Trojan dostępu zdalnego (ScreenConnect, AnyDesk, RustDesk, UltraViewer) - oszustwo związane z pomocą techniczną: wyciąganie sieci Ethernet, zabijanie usług i zamrażanie banków¶

Kiedy oszust przekonuje Cię do zainstalowania narzędzia zdalnego pulpitu lub uruchamia agenta zdalnego monitorowania na Twoim komputerze, zyskuje na żywo, nieograniczoną kontrolę nad Twoją myszą, klawiaturą, systemem plików i aktywnymi sesjami przeglądarki. Wyświetlając na monitorze fałszywy skan bezpieczeństwa lub czarną zasłonę prywatności, operator po cichu opróżnia konta sprawdzające, zbiera zapisane hasła i instaluje trwałe usługi działające w tle, które przetrwają standardowe ponowne uruchomienie. W tym przewodniku opisano natychmiastowe kroki umożliwiające odcięcie łącza danych atakującego, trwałe wyeliminowanie usług zdalnego dostępu bez nadzoru oraz zablokowanie infrastruktury bankowej i kredytowej, zanim środki wypłyną z sieci przewodowej.

Zrób to teraz¶

1. Odłącz fizycznie i natychmiast całą łączność internetową. Odłącz kabel Ethernet z tyłu komputera stacjonarnego lub routera, przełącz fizyczny przełącznik Wi-Fi na laptopie lub naciśnij i przytrzymaj przycisk zasilania na routerze Wi-Fi przez 10 sekund, aż wszystkie lampki zgasną. Nie trać czasu na walkę z oszustem, aby kontrolować kursor myszy i kliknąć przycisk rozłączania.
2. Wymuś wyłączenie zaatakowanego komputera, jeśli ekran jest przyciemniony. Jeśli osoba atakująca włączyła opcję „Wyczyść monitor gościa” lub zablokowała wprowadzanie danych z klawiatury, naciśnij i przytrzymaj fizyczny przycisk zasilania komputera przez 10 pełnych sekund, aż urządzenie całkowicie się wyłączy. Pozostaw urządzenie wyłączone i zabezpiecz swoje konta finansowe za pomocą osobnego, czystego urządzenia.
3. Zadzwoń do działu ds. oszustw swojego banku z niezależnego telefonu. Użyj telefonu komórkowego, aby zadzwonić pod oficjalny numer wydrukowany na odwrocie karty debetowej lub kredytowej lub zadzwoń pod lokalny numer alarmowy (911 w Stanach Zjednoczonych i Kanadzie, 112 w całej Unii Europejskiej, 999 w Wielkiej Brytanii), jeśli występuje aktywne zagrożenie wymuszenia; Widzieć numery alarmowe do kontaktów międzynarodowych. Poinstruuj bank, aby natychmiastowo i mocno zamroził wszystkie rachunki czekowe, oszczędnościowe i linie kredytowe oraz zażądał awaryjnego wycofania wszelkich oczekujących przelewów bankowych lub przelewów zautomatyzowanej izby rozliczeniowej (ACH) lub w czasie rzeczywistym.
4. Unieważnij aktywne pliki cookie sesji i zmień hasła na czystym smartfonie. Używając telefonu w trybie komórkowej transmisji danych (bez połączenia z domową siecią Wi-Fi, jeśli zainfekowany komputer jest ponownie włączony), zaloguj się do swojej głównej poczty e-mail, portali bankowych i kont w chmurze. Zakończ wszystkie aktywne sesje logowania, unieważnij nierozpoznane urządzenia Multi-Factor Authentication (MFA) i zmień swoje hasła.
5. Uruchom zainfekowany komputer w trybie awaryjnym bez sieci. Włącz ponownie zaatakowany komputer tylko po odłączeniu od Internetu, przechodząc do trybu awaryjnego systemu Windows lub trybu awaryjnego macOS w celu sprawdzenia i usunięcia nienadzorowanych usług działających w tle (ScreenConnect Client, AnyDesk Service, RustDesk Service) zanim system operacyjny załaduje sterowniki sieciowe innych firm.

Zrozumienie anatomii komercyjnego ataku RMM i zdalnego pulpitu¶

Współczesne oszustwa związane z pomocą techniczną, oszustwa związane ze zwrotami środków i ataki podszywające się pod banki rzadko opierają się na specjalnie napisanych wirusach komputerowych. Zamiast tego ugrupowania zagrażające wykorzystują legalne, podpisane cyfrowo zdalne monitorowanie i zarządzanie (RMM) oprogramowanie i komercyjne narzędzia zdalnego pulpitu. Ponieważ te pliki wykonywalne zawierają ważne certyfikaty do podpisywania kodu kryptograficznego od zaufanych dostawców oprogramowania, standardowe programy antywirusowe, takie jak Windows Defender lub macOS XProtect, nie blokują ich instalacji.

W jaki sposób napastnicy wykorzystują legalne pliki binarne wsparcia zdalnego¶

Kiedy ofiara dzwoni pod bezpłatny numer wyświetlany w fałszywym wyskakującym okienku przeglądarki, odpowiada na pilną wiadomość e-mail z fakturą lub postępuje zgodnie z instrukcjami otrzymanymi od osoby prowadzącej dochodzenie w sprawie fałszywego oszustwa bankowego, operator poleca jej pobranie pliku wykonywalnego lub instalatora MSI. Do najbardziej nadużywanych platform należą:

• ConnectWise ScreenConnect (dawniej Control): Często wdrażane za pośrednictwem dostosowanego .msi lub .exe pakiet hostowany na serwerze kontrolowanym przez osobę atakującą. Po uruchomieniu instaluje się jako trwała usługa systemowa Windows (ScreenConnect Client (xxxx)) bieganie z NT AUTHORITY\SYSTEM uprawnienia, zapewniając cichy, nienadzorowany dostęp, gdy komputer jest w trybie online.
• Dowolne biurko (anydesk.exe): Często używane w oszustwach międzyplatformowych, których celem są urządzenia z systemem Windows, macOS i urządzenia mobilne. Atakujący instruują ofiarę, aby przeczytała na głos 9-cyfrowy adres AnyDesk, zażądała podniesienia uprawnień administracyjnych i ustawiła „Hasło dostępu nienadzorowanego”, aby ponownie połączyć się, gdy ofiara śpi.
• Rdzawe biurko (rustdesk.exe): Narzędzie do zdalnego pulpitu typu open source, preferowane przez syndykaty oszustów, ponieważ mogą samodzielnie hostować serwery przekazujące, omijając ataki nadużyć dostawców.
• UltraViewer, TeamViewer, Zoho Assist i SimpleHelp: Często połączone ze sobą. Oszust łączący się za pośrednictwem UltraViewer lub AnyDesk często po cichu instaluje ukryty plik ScreenConnect lub SimpleHelp pakiet w tle jako backdoor zapasowy.

Awaryjny przepływ pracy: zerwanie połączenia i segregacja uszkodzeń¶

Skorzystaj z poniższego schematu operacyjnego, aby zatrzymać aktywną sesję zdalną, odizolować stację roboczą i określić, czy komputer można wyczyścić w trybie awaryjnym, czy też wymaga całkowitego wyczyszczenia systemu operacyjnego.

flowchart TD
    A["Wykryto aktywne lub niedawne oszustwo związane ze zdalnym dostępem"] --> B["Fizycznie odłącz kabel Ethernet i wyłącz router Wi-Fi"]
    B --> C{"Czy ekran jest przyciemniony lub mysz jest zablokowana?"}
    C -- "Tak" --> D["Przytrzymaj przycisk zasilania fizycznego komputera przez 10 sekund, aby wymusić wyłączenie"]
    C -- "Nie" --> E["Włącz tryb samolotowy i normalnie wyłącz komputer"]
    D --> F["Użyj czystego smartfona na danych komórkowych, aby zadzwonić do działu ds. oszustw bankowych"]
    E --> F
    F --> G["Zamrożenie kontroli/oszczędności, wycofanie przewodów/Zelle, zablokowanie biur kredytowych"]
    G --> H["Z czystego smartfona: obracaj hasła e-mail/bankowe i kończ sesje"]
    H --> I{"Czy oszust miał dostęp bez nadzoru lub uruchomił CMD/PowerShell?"}
    I -- "Tak (wysokie ryzyko)" --> J["Uruchom komputer w trybie offline w trybie awaryjnym, aby uratować wyłącznie osobiste dokumenty"]
    I -- "Nie (krótka sesja nadzorowana)" --> K["Uruchom komputer w trybie offline w trybie awaryjnym, aby wyczyścić usługi i certyfikaty RMM"]
    J --> L["Wykonaj pełną, czystą ponowną instalację systemu operacyjnego za pośrednictwem nośnika USB z czystego komputera"]
    K --> M["Usuń usługi, zaplanowane zadania, dane aplikacji i sprawdź rozszerzenia przeglądarki"]

Porównanie narzędzi zdalnego dostępu wykorzystywanych przez oszustów¶

Zanim spróbujesz wyczyścić maszynę lub zgłosisz incydent zespołowi ds. kryminalistyki ds. oszustw w Twoim banku, sprawdź, które narzędzia zdalne zostały zainstalowane. Pamiętaj, że oszuści rutynowo instalują dwa lub trzy różne narzędzia podczas jednej sesji, więc jeśli odinstalujesz widoczną ikonę na pulpicie, ich ukryta usługa dodatkowa pozostanie aktywna.

Segregacja bankowa i finansowa krok po kroku (pierwsze 30 minut)¶

W przypadku oszustwa związanego ze zdalnym dostępem infekcja komputera jest jedynie mechanizmem przenoszenia; podstawową sytuacją kryzysową jest ostra kradzież finansowa. Atakujący wykorzystują sztuczki psychologiczne i techniczne, takie jak edycja kodu źródłowego HTML (Inspect Element) strony internetowej Twojego banku w celu symulacji przypadkowego $40,000 nadpłata zamiast $400, aby nakłonić Cię do przelewania pieniędzy, zakupu kart podarunkowych lub wpłaty gotówki do bankomatu Bitcoin. Nawet jeśli odmówisz wysłania pieniędzy, osoba atakująca posiadająca zdalny dostęp może zainicjować przelew bezpośrednio, gdy Twój ekran jest przyciemniony.

1. Natychmiast dokonaj twardego zamrożenia i zainicjuj wycofywanie transferu¶

Natychmiast zadzwoń do dedykowanego działu ds. oszustw Twojej instytucji finansowej, używając czystego telefonu. Wyraźnie określ: „Koń trojański dostępu zdalnego włamał się do mojego komputera podczas oszustwa związanego z pomocą techniczną/podszywaniem się pod bank. Nieupoważniona osoba miała dostęp na żywo do mojej sesji bankowości internetowej”. Zażądaj następujących konkretnych działań:

• Blokada profilu bankowości internetowej: Poproś bank o całkowite wyłączenie danych logowania do bankowości internetowej i mobilnej oraz unieważnienie wszystkich aktywnych tokenów OAuth i plików cookie sesji.
• Wycofanie ACH, Wire i RTP (SWIFT / Fedwire / Faster Payments): Poproś przedstawiciela o sprawdzenie Twojego konta pod kątem wszelkich oczekujących lub znajdujących się w kolejce wychodzących usług Automatycznej Izby Rozliczeniowej (ACH) przelewy, przelewy krajowe/zagraniczne, Zelle / Venmo płatności lub czeki „Bill Pay” zaplanowane na przyszłe daty. Oszuści często planują wykonanie czeku Bill Pay lub przelewu ACH z datą późniejszą od 3 do 5 dni później, mając nadzieję, że tego nie zauważysz.
• Zastąpienie numeru konta: Ponieważ osoba atakująca prawdopodobnie przeglądała Twoje pełne numery routingu i sprawdzania kont (lub pobrała wyciągi bankowe w formacie PDF z przeglądarki), samo zamrożenie karty debetowej nie wystarczy. Musisz poprosić bank o zamknięcie zagrożonych numerów kont i przeniesienie sald na zupełnie nowe numery kont za pomocą opcji „Post No Debits” (PND) ograniczenia na starych kontach.
• Sprawdź ukryte przelewy wewnętrzne lub zaliczki gotówkowe: Atakujący często pobierają zaliczkę gotówkową z powiązanej karty kredytowej lub linii kredytowej Home Equity (HELOC) i najpierw przelej je na swoje konto czekowe, aby utwierdzić Cię w przekonaniu, że „przypadkowo zwrócili Ci nadwyżkę” lub aby zgromadzić maksymalną płynność przed przesłaniem połączonego salda za granicę. Poinformuj specjalistę ds. oszustw bankowych, aby sprawdził, czy pomiędzy Twoimi rachunkami oszczędnościowymi, kartami kredytowymi lub kontami maklerskimi miały miejsce jakiekolwiek przelewy wewnątrzbankowe.

2. Zamroź biura informacji kredytowej i sprawdź, czy są nowe wnioski o pożyczkę¶

Po podłączeniu do komputera oszuści rutynowo przeszukują Twój komputer Downloads lub Documents foldery dla słów kluczowych, takich jak tax, 1040, W2, passport, licenselub password i wydobądź swoje zeznania podatkowe i skany dokumentów tożsamości.

1. Natychmiast złóż bezpłatną Zamrożenie bezpieczeństwa we wszystkich głównych biurach informacji kredytowej, korzystając ze swojego czystego smartfona:
2. W Stanach Zjednoczonych: Zamrożenie Equifax (1-888-298-0045), Ekspert (1-888-397-3742), TransUnion (1-800-916-8800) i ChexSystems (1-800-428-9687).
3. W Wielkiej Brytanii: Skontaktuj się z Experian, Equifax i TransUnion i zarejestruj się w Cifas Protective Registration.
4. W Kanadzie: Wysyłaj powiadomienia o wstrzymaniu kredytu lub o oszustwie do Equifax Canada i TransUnion Canada.
5. W Australii: Poproś o zakaz kredytowy za pośrednictwem Equifax, Illion i Experian.
6. Natychmiast przejrzyj swój raport kredytowy pod kątem trudnych zapytań złożonych w ciągu ostatnich 24 godzin; oszuści często ubiegają się o natychmiastowe pożyczki osobiste online w zakładce przeglądarki w tle podczas rozmowy z Tobą.

Usuwanie usług dostępu zdalnego w trybie awaryjnym (Windows i macOS)¶

Jeśli zdecydujesz się sprawdzić komputer, zachować dzienniki kryminalistyczne na potrzeby organów ścigania lub uratować niezastąpione zdjęcia osobiste przed wyczyszczeniem dysku twardego, nigdy nie uruchamiaj komputera w trybie normalnym, gdy jest on podłączony do Internetu. W momencie zakończenia normalnego rozruchu przy aktywnym Wi-Fi, trwały ScreenConnect lub AnyDesk Usługa zadzwoni do domu oszusta i powiadomi go, że Twój komputer znów jest online.

Faza 1: Uruchamianie w trybie awaryjnym bez połączenia z siecią¶

W systemie Windows 10 i Windows 11¶

1. Upewnij się, że kabel Ethernet jest odłączony, a domowy router Wi-Fi jest odłączony lub tryb samolotowy jest aktywny.
2. Włącz komputer. Na ekranie logowania do systemu Windows przytrzymaj Lewy Shift i kliknij Zasilanie -> Uruchom ponownie.
3. Na niebieskim ekranie odzyskiwania wybierz Rozwiązywanie problemów -> Opcje zaawansowane -> Ustawienia uruchamiania -> Uruchom ponownie.
4. Gdy pojawi się lista opcji uruchamiania, naciśnij 4 lub F4 (Enable Safe Mode). Nie naciskaj 5 (Safe Mode with Networking).

W systemie macOS (Apple Silicon i Intel)¶

1. Wyłącz komputer Mac i router Wi-Fi.
2. Krzem jabłkowy (M1/M2/M3/M4): Przytrzymaj przycisk zasilania, aż pojawi się „Ładowanie opcji uruchamiania”. Wybierz dysk startowy, przytrzymaj Shift i kliknij Kontynuuj w trybie awaryjnym.
3. Intel Mac: Włącz komputer Mac i natychmiast przytrzymaj klawisz Shift, aż pojawi się okno logowania.

Faza 2: Wyszukiwanie i kończenie trwałych usług Windows¶

Standardowa dezinstalacja za pomocą „Dodaj lub usuń programy” często nie powoduje usunięcia dostosowanych ScreenConnect Kompilacje MSI wynikają z tego, że napastnicy usuwają wpis dezinstalatora z rejestru systemu Windows lub wdrażają wiele instancji z losowymi nazwami usług w formacie szesnastkowym.

1. W trybie awaryjnym systemu Windows naciśnij Win + R, wpisz services.msci naciśnij Enter.
2. Kliknij kolumnę Nazwa, aby posortować alfabetycznie i dokładnie sprawdź każdą usługę pod kątem następujących nazw:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Uwaga: mogą być dwa lub trzy oddzielne ScreenConnect Client wpisy zawierające różne 16-znakowe ciągi alfanumeryczne w nawiasach, gdzie każdy reprezentuje inny serwer oszustów).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent lub SimpleHelp Remote Access
9. Dla każdej znalezionej podejrzanej usługi kliknij ją prawym przyciskiem myszy i wybierz Właściwości.
10. Przeczytaj uważnie pole Ścieżka do pliku wykonywalnego i zapisz je (np. C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Zmień listę rozwijaną Typ uruchomienia na Wyłączone, kliknij Zatrzymaj (jeśli działa), a następnie kliknij Zastosuj i OK.
12. Następnie otwórz wiersz poleceń z podwyższonym poziomem uprawnień (Win + X -> Terminal (administrator) lub Wiersz poleceń (administrator)) i trwale usuń rejestracje usług, używając dokładnej nazwy usługi podanej w oknie właściwości:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Dla ScreenConnect, prześlij zapytanie do wszystkich zainstalowanych instancji i usuń każdą z nich według dokładnej nazwy klucza usługi:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Faza 3: Usuwanie zaplanowanych zadań, folderów startowych i ukrytych katalogów¶

Nawet po usunięciu usługi systemu Windows osoby atakujące często konfigurują zaplanowane zadanie, które polega na ponownym pobraniu zdalnego agenta za pośrednictwem powershell.exe lub mshta.exe za każdym razem, gdy użytkownik się loguje.

1. Naciśnij Win + R, wpisz taskschd.msci naciśnij Enter, aby otworzyć Harmonogram zadań.
2. Kliknij Biblioteka Harmonogramu zadań w lewym okienku. Rozwiń każdy podfolder i sprawdź kartę Działania każdego zaplanowanego zadania. Usuń wszystkie zadania, które uruchamiają pliki binarne C:\Users\<User>\AppData\, C:\ProgramData\lub wywołuje curl, bitsadmin, powershell -WindowStyle Hiddenlub dowolny plik wykonywalny zdalnego pulpitu.
3. Naciśnij Win + R, wpisz shell:startupi naciśnij Enter. Usuń wszystkie skróty lub .bat / .vbs skrypty umieszczone w folderze Autostart użytkownika. Powtórz tę czynność, wpisując shell:common startup aby sprawdzić ogólnosystemowy folder Autostart.
4. Włącz przeglądanie ukrytych plików w Eksploratorze plików (Widok -> Pokaż -> Ukryte elementy) i ręcznie usuń katalogi aplikacji i pamięci podręczne konfiguracji dla wszystkich narzędzi zdalnych:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ i C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ i C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ i C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Faza 4: Usuwanie LaunchDaemons, LaunchAgents i Grantów dotyczących prywatności w systemie macOS¶

W systemie macOS narzędzia zdalnego dostępu zapewniają trwałość LaunchDaemons (w całym systemie) i LaunchAgents (na poziomie użytkownika), w połączeniu z systemem macOS TCC (Przejrzystość, Zgoda i Kontrola) uprawnienia do Nagrywania ekranu i Dostępności.

1. W trybie awaryjnym macOS (offline) otwórz Finder i naciśnij Cmd + Shift + G (Go to Folder) i sprawdź jeden po drugim następujące trzy katalogi:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Przeciągnij dowolny .plist pliki zawierające connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoholub simplehelp do Kosza.
6. Dalej, otwórz /Applications/ i /Library/Application Support/ i przenieś wszystkie odpowiednie pakiety aplikacji dostępu zdalnego i foldery pomocnicze do Kosza.
7. Otwórz Ustawienia systemu -> Prywatność i bezpieczeństwo. Sprawdź dwie krytyczne sekcje:
8. Nagrywanie ekranu i dźwięku systemowego: Wybierz dowolne narzędzie pomocy zdalnej z listy i kliknij minus (-), aby cofnąć możliwość przeglądania wyświetlacza.
9. Dostępność: Wybierz dowolne narzędzie pomocy zdalnej i kliknij minus (-), aby odebrać mu możliwość kontrolowania kursora myszy i syntezy naciśnięć klawiszy.
10. Pełny dostęp do dysku: Sprawdź, czy żadna nieznana aplikacja lub opakowanie terminala nie uzyskało pełnego dostępu do dysku.

Cofanie blokad haseł systemu Windows i fałszywych banerów startowych¶

Przed rozłączeniem mściwi oszuści często blokują ofiarom dostęp do komputerów i żądają okupu za hasło. Używają trzech podstawowych metod:

1. Zmiana lokalnego hasła systemu Windows (net user) lub dodanie fałszywego konta administratora¶

Gdy kurtyna ekranu jest aktywna, oszuści często otwierają wiersz poleceń z podwyższonym poziomem uprawnień i uciekają net user <YourUsername> <NewPassword> lub utwórz konto administratora backdoora (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Jak sprawdzić i naprawić: W trybie awaryjnym otwórz wiersz poleceń z podwyższonym poziomem uprawnień (cmd.exe jako Administrator) i wpisz net user. Jeśli zobaczysz nieznane konto, natychmiast je usuń net user <RogueAccountName> /delete. Jeśli hasło lokalne zostało zmienione, uruchom komputer z instalacyjnego dysku USB systemu Windows w środowisku odzyskiwania systemu Windows (WinRE), aby przywrócić wcześniejszy punkt przywracania systemu, lub zaloguj się przy użyciu połączonego konta Microsoft po zresetowaniu hasła na czystym smartfonie.

2. Włączanie banera wiadomości startowych za pośrednictwem rejestru (LegalNoticeCaption)¶

Oszuści często modyfikują HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System poprzez ustawienie LegalNoticeCaption i LegalNoticeText aby wyświetlić fałszywy numer telefonu blokady Microsoft Security przed zalogowaniem. * Rozwiązanie problemu: Jest to jedynie kosmetyczny ekran tekstowy poprzedzający normalny monit o zalogowanie się do systemu Windows. Kliknij OK lub naciśnij Enter, aby ominąć tę opcję i otwórz regedit w trybie awaryjnym przejdź do HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemi wyczyść tekst w środku LegalNoticeCaption i LegalNoticeText.

3. Blokady PIN-u bezpiecznego rozruchu (bcdedit)¶

Firma Microsoft usunęła dziedzictwo syskey.exe narzędzie w systemie Windows 10 w wersji 1709. Obecnie oszuści zamiast tego zaznaczają w środku opcję Bezpieczny rozruch msconfig i uruchom ponownie komputer w trybie offline. Ponieważ kody PIN usługi Windows Hello często nie działają na ekranie logowania w trybie awaryjnym bez dostępu do sieci, ofiary wpadają w pętlę rozruchową. * Jak naprawić: Przytrzymaj Shift + Uruchom ponownie na ekranie logowania, wybierz Rozwiązywanie problemów -> Opcje zaawansowane -> Wiersz poleceń i uruchom:

bcdedit /deletevalue {current} safeboot

Uruchom ponownie komputer w normalny sposób (nie odłączając routera internetowego), aby móc zalogować się przy użyciu hasła lub kodu PIN zapisanego w pamięci podręcznej i usunąć oprogramowanie zdalne.

Dlaczego kradzież sesji przeglądarki i kradzieże informacji wymagają pełnego czyszczenia systemu operacyjnego¶

Nawet jeśli usuniesz plik ScreenConnect, AnyDesklub RustDesk usług w trybie awaryjnym, musisz ocenić, czy oszust wdrożył dodatkowego Infostealera (Lumma, RedLine, Vidar, Stealc) lub skopiowałem katalog profilu przeglądarki.

Podczas nienadzorowanej sesji zdalnej osoba atakująca potrzebuje mniej niż 8 sekund na uruchomienie skryptu PowerShell, który kopiuje katalog danych użytkownika Google Chrome, Microsoft Edge lub Brave (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) wraz z miejscowymi DPAPI główny klucz deszyfrujący. Mając te pliki na swoim serwerze, osoba atakująca posiada:

1. Każde hasło zapisane we wbudowanym menedżerze haseł przeglądarki internetowej.
2. Aktywne pliki cookie sesji (Cookies i Network\Cookies Bazy danych SQLite): Nawet jeśli Twoja poczta e-mail lub bank korzysta z uwierzytelniania dwuskładnikowego (2FA), posiadanie odszyfrowanego pliku cookie tokenu sesji pozwala osobie atakującej zaimportować profil Twojej przeglądarki do przeglądarki antywykrywającej na swoim komputerze i uzyskać dostęp do Twojego konta Gmail, Outlook, Amazon lub konta wymiany kryptowalut bez konieczności podawania hasła lub 2FA kod.
3. Sejfy portfeli kryptowalut oparte na przeglądarce (MetaMask, Phantom, Rabby): Wewnątrz zaszyfrowane pliki skarbca Local Extension Settings są eksfiltrowane w celu brutalnego wymuszania w trybie offline.

Kiedy musisz przeprowadzić czystą ponowną instalację systemu operacyjnego USB¶

Chociaż usunięcie usługi trybu awaryjnego jest wystarczające, jeśli złapiesz oszusta w ciągu 10 sekund od zainstalowania AnyDesk i nigdy nie przyznasz mu uprawnień administratora ani dostępu bez nadzoru, musisz wyczyścić dysk i przeprowadzić czystą instalację systemu operacyjnego z pamięci USB, jeśli wystąpi którakolwiek z poniższych sytuacji:

• Twój ekran stał się czarny (Blank Guest Monitor) lub mysz/klawiatura została zablokowana.
• Zobaczyłeś wiersz poleceń (cmd.exe) lub migające okno PowerShell na ekranie.
• Zostawiłeś komputer bez nadzoru, podczas gdy oszust przeprowadził fałszywe skanowanie bezpieczeństwa.
• Zainstalowałeś ConnectWise ScreenConnect (który działa jako SYSTEM domyślnie i umożliwia wykonanie skryptu powłoki w tle w niewidoczny sposób).

Aby przeprowadzić bezpieczną ponowną instalację: 1. W trybie offline w trybie awaryjnym podłącz nowy dysk flash USB do zaatakowanego komputera i skopiuj tylko pliki danych osobistych (.jpg, .pdf, .docx, .xlsx, filmy rodzinne). Nigdy nie kopiuj .exe, .msi, .bat, .ps1lub foldery profili przeglądarki. 2. Korzystając z innego, czystego komputera, pobierz oficjalne narzędzie Windows Media Creation Tool firmy Microsoft (microsoft.com/software-download) lub utwórz rozruchowy instalator systemu macOS. 3. Uruchom zainfekowany komputer za pomocą czystego instalatora USB, usuń wszystkie istniejące partycje na dysku podstawowym (Drive 0) i zainstaluj nową kopię systemu operacyjnego.

Zachowanie Twojego prawa do zwrotu środków przez bank¶

Banki często próbują odrzucać roszczenia o zwrot kosztów w przypadku oszustw związanych z dostępem zdalnym, argumentując, że kliknięcie „Pobierz” w AnyDesk lub ScreenConnect oznacza „autoryzację” transakcji lub dopuszczenie się rażącego niedbalstwa. Wiedza o tym, jak działają ustawowe zabezpieczenia bankowości konsumenckiej w Twojej jurysdykcji, ma kluczowe znaczenie podczas rozmowy z arbitrem ds. roszczeń o oszustwo w Twoim banku.

W Stanach Zjednoczonych: ustawa o elektronicznym transferze środków (EFTA) i Regulation E (12 CFR § 1005)¶

Zgodnie z federalną ustawą o elektronicznym transferze środków (Regulation E), Biuro Ochrony Finansów Konsumentów (CFPB) wydał oficjalne wytyczne nadzorcze stwierdzające, że: * Dostęp indukowany nadal stanowi „nieautoryzowany elektroniczny transfer środków”: Zgodnie z art 12 CFR § 1005.2(m), elektroniczny transfer środków zainicjowany przez osobę, która uzyskała dostęp do konta konsumenta w wyniku oszustwa lub rabunku, jest prawnie definiowany jako nieautoryzowany EFT, nawet jeśli konsument został oszukany w celu podania hasła, jednorazowego kodu dostępu lub zainstalowania oprogramowania do zdalnego pulpitu. * Zaniedbanie nie może być podstawą do odrzucenia roszczenia: Oficjalna interpretacja CFPB Regulation E (Comment 6(b)-2) stanowi, że zaniedbanie konsumenta (takie jak złapanie wyskakującego okienka phishingowego lub udzielenie oszustowi zdalnego dostępu do pulpitu) nie może zostać wykorzystane przez bank do nałożenia na konsumenta większej odpowiedzialności niż Regulation E pozwala ($50 maksymalnie, jeśli zostanie zgłoszone w ciągu 2 dni roboczych; $500 maksymalnie w ciągu 60 dni). * Rozróżnij przelewy kliknięte przez oszusta i kliknięte przez konsumenta: Jeśli oszust poruszył myszą i kliknął „Wyślij” za czarnym ekranem podczas sesji AnyDesk/ScreenConnect, jest to Nieautoryzowany EFT objęty Regulation E. Poinformuj bank na piśmie: „Nie zainicjowałem, nie autoryzowałem ani nie kliknąłem przycisku tego przelewu; podmiot stanowiący zagrożenie przestępcze wykonał przelew zdalnie przy użyciu trojana zdalnego dostępu, blokując mój ekran, co stanowi nieautoryzowany EFT zgodnie z 12 CFR § 1005.2 (m).” Dołącz zachowane dane connection_trace.txt log lub dzienniki Menedżera kontroli usług Podglądu zdarzeń systemu Windows (Event ID 7045 pokazując dokładną minutę ScreenConnect lub AnyDesk usługa została zainstalowana) jako dowód kryminalistyczny.

W Wielkiej Brytanii, Unii Europejskiej, Kanadzie i Australii¶

• Wielka Brytania (PSR & FOS): Jeśli oszust bezpośrednio kontrolował Twój komputer w celu przeniesienia środków, zgłoś to jako Nieautoryzowaną płatność zgodnie z Przepisami dotyczącymi usług płatniczych z 2017 r.. Jeśli oszust manipulował Twoim ekranem (Inspect Element fałszywy zwrot pieniędzy), aby nakłonić Cię do samodzielnej autoryzacji Szybszej Płatności, zgłoś to zgodnie z przepisami Urzędu Regulacji Usług Płatniczych (PSR) obowiązkowe Autoryzowana płatność push (APP) Zasady zwrotu pieniędzy za oszustwo i eskalowanie wszelkich odmów do Ombudsmana ds. usług finansowych (FOS).
• Unia Europejska, Kanada i Australia: Natychmiast zgłoś incydent swojemu bankowi i policji, podkreślając, że sesja została wykonana lub zmanipulowana przez trojana zdalnego dostępu. Eskaluj nierozwiązane spory bankowe do Rzecznika Usług Bankowych i Inwestycji (OBSI) w Kanadzie lub Australijski Urząd ds. skarg finansowych (AFCA) w Australii pod ePayments Code.

Lista kontrolna działań naprawczych i raportowania po incydencie¶

Wypełnij każdą pozycję na tej liście kontrolnej przed ponownym podłączeniem sieci domowej lub wznowieniem normalnej bankowości internetowej:

• Potwierdzona izolacja fizyczna: Zaatakowany komputer został fizycznie odłączony od sieci Ethernet i Wi-Fi przed dalszym rozwiązywaniem problemów.
• Konta bankowe zamrożone i przenumerowane: Wszystkie numery rachunków bieżących, oszczędnościowych i HELOC, które były widoczne na komputerze, zostały zamknięte i ponownie wydane z nowymi numerami kont.
• Usunięto kolejki zaplanowanych płatności Bill Pay i ACH: Potwierdzono u nadzorcy banku, że nie ma żadnych czeków Bill Pay z datą przyszłą, zewnętrznych linków bankowych (Plaid) lub w trakcie sesji zdalnej dodano instrukcje dotyczące drutu stałego.
• Aktywna blokada kredytów: Blokady zabezpieczeń wprowadzone w Equifax, Experian, TransUnion i ChexSystems.
• Przeprowadzono audyt reguł przekazywania poczty e-mail: Zalogowano się do Gmaila/Outlook/Yahoo z czystego smartfona i sprawdzono Ustawienia -> Przekazywanie i POP/IMAP oraz Reguły/Filtry pod kątem ukrytych reguł, które automatycznie usuwają lub przesyłają dalej e-maile zawierające "Bank", "Fraud", "Wire"lub "Security Alert".
• Zmieniono magazyn haseł przeglądarki: Każde hasło przechowywane w menedżerach haseł Chrome, Edge, Firefox i Safari zostało zmienione z czystego urządzenia.
• Zapisano dzienniki kryminalistyczne i złożono oficjalne raporty: Złóż raporty w FBI IC3 (ic3.gov) i FTC (reportfraud.ftc.gov) w USA, Oszustwo w ramach akcji (actionfraud.police.uk) w Wielkiej Brytanii, Kanadyjskie Centrum ds. Zwalczania Nadużyć Finansowych lub Scamwatch (scamwatch.gov.au) w Australii. Zgłoś także plik binarny instalatora lub identyfikator połączenia connectwise.com/company/trust/report-abuse lub anydesk.com/en/abuse.

Często zadawane pytania¶

Oszust pokazał mi moją Podgląd zdarzeń systemu Windows i netstat w wierszu poleceń i był pełen tysięcy ostrzeżeń, błędów i połączeń „ADRES ZAGRANICZNY”. Czy mój komputer rzeczywiście został zhakowany, zanim do nich zadzwoniłem?¶

Nie. Obydwa `eventvwr` (Podgląd zdarzeń systemu Windows) i `netstat` to zwykłe narzędzia administracyjne wbudowane w każdą kopię systemu Windows, a oszuści wykorzystują je jako rekwizyty psychologiczne. Każdy zdrowy komputer z systemem Windows generuje tysiące rutynowych żółtych ostrzeżeń i czerwonych dzienników błędów w Podglądzie zdarzeń podczas normalnego uruchamiania i aktualizacji w tle oraz `netstat` wyświetla każde normalne połączenie w tle, które Twoja przeglądarka i system operacyjny nawiązuje z serwerami w chmurze jako „Adres obcy”. Twój komputer był całkowicie bezpieczny do chwili, gdy wykonałeś instrukcje osoby dzwoniącej, aby pobrać i uruchomić narzędzie zdalnego dostępu.

W jaki sposób oszust sprawił, że witryna mojego prawdziwego banku pokazała, że dokonał on przypadkowej wpłaty $40,000 na moje konto czekowe, jeśli nie uda im się włamać na serwer banku?¶

Po podłączeniu do komputera za pośrednictwem AnyDesk lub ScreenConnect oszust zaciemnia ekran na 15 sekund, następnie klika prawym przyciskiem myszy saldo bankowe w przeglądarce internetowej i klika **„Sprawdź” (`Developer Tools`)**. Spowoduje to otwarcie lokalnego tekstu HTML wyświetlanego na karcie przeglądarki. Oszust po prostu pisze `$45,200.00` nad twoim prawdziwym `$5,200.00` saldo i dodaje fałszywy odczyt linii tekstu `"ACH REFUND OVERPAYMENT +$40,000.00"` na ekranie. Ta zmiana istnieje tylko w pamięci tymczasowej karty przeglądarki (`DOM`) i znika po odświeżeniu strony (`F5`) lub sprawdź saldo w aplikacji na smartfonie. Ewentualnie przenoszą `$40,000` z własnego konta oszczędnościowego lub linii kredytowej na konto czekowe i zmień etykietę na ekranie, aby nakłonić Cię do przekazania im własnych pieniędzy.

Jeśli odinstalowałem AnyDesk lub UltraViewer z Panelu sterowania, czy mogę bezpiecznie włączyć ponownie Wi-Fi?¶

Zwykle nie bez sprawdzenia usług systemu Windows (`services.msc`) najpierw w trybie awaryjnym. Profesjonalne centra obsługi telefonicznej zajmujące się oszustwami technicznymi wiedzą, że ofiary często odinstalowują AnyDesk lub UltraViewer zaraz po rozłączeniu się. Dlatego w ciągu pierwszych dwóch minut od połączenia z komputerem oszuści rutynowo korzystają z cichego przesyłania plików, aby upuścić dodatkowy, ukryty plik **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) lub agenta **SimpleHelp**, który nie tworzy skrótu na pulpicie i ukrywa się w nim `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Chyba że sprawdzisz w trybie awaryjnym, że nie ma rogue `SYSTEM` istnieją usługi lub zaplanowane zadania albo wykonaj pełne czyszczenie systemu operacyjnego USB, ponowne połączenie z Wi-Fi może natychmiastowo przekazać kontrolę nad komputerem atakującemu.

Czy oszust może uzyskać dostęp do innych komputerów lub smartfonów w mojej domowej sieci Wi-Fi tylko dlatego, że zainstalowałem AnyDesk na jednym laptopie?¶

Instalacja AnyDesk lub ScreenConnect zagraża konkretnemu komputerowi, na którym uruchomiłeś instalator, a nie bezpośrednio telefonom lub innym laptopom. Jeśli jednak korzystasz z **synchronizacji haseł i sesji Google Chrome, Microsoft Edge lub Apple iCloud** na swoim laptopie i smartfonie, wszelkie hasła kradnięte przez oszusta lub zmiany na zainfekowanym laptopie będą miały wpływ na Twoje współdzielone konta w chmurze. Ponadto po podłączeniu do laptopa osoba atakująca może zalogować się na stronę administracyjną routera domowego (`192.168.1.1`), jeśli nadal używa domyślnego hasła administratora i zmień hasło routera `DNS` ustawienia. Po odizolowaniu zainfekowanego laptopa zresetuj router Wi-Fi do ustawień fabrycznych lub sprawdź jego ustawienia DNS i hasło administratora na czystym urządzeniu.

Powiązane przewodniki¶

• Pomoc techniczna dotycząca wyskakujących okienek i usuwania zdalnego pulpitu AnyDesk/TeamViewer
• Przejmowanie plików cookie sesji, złośliwe oprogramowanie kradnące informacje i unieważnianie hasła
• Fałszywe złośliwe oprogramowanie CAPTCHA ClickFix PowerShell Win + R w schowku i naprawa Lumma Infostealer
• Autoryzowane oszustwa związane z płatnościami push (APP): podszywanie się pod Zelle, Venmo i Faster Payments oraz prawa do zwrotu kosztów
• Naruszenie konta bankowego
• Numery alarmowe według kraju

Źródła i oficjalne wytyczne¶

• Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA), Federalne Biuro Śledcze (FBI), Agencja Bezpieczeństwa Narodowego (NSA) oraz Wielostanowe Centrum Wymiany i Analiz Informacji (MS-ISAC) (Stany Zjednoczone): Wspólne doradztwo w zakresie cyberbezpieczeństwa (AA23-025A): Ochrona przed złośliwym wykorzystaniem zdalnego monitorowania i zarządzania (RMM) Oprogramowanie.
• Biuro Ochrony Finansów Konsumentów (CFPB) (Stany Zjednoczone): Elektroniczne transfery środków (Regulation E, 12 CFR Part 1005) Oficjalne interpretacje i często zadawane pytania dotyczące nieautoryzowanych EFT i dostępu wywołanego oszustwem.
• Federalna Komisja Handlu (FTC) (Stany Zjednoczone): Jak wykrywać, unikać i zgłaszać oszustwa związane z pomocą techniczną.
• Narodowe Centrum Cyberbezpieczeństwa (NCSC) i Action Fraud (Wielka Brytania): Ochrona urządzeń przed nieautoryzowanymi narzędziami zdalnego dostępu i oszustwami związanymi z udostępnianiem ekranu.
• Centrum zaufania i bezpieczeństwa ConnectWise: Identyfikowanie i usuwanie fałszywych funkcji ScreenConnect (ConnectWise Control) Instancje Klienta.