ondersteuning op afstand en klik op het minteken (-) om de mogelijkheid om uw scherm te bekijken in te trekken.
9. Toegankelijkheid: Selecteer een tool voor ondersteuning op afstand en klik op het minteken (-) om de mogelijkheid om uw muiscursor te besturen en toetsaanslagen te synthetiseren in te trekken.
10. Volledige schijftoegang: Controleer of aan geen enkele onbekende applicatie of terminal-wrapper volledige schijftoegang is verleend.

Windows-wachtwoordvergrendelingen en valse opstartbanners ongedaan maken¶

Voordat ze de verbinding verbreken, sluiten wraakzuchtige oplichters hun slachtoffers vaak uit hun computers en eisen ze losgeld voor het wachtwoord. Ze gebruiken drie primaire methoden:

1. Uw lokale Windows-wachtwoord wijzigen (net user) of het toevoegen van een frauduleus beheerdersaccount¶

Terwijl hun schermgordijn actief is, openen oplichters vaak een verhoogde opdrachtprompt en rennen ze weg net user <YourUsername> <NewPassword> of maak een backdoor-beheerdersaccount aan (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Controleren en oplossen: Open in de veilige modus een opdrachtprompt met verhoogde bevoegdheid (cmd.exe als beheerder) en typ net user. Als u een onbekend account ziet, verwijder het dan onmiddellijk met net user <RogueAccountName> /delete. Als uw lokale wachtwoord is gewijzigd, start u op vanaf een Windows-installatie-USB in de Windows Herstelomgeving (WinRE) om een ​​eerder systeemherstelpunt te herstellen, of meld u aan met uw gekoppelde Microsoft-account nadat u uw wachtwoord opnieuw hebt ingesteld op een schone smartphone.

2. Een opstartberichtbanner inschakelen via Register (LegalNoticeCaption)¶

Oplichters passen zich vaak aan HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System door in te stellen LegalNoticeCaption en LegalNoticeText om een ​​vals Microsoft Security Lockout-telefoonnummer weer te geven voordat u zich aanmeldt. * Oplossing: Dit is puur een cosmetisch tekstscherm vóór de normale Windows-inlogprompt. Klik op OK of druk op Enter om dit over te slaan, open regedit ga in de veilige modus naar HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemen wis de tekst erin LegalNoticeCaption en LegalNoticeText.

3. Safe Boot PIN-vergrendelingen (bcdedit)¶

Microsoft heeft de erfenis verwijderd syskey.exe tool in Windows 10 versie 1709. Tegenwoordig vinken oplichters in plaats daarvan Veilig opstarten aan msconfig en start uw pc offline opnieuw op. Omdat Windows Hello-pincodes vaak mislukken op het inlogscherm van de Veilige modus zonder netwerktoegang, komen slachtoffers vast te zitten in een opstartlus. * Oplossing: Houd Shift + Opnieuw opstarten ingedrukt op het inlogscherm, selecteer Problemen oplossen -> Geavanceerde opties -> Opdrachtprompt en voer het volgende uit:

bcdedit /deletevalue {current} safeboot

Start de computer opnieuw normaal op (houd uw internetrouter losgekoppeld), zodat u zich kunt aanmelden met uw in de cache opgeslagen wachtwoord of pincode en de externe software kunt verwijderen.

Waarom browsersessiediefstal en infostealers het volledig wissen van het besturingssysteem vereisen¶

Zelfs als u de ScreenConnect, AnyDesk, of RustDesk services in de veilige modus, moet u evalueren of de oplichter een secundaire Infostealer (Lumma, RedLine, Vidar, Stealc) of kopieer de profielmap van uw browser.

Tijdens een onbewaakte externe sessie duurt het minder dan 8 seconden voordat een aanvaller een PowerShell-script uitvoert dat uw Google Chrome-, Microsoft Edge- of Brave-gebruikersgegevensmap kopieert (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) samen met de lokale bevolking DPAPI hoofddecoderingssleutel. Met die bestanden op hun server beschikt de aanvaller over:

1. Elk wachtwoord dat is opgeslagen in de ingebouwde wachtwoordbeheerder van uw webbrowser.
2. Actieve sessiecookies (Cookies en Network\Cookies SQLite-databases): Zelfs als uw e-mail of bank tweefactorauthenticatie gebruikt (2FA), kan de aanvaller met uw gedecodeerde sessietokencookie uw browserprofiel importeren in een antidetect-browser op zijn computer en toegang krijgen tot uw Gmail-, Outlook-, Amazon- of cryptocurrency-uitwisselingsaccount zonder een wachtwoord of 2FA code.
3. Browsergebaseerde cryptocurrency-portemonneekluizen (MetaMask, Phantom, Rabby): Gecodeerde kluisbestanden binnenin Local Extension Settings worden geëxfiltreerd voor offline brute forceren.

Wanneer u een schone herinstallatie van het USB-besturingssysteem moet uitvoeren¶

Hoewel het verwijderen van de Safe Mode-service voldoende is als u de oplichter binnen 10 seconden na de installatie van AnyDesk betrapt en hem nooit beheerdersmachtiging of onbeheerde toegang hebt gegeven, moet u de schijf wissen en een schone installatie van het besturingssysteem uitvoeren vanaf een USB-stick als een van de volgende situaties zich voordoet:

• Je scherm werd zwart (Blank Guest Monitor) of uw muis/toetsenbord was vergrendeld.
• Je zag een opdrachtprompt (cmd.exe) of PowerShell-venster knipperen op het scherm.
• U liet de computer onbeheerd achter terwijl de oplichter een valse beveiligingsscan uitvoerde.
• Jij hebt geïnstalleerd ConnectWise ScreenConnect (die loopt als SYSTEM standaard en maakt uitvoering van onzichtbaar shell-script op de achtergrond mogelijk).

Om een ​​veilige herinstallatie uit te voeren: 1. Terwijl u offline bent in de veilige modus, sluit u een gloednieuwe USB-flashdrive aan op de getroffen pc en kopieert u alleen persoonlijke gegevensbestanden (.jpg, .pdf, .docx, .xlsx, familievideo's). ** Kopieer nooit .exe, .msi, .bat, .ps1of browserprofielmappen.** 2. Download op een andere, schone computer de officiële Windows Media Creation Tool van Microsoft (microsoft.com/software-download) of maak een opstartbaar macOS-installatieprogramma. 3. Start de besmette pc op via het schone USB-installatieprogramma en verwijder alle bestaande partities op de primaire schijf (Drive 0) en installeer een nieuw exemplaar van het besturingssysteem.

Behoud van uw wettelijke recht op terugbetaling door de bank¶

Banken proberen vaak claims voor terugbetaling van fraude bij oplichting op afstand te ontkennen door te beweren dat u, omdat u op "Downloaden" op AnyDesk of ScreenConnect klikte, de transacties "autoriseerde" of met grove nalatigheid handelde. Weten hoe de wettelijke bescherming van consumentenbankieren in uw rechtsgebied werkt, is van cruciaal belang als u met de fraudeclaimadjudicator van uw bank spreekt.

In de Verenigde Staten: Electronic Fund Transfer Act (EFTA) en Regulation E (12 CFR § 1005)¶

Op grond van de federale wet op elektronische overboekingen (Regulation E), het Bureau voor Financiële Bescherming voor Consumenten (CFPB) heeft officiële toezichtrichtlijnen uitgegeven waarin staat dat: * Geïnduceerde toegang is nog steeds een "Ongeautoriseerde elektronische overboeking": Onder 12 CFR § 1005.2(m)wordt een elektronische overboeking geïnitieerd door een persoon die via fraude of diefstal toegang heeft verkregen tot de rekening van een consument** door de wet gedefinieerd als een ongeautoriseerde elektronische overboeking, zelfs als de consument werd misleid om een ​​wachtwoord of een eenmalige toegangscode op te geven of software voor een extern bureaublad te installeren. * Nalatigheid kan niet worden gebruikt om uw claim te ontkennen: De officiële interpretatie van het CFPB van Regulation E (Comment 6(b)-2) stelt dat nalatigheid van consumenten (zoals het vallen voor een phishing-pop-up of het verlenen van externe desktoptoegang aan een oplichter) niet door een bank kan worden gebruikt om de consument een grotere aansprakelijkheid op te leggen dan Regulation E staat toe ($50 maximaal bij melding binnen 2 werkdagen; $500 maximaal binnen 60 dagen). * Onderscheid maken tussen door een oplichter geklikte en door een consument geklikte overdrachten: Als de oplichter de muis bewoog en op 'Verzenden' klikte achter een zwart scherm tijdens de AnyDesk/ScreenConnect-sessie, is er sprake van een Ongeautoriseerde EFT die valt onder Regulation E. Vertel de bank schriftelijk: "Ik heb deze overdracht niet geïnitieerd, geautoriseerd of op de knop geklikt; een criminele bedreigingsacteur heeft de overdracht op afstand uitgevoerd met behulp van een Remote Access Trojan terwijl mijn scherm werd vergrendeld, wat een ongeautoriseerde EFT vormt onder 12 CFR § 1005.2(m)." Voeg uw bewaard gebleven gegevens bij connection_trace.txt log of Windows Event Viewer Service Control Manager-logboeken (Event ID 7045 geeft de exacte minuut weer ScreenConnect of AnyDesk service is geïnstalleerd) als forensisch bewijs.

In het Verenigd Koninkrijk, de Europese Unie, Canada en Australië¶

• Verenigd Koninkrijk (PSR & FOS): Als de oplichter uw computer rechtstreeks heeft bestuurd om geld over te maken, rapporteer dit dan als een Ongeautoriseerde betaling onder de Betalingsservicevoorschriften 2017. Als de oplichter uw scherm heeft gemanipuleerd (Inspect Element valse terugbetaling) om u te misleiden om zelf een snellere betaling te autoriseren, meld dit dan bij de Payment Services Regulator (PSR) verplicht Geautoriseerde pushbetaling (APP) Regels voor fraude-vergoedingen en escaleer elke weigering naar de Financiële Ombudsman (FOS).
• Europese Unie, Canada en Australië: Meld het incident onmiddellijk aan uw bank en de nationale politie, waarbij u benadrukt dat een trojan voor externe toegang de sessie heeft uitgevoerd of gemanipuleerd. Escaleer onopgeloste bankgeschillen naar de Ombudsman voor bankdiensten en beleggingen (OBSI) in Canada of de Australische Financial Complaints Authority (AFCA) in Australië onder de ePayments Code.

Controlelijst voor herstel na een incident en rapportage¶

Voltooi elk item in deze checklist voordat u opnieuw verbinding maakt met uw thuisnetwerk of normaal online bankieren hervat:

• Fysieke isolatie bevestigd: De gecompromitteerde computer werd fysiek losgekoppeld van Ethernet en Wi-Fi voordat verdere probleemoplossing werd uitgevoerd.
• Bankrekeningen bevroren en opnieuw genummerd: Alle betaal-, spaar- en HELOC-rekeningnummers die zichtbaar waren op de computer zijn gesloten en opnieuw uitgegeven met nieuwe rekeningnummers.
• Geplande Bill Pay- en ACH-wachtrijen verwijderd: Geverifieerd bij een banktoezichthouder dat er geen toekomstige Bill Pay-cheques, externe banklinks (Plaid), of instructies voor staande draad zijn toegevoegd tijdens de sessie op afstand.
• Tegoedbevriezing actief: Beveiligingsbevriezingen geplaatst bij Equifax, Experian, TransUnion en ChexSystems.
• Regels voor het doorsturen van e-mail gecontroleerd: Ingelogd bij Gmail/Outlook/Yahoo vanaf een schone smartphone en aangevinkt Instellingen -> Doorsturen en POP/IMAP en Regels/Filters voor verborgen regels die e-mails met daarin automatisch verwijderen of doorsturen "Bank", "Fraud", "Wire", of "Security Alert".
• Browserwachtwoordkluis geroteerd: Elk wachtwoord dat is opgeslagen in wachtwoordmanagers van Chrome, Edge, Firefox of Safari is gewijzigd vanaf een schoon apparaat.
• Forensische logs opgeslagen en officiële rapporten ingediend: Rapporten indienen bij de FBI IC3 (ic3.gov) en FTC (reportfraud.ftc.gov) in de VS, Actiefraude (actionfraud.police.uk) in Groot-Brittannië, het Canadian Anti-Fraud Centre of Scamwatch (scamwatch.gov.au) in Australië. Rapporteer ook het binaire installatieprogramma of de verbindings-ID aan connectwise.com/company/trust/report-abuse of anydesk.com/en/abuse.

Veelgestelde vragen¶

De oplichter liet me mijn Windows Event Viewer zien en netstat in de opdrachtprompt en het zat vol met duizenden waarschuwingen, fouten en "FOREIGN ADDRESS" -verbindingen. Is mijn computer daadwerkelijk gehackt voordat ik ze belde?¶

Nee. Beide `eventvwr` (Windows Gebeurtenisviewer) en `netstat` zijn normale administratieve hulpprogramma's die in elk exemplaar van Windows zijn ingebouwd, en oplichters misbruiken ze als psychologische rekwisieten. Elke gezonde Windows-computer genereert duizenden routinematige gele waarschuwings- en rode foutlogboeken in Logboeken tijdens normaal opstarten en achtergrondupdates, en `netstat` vermeldt elke normale achtergrondverbinding die uw browser en besturingssysteem met cloudservers maken als een 'buitenlands adres'. Uw computer was volkomen veilig tot het moment dat u de instructies van de beller opvolgde om zijn hulpprogramma voor externe toegang te downloaden en uit te voeren.

Hoe heeft de oplichter ervoor gezorgd dat mijn echte bankwebsite laat zien dat ze per ongeluk geld hebben gestort $40,000 op mijn betaalrekening als ze de server van de bank niet kunnen hacken?¶

Terwijl de oplichter via AnyDesk of ScreenConnect met uw computer is verbonden, wordt uw scherm gedurende 15 seconden zwart, klikt met de rechtermuisknop op uw banksaldo in uw webbrowser en klikt op **"Inspecteren" (`Developer Tools`)**. Hiermee wordt de lokale HTML-tekst geopend die wordt weergegeven op uw browsertabblad. De oplichter typt gewoon `$45,200.00` boven je echte `$5,200.00` balans en voegt een valse tekstregellezing toe `"ACH REFUND OVERPAYMENT +$40,000.00"` op uw scherm. Deze bewerking bestaat alleen in het tijdelijke geheugen van uw browsertabblad (`DOM`) en verdwijnt zodra u de pagina vernieuwt (`F5`) of controleer uw saldo op uw smartphone-app. Als alternatief worden ze overgedragen `$40,000` van uw eigen spaarrekening of kredietlimiet naar uw betaalrekening en herlabel het scherm om u te misleiden om uw eigen geld naar hen over te maken.

Als ik AnyDesk of UltraViewer via het Configuratiescherm heb verwijderd, kan ik mijn wifi dan weer inschakelen?¶

Meestal niet zonder Windows Services te inspecteren (`services.msc`) eerst in de veilige modus. Professionele oplichtingscallcenters met technische ondersteuning weten dat slachtoffers AnyDesk of UltraViewer vaak verwijderen zodra ze ophangen. Daarom gebruiken oplichters binnen de eerste twee minuten nadat ze verbinding hebben gemaakt met uw pc routinematig stille bestandsoverdracht om een ​​secundaire, verborgen **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) of **SimpleHelp**-agent die geen snelkoppeling op het bureaublad maakt en zich daarin verbergt `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Tenzij u in de veilige modus verifieert dat er geen bedriegers zijn `SYSTEM` services of geplande taken bestaan, of als u het USB-besturingssysteem volledig wist, kunt u door opnieuw verbinding te maken met Wi-Fi de controle over uw pc onmiddellijk teruggeven aan de aanvaller.

Kan een oplichter toegang krijgen tot andere computers of smartphones in mijn Wi-Fi-thuisnetwerk alleen maar omdat ik AnyDesk op één laptop heb geïnstalleerd?¶

Het installeren van AnyDesk of ScreenConnect brengt de specifieke computer waarop u het installatieprogramma hebt uitgevoerd in gevaar, en niet rechtstreeks uw telefoons of andere laptops. Als u echter **Google Chrome, Microsoft Edge of Apple iCloud-wachtwoord- en sessiesynchronisatie** gebruikt op uw laptop en smartphone, hebben eventuele wachtwoorden die de oplichter steelt of wijzigt op de geïnfecteerde laptop invloed op uw gedeelde cloudaccounts. Terwijl een aanvaller verbonden is met uw laptop, kan hij ook inloggen op de beheerderspagina van uw thuisrouter (`192.168.1.1`) als het nog steeds het standaard beheerderswachtwoord gebruikt en wijzig dat van uw router `DNS` instellingen. Nadat u de geïnfecteerde laptop hebt geïsoleerd, stelt u uw Wi-Fi-router terug naar de fabrieksinstellingen of verifieert u de DNS-instellingen en het beheerderswachtwoord vanaf een schoon apparaat.

Gerelateerde handleidingen¶

• Pop-upfraude met technische ondersteuning en verwijdering van AnyDesk/TeamViewer op het externe bureaublad
• Sessiecookiekaping, infostealer-malware en intrekking van de wachtwoordsleutel
• Valse CAPTCHA ClickFix PowerShell Win+R klembord-malware en Lumma Infostealer-herstel
• Geautoriseerde app-fraude met pushbetalingen (APP): imitatie- en terugbetalingsrechten van Zelle, Venmo en Faster Payments
• Inbreuk op bankrekening
• Noodnummers per land

Bronnen en officiële richtlijnen¶

• Agentschap voor cyberbeveiliging en infrastructuurbeveiliging (CISA), Federaal Onderzoeksbureau (FBI), Nationaal Veiligheidsagentschap (NSA), & Centrum voor het delen en analyseren van informatie tussen meerdere staten (MS-ISAC) (Verenigde Staten): Gezamenlijk cyberbeveiligingsadvies (AA23-025A): Bescherming tegen kwaadwillig gebruik van bewaking en beheer op afstand (RMM) Software.
• Bureau voor financiële bescherming van consumenten (CFPB) (Verenigde Staten): Elektronische overboekingen (Regulation E, 12 CFR Part 1005) Officiële interpretaties en veelgestelde vragen over ongeautoriseerde EFT's en frauduleus geïnduceerde toegang.
• Federale Handelscommissie (FTC) (Verenigde Staten): Hoe u oplichting met technische ondersteuning kunt herkennen, vermijden en rapporteren.
• Nationaal Cyber Security Centrum (NCSC) & Actiefraude (Verenigd Koninkrijk): Apparaten beschermen tegen ongeautoriseerde tools voor externe toegang en fraude bij het delen van schermen.
• ConnectWise Trust & Security Response Center: Identificeren en verwijderen van frauduleuze ScreenConnect (ConnectWise Control) Klantinstanties.