Trojan de acesso remoto (ScreenConnect, AnyDesk, RustDesk, UltraViewer) golpe de suporte técnico: puxando Ethernet, eliminando serviços e congelamento de banco¶

Quando um golpista convence você a instalar uma ferramenta de área de trabalho remota ou executa um agente de monitoramento remoto em seu computador, ele obtém controle irrestrito e ao vivo sobre seu mouse, teclado, sistema de arquivos e sessões ativas do navegador. Ao exibir uma falsa verificação de segurança ou uma cortina preta de privacidade em seu monitor, o operador drena silenciosamente as contas correntes, coleta senhas salvas e instala serviços persistentes em segundo plano que sobrevivem às reinicializações padrão. Este guia fornece etapas imediatas para cortar o link de dados do invasor, erradicar permanentemente os serviços de acesso remoto autônomos e bloquear sua infraestrutura bancária e de crédito antes que os fundos saiam da rede bancária.

Faça isso agora¶

1. Corte toda a conectividade com a Internet física e imediatamente. Desconecte o cabo Ethernet da parte traseira do seu desktop ou roteador, gire o botão Wi-Fi físico do seu laptop ou pressione e segure o botão liga/desliga do seu roteador Wi-Fi por 10 segundos até que todas as luzes se apaguem. Não perca tempo tentando lutar contra o golpista pelo controle do cursor do mouse para clicar no botão de desconexão.
2. Force o desligamento do computador comprometido se a tela estiver escurecida. Se o invasor tiver habilitado o "Monitor de convidado em branco" ou bloqueado a entrada do teclado, pressione e segure o botão liga/desliga físico do computador por 10 segundos completos até que a máquina desligue completamente. Deixe-o desligado enquanto protege suas contas financeiras em um dispositivo limpo e separado.
3. Ligue para o departamento de fraude do seu banco a partir de um telefone independente. Use um telefone celular para ligar para o número oficial impresso no verso do seu cartão de débito ou crédito ou ligue para o número de emergência local (911 nos Estados Unidos e Canadá, 112 na União Europeia, 999 no Reino Unido) se estiver ocorrendo uma ameaça ativa de extorsão; ver números de emergência para contatos internacionais. Instrua o banco a congelar imediatamente todas as contas correntes, de poupança e de linha de crédito e exija um recall de emergência em qualquer Câmara de Compensação Automatizada (ACH), transferência bancária ou transferência de pagamento em tempo real pendente.
4. Revogue cookies de sessão ativa e altere senhas de um smartphone limpo. Usando seu telefone com dados de celular (não conectado ao Wi-Fi doméstico se o PC comprometido estiver ligado novamente), faça login em seu e-mail principal, portais bancários e contas de armazenamento em nuvem. Encerre todas as sessões de login ativas, revogue dispositivos de autenticação multifator (MFA) não reconhecidos e alterne suas senhas.
5. Inicie o computador infectado no modo de segurança sem rede. Somente ligue novamente o computador comprometido enquanto estiver desconectado da Internet, entrando no modo de segurança do Windows ou no modo de segurança do macOS para inspecionar e remover serviços em segundo plano autônomos (ScreenConnect Client, AnyDesk Service, RustDesk Service) antes que o sistema operacional carregue drivers de rede de terceiros.

Compreender a anatomia de um RMM comercial e de um ataque a desktop remoto¶

Golpes modernos de suporte técnico, fraudes de reembolso e ataques de falsificação de identidade bancária raramente dependem de vírus de computador personalizados. Em vez disso, os agentes de ameaças abusam do monitoramento e gerenciamento remoto legítimo e assinado digitalmente (RMM) software e ferramentas comerciais de desktop remoto. Como esses executáveis ​​carregam certificados de assinatura de código criptográfico válidos de fornecedores de software confiáveis, programas antivírus padrão como o Windows Defender ou o macOS XProtect não bloqueiam sua instalação.

Como os invasores transformam binários legítimos de suporte remoto em armas¶

Quando uma vítima liga para um número gratuito exibido em um pop-up falso de navegador, responde a um e-mail de fatura urgente ou segue instruções de um falso investigador de fraude bancária, a operadora a orienta a baixar um executável ou instalador MSI. As plataformas mais abusadas incluem:

• ConnectWise ScreenConnect (anteriormente Control): Geralmente implantado por meio de um .msi ou .exe pacote hospedado em um servidor controlado pelo invasor. Uma vez executado, ele é instalado como um serviço de sistema Windows persistente (ScreenConnect Client (xxxx)) correndo com NT AUTHORITY\SYSTEM privilégios, garantindo acesso silencioso e autônomo sempre que o computador estiver online.
• AnyDesk (anydesk.exe): Frequentemente usado em golpes de plataforma cruzada direcionados ao Windows, macOS e dispositivos móveis. Os invasores instruem a vítima a ler em voz alta o endereço AnyDesk de 9 dígitos, solicitar elevação administrativa e definir uma “senha de acesso autônomo” para reconectar enquanto a vítima dorme.
• ** RustDesk (rustdesk.exe):** Uma ferramenta de desktop remoto de código aberto preferida por sindicatos fraudulentos porque eles podem auto-hospedar servidores de retransmissão, evitando remoções por abuso de fornecedores.
• UltraViewer, TeamViewer, Zoho Assist e SimpleHelp: Geralmente encadeados. Um golpista que se conecta via UltraViewer ou AnyDesk geralmente instala silenciosamente um aplicativo oculto ScreenConnect ou SimpleHelp pacote em segundo plano como um backdoor de backup.

Fluxo de trabalho de emergência: corte da conexão e triagem de danos¶

Use o fluxograma operacional a seguir para interromper uma sessão remota ativa, isolar a estação de trabalho e determinar se a máquina pode ser limpa no Modo de Segurança ou se requer uma limpeza completa do sistema operacional.

flowchart TD
    A["Golpe de acesso remoto ativo ou recente detectado"] --> B["Desconecte fisicamente o cabo Ethernet e desligue o roteador Wi-Fi"]
    B --> C{"A tela está apagada ou o mouse está bloqueado?"}
    C -- "Sim" --> D["Segure o botão de energia física do PC por 10 segundos para forçar o desligamento"]
    C -- "Não" --> E["Ligue o modo avião e desligue o PC normalmente"]
    D --> F["Use smartphone limpo em dados de celular para ligar para o departamento de fraude bancária"]
    E --> F
    F --> G["Congelar verificação/poupança, cancelar transferências/Zelle, bloquear agências de crédito"]
    G --> H["Do smartphone limpo: alterne senhas de e-mail/banco e elimine sessões"]
    H --> I{"O golpista teve acesso autônomo ou executou CMD/PowerShell?"}
    I -- "Sim (alto risco)" --> J["Inicialize o PC off-line no modo de segurança para resgatar apenas documentos pessoais"]
    I -- "Não (breve sessão supervisionada)" --> K["Inicialize offline no modo de segurança para limpar serviços e certificados RMM"]
    J --> L["Execute a reinstalação completa do sistema operacional via mídia USB do PC limpo"]
    K --> M["Remover serviços, tarefas agendadas, AppData e extensões de navegador de auditoria"]

Comparação de ferramentas de acesso remoto usadas por golpistas¶

Antes de tentar limpar uma máquina ou relatar o incidente à equipe de fraude forense do seu banco, identifique quais ferramentas remotas foram instaladas. Lembre-se de que os golpistas instalam rotineiramente duas ou três ferramentas diferentes durante uma única sessão para que, se você desinstalar o ícone visível na área de trabalho, o serviço secundário oculto permaneça ativo.

Triagem bancária e financeira passo a passo (primeiros 30 minutos)¶

Num golpe de acesso remoto, a infecção do computador é apenas o mecanismo de entrega; a emergência primária é o roubo financeiro agudo. Os invasores usam truques psicológicos e técnicos, como editar o código-fonte HTML (Inspect Element) da página do seu banco para simular um acidente $40,000 pagamento excessivo em vez de $400, para induzi-lo a transferir dinheiro, comprar cartões-presente ou depositar dinheiro em um caixa eletrônico Bitcoin. Mesmo que você se recuse a enviar dinheiro, um invasor com acesso remoto poderá iniciar transferências diretamente enquanto sua tela estiver apagada.

1. Coloque um congelamento imediato e inicie recalls de transferência¶

Ligue imediatamente para o departamento dedicado à fraude da sua instituição financeira usando um telefone limpo. Declare claramente: "Meu computador foi comprometido por um trojan de acesso remoto durante um golpe de suporte técnico/falsificação de identidade bancária. Uma parte não autorizada teve acesso ao vivo à minha sessão bancária on-line." Exija as seguintes ações específicas:

• Bloqueio de perfil de banco on-line: Faça com que o banco desative totalmente suas credenciais de login de banco on-line e móvel e invalide todos os tokens OAuth ativos e cookies de sessão.
• ** Rechamada ACH, Wire e RTP (SWIFT / Fedwire / Faster Payments):** Peça ao representante para inspecionar sua conta em busca de qualquer Câmara de Compensação Automatizada de saída pendente ou na fila (ACH) transferências, transferências bancárias nacionais/internacionais, Zelle / Venmo pagamentos ou cheques de "pagamento de contas" agendados para datas futuras. Os golpistas costumam agendar um cheque de pagamento de contas ou uma transferência ACH pós-datada definida para ser executada de 3 a 5 dias depois, na esperança de que você não perceba.
• Substituição de número de conta: como o invasor provavelmente visualizou o roteamento completo e os números de conta corrente (ou baixou extratos bancários em PDF do seu navegador), congelar o cartão de débito por si só é insuficiente. Você deve solicitar que o banco feche os números de contas comprometidas e faça a transição de seus saldos para números de contas totalmente novos com "Publicar sem débitos" (PND) restrições nas contas antigas.
• Verifique se há transferências internas ocultas ou adiantamentos em dinheiro: Os invasores frequentemente recebem um adiantamento em dinheiro do seu cartão de crédito vinculado ou linha de crédito de Home Equity (HELOC) e transfira-o primeiro para sua conta corrente, seja para fazer você acreditar que eles "reembolsaram acidentalmente" você ou para reunir a liquidez máxima antes de transferir o saldo combinado para o exterior. Informe ao especialista em fraudes bancárias para verificar se ocorreu alguma transferência intrabancária entre suas contas de poupança, cartão de crédito ou corretagem.

2. Congelar agências de crédito e verificar novos pedidos de empréstimo¶

Enquanto estão conectados ao seu PC, os golpistas vasculham rotineiramente o seu Downloads ou Documents pastas para palavras-chave como tax, 1040, W2, passport, license, ou password e exfiltre suas declarações fiscais e verificações de identidade.

1. Faça um Congelamento de Segurança gratuito em todas as principais agências de crédito imediatamente usando seu smartphone limpo:
2. Nos Estados Unidos: Congelar Equifax (1-888-298-0045), Experian (1-888-397-3742), TransUnion (1-800-916-8800) e ChexSystems (1-800-428-9687).
3. No Reino Unido: entre em contato com Experian, Equifax e TransUnion e registre-se no Cifas Protective Registration.
4. No Canadá: Coloque congelamentos de crédito ou alertas de fraude com Equifax Canada e TransUnion Canada.
5. Na Austrália: solicite uma proibição de crédito por meio de Equifax, Illion e Experian.
6. Revise seu relatório de crédito imediatamente para consultas difíceis feitas nas últimas 24 horas; os golpistas geralmente solicitam empréstimos pessoais on-line instantâneos em uma guia do navegador em segundo plano enquanto conversam com você.

Erradicando serviços de acesso remoto no modo de segurança (Windows e macOS)¶

Se você decidir inspecionar a máquina, preservar registros forenses para aplicação da lei ou resgatar fotos pessoais insubstituíveis antes de limpar o disco rígido, nunca inicialize o computador no modo normal enquanto estiver conectado à Internet. No momento em que uma inicialização normal é concluída com o Wi-Fi ativo, um persistente ScreenConnect ou AnyDesk O serviço ligará para o console do golpista e o alertará de que sua máquina está online novamente.

Fase 1: Inicializando no modo de segurança sem rede¶

No Windows 10 e Windows 11¶

1. Certifique-se de que o cabo Ethernet esteja desconectado e o roteador Wi-Fi doméstico esteja desconectado ou o modo avião esteja ativo.
2. Ligue o PC. Na tela de login do Windows, mantenha pressionada a tecla Left Shift enquanto clica em Power -> Restart.
3. Na tela azul de recuperação, selecione Solucionar problemas -> Opções avançadas -> Configurações de inicialização -> Reiniciar.
4. Quando a lista de opções de inicialização aparecer, pressione 4 ou F4 (Enable Safe Mode). Não pressione 5 (Safe Mode with Networking).

No macOS (Apple Silicon e Intel)¶

1. Desligue o Mac e desligue o roteador Wi-Fi.
2. Silicone de Maçã (M1/M2/M3/M4): Segure o botão Power até que "Carregando opções de inicialização" apareça. Selecione seu disco de inicialização, segure Shift e clique em Continuar no modo de segurança.
3. Intel Mac: ligue o Mac e segure imediatamente a tecla Shift até que a janela de login apareça.

Fase 2: Busca e encerramento de serviços persistentes do Windows¶

A desinstalação padrão via "Adicionar ou Remover Programas" muitas vezes não consegue remover programas personalizados ScreenConnect O MSI é criado porque os invasores removem a entrada do desinstalador do Registro do Windows ou implantam várias instâncias com nomes de serviço hexadecimais aleatórios.

1. No modo de segurança do Windows, pressione Win + R, digite services.msce pressione Enter.
2. Clique na coluna Nome para classificar em ordem alfabética e inspecione cuidadosamente cada serviço em busca dos seguintes nomes:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Nota: Pode haver dois ou três ScreenConnect Client entradas com diferentes sequências alfanuméricas de 16 caracteres entre parênteses, onde cada uma representa um servidor scammer diferente).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent ou SimpleHelp Remote Access
9. Para cada serviço suspeito que você encontrar, clique com o botão direito e selecione Propriedades.
10. Leia o campo Caminho para o executável com atenção e anote-o (por exemplo, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Altere o menu suspenso Tipo de inicialização para Desativado, clique em Parar (se estiver em execução) e clique em Aplicar e OK.
12. Em seguida, abra um prompt de comando elevado (Win + X -> Terminal (Admin) ou Prompt de comando (Admin)) e exclua permanentemente os registros de serviço usando o nome exato do serviço listado na janela de propriedades:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Para ScreenConnect, consulte todas as instâncias instaladas e exclua cada uma delas pelo nome exato da chave de serviço:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Fase 3: Eliminando tarefas agendadas, pastas de inicialização e diretórios ocultos¶

Mesmo após a exclusão de um serviço do Windows, os invasores geralmente configuram uma tarefa agendada que baixa novamente o agente remoto via powershell.exe ou mshta.exe toda vez que um usuário faz login.

1. Pressione Win + R, digite taskschd.msce pressione Enter para abrir o Agendador de tarefas.
2. Clique em Biblioteca do Agendador de Tarefas no painel esquerdo. Expanda cada subpasta e inspecione a guia Ações de cada tarefa agendada. Exclua qualquer tarefa que inicie binários de C:\Users\<User>\AppData\, C:\ProgramData\, ou invoca curl, bitsadmin, powershell -WindowStyle Hiddenou qualquer executável de área de trabalho remota.
3. Pressione Win + R, digite shell:startupe pressione Enter. Exclua quaisquer atalhos ou .bat / .vbs scripts colocados na pasta de inicialização do usuário. Repita isso digitando shell:common startup para inspecionar a pasta de inicialização de todo o sistema.
4. Habilite a visualização de arquivos ocultos no Explorador de Arquivos (Exibir -> Mostrar -> Itens ocultos) e exclua manualmente os diretórios de aplicativos e caches de configuração para todas as ferramentas remotas:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ e C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ e C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ e C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Fase 4: Removendo macOS LaunchDaemons, LaunchAgents e Privacy Grants¶

No macOS, as ferramentas de acesso remoto estabelecem persistência por meio de LaunchDaemons (em todo o sistema) e LaunchAgents (nível de usuário), combinado com macOS TCC Permissões (transparência, consentimento e controle) para Gravação de tela e Acessibilidade.

1. No modo de segurança do macOS (off-line), abra o Finder e pressione Cmd + Shift + G (Go to Folder) e inspecione os três diretórios a seguir, um por um:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Arraste qualquer .plist arquivos contendo connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, ou simplehelp para o Lixo.
6. A seguir, abra /Applications/ e /Library/Application Support/ e mova quaisquer pacotes de aplicativos de acesso remoto e pastas de suporte correspondentes para a Lixeira.
7. Abra Configurações do sistema -> Privacidade e segurança. Verifique duas seções críticas:
8. Gravação de áudio da tela e do sistema: Selecione qualquer ferramenta de suporte remoto listada e clique no sinal de menos (-) para revogar sua capacidade de visualizar sua tela.
9. Acessibilidade: selecione qualquer ferramenta de suporte remoto e clique no sinal de menos (-) para revogar sua capacidade de controlar o cursor do mouse e sintetizar as teclas digitadas.
10. Acesso total ao disco: Verifique se nenhum aplicativo desconhecido ou wrapper de terminal recebeu acesso total ao disco.

Revertendo bloqueios de senha do Windows e banners de inicialização falsos¶

Antes de desconectar, os golpistas vingativos frequentemente bloqueiam o acesso das vítimas aos seus computadores e exigem um resgate pela senha. Eles usam três métodos principais:

1. Alterando sua senha local do Windows (net user) ou adicionando uma conta de administrador não autorizada¶

Enquanto a cortina de tela está ativa, os golpistas geralmente abrem um prompt de comando elevado e executam net user <YourUsername> <NewPassword> ou crie uma conta de administrador backdoor (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Como verificar e corrigir: No modo de segurança, abra um prompt de comando elevado (cmd.exe como Administrador) e digite net user. Se você vir uma conta desconhecida, exclua-a imediatamente com net user <RogueAccountName> /delete. Se sua senha local foi alterada, inicialize a partir de um USB de instalação do Windows no ambiente de recuperação do Windows (WinRE) para restaurar um ponto de restauração do sistema anterior ou entre com sua conta da Microsoft vinculada após redefinir sua senha em um smartphone limpo.

2. Habilitando um banner de mensagem de inicialização via Registro (LegalNoticeCaption)¶

Os golpistas costumam modificar HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System configurando LegalNoticeCaption e LegalNoticeText para exibir um número de telefone falso de bloqueio de segurança da Microsoft antes do login. * Como corrigir: Esta é apenas uma tela de texto cosmética antes do prompt normal de login do Windows. Clique em OK ou pressione Enter para ignorar, abra regedit no modo de segurança, vá para HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systeme limpe o texto dentro LegalNoticeCaption e LegalNoticeText.

3. Bloqueios de PIN de inicialização segura (bcdedit)¶

Microsoft removeu o legado syskey.exe ferramenta no Windows 10 versão 1709. Hoje, os golpistas marcam Inicialização segura dentro msconfig e reinicie o seu PC offline. Como os PINs do Windows Hello geralmente falham na tela de login do Modo de Segurança sem acesso à rede, as vítimas ficam presas em um loop de inicialização. * Como corrigir: Segure Shift + Reiniciar na tela de login, selecione Solucionar problemas -> Opções avançadas -> Prompt de comando e execute:

bcdedit /deletevalue {current} safeboot

Reinicie o computador normalmente (mantendo o roteador de internet desconectado) para poder fazer login com sua senha ou PIN em cache e remover o software remoto.

Por que o roubo de sessão do navegador e os infostealers exigem uma limpeza completa do sistema operacional¶

Mesmo se você excluir o ScreenConnect, AnyDesk, ou RustDesk serviços no modo de segurança, você deve avaliar se o golpista implantou um Infostealer secundário (Lumma, RedLine, Vidar, Stealc) ou copiou o diretório de perfil do seu navegador.

Durante uma sessão remota autônoma, leva menos de 8 segundos para um invasor executar um script do PowerShell que copia seu diretório de dados de usuário do Google Chrome, Microsoft Edge ou Brave (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) junto com o local DPAPI chave mestra de descriptografia. Com esses arquivos em seu servidor, o invasor possui:

1. Todas as senhas salvas no gerenciador de senhas integrado do seu navegador.
2. Cookies de sessão ativa (Cookies e Network\Cookies Bancos de dados SQLite): Mesmo que seu e-mail ou banco use autenticação de dois fatores (2FA), possuir seu cookie de token de sessão descriptografado permite que o invasor importe seu perfil de navegador para um navegador antidetectado em sua máquina e acesse sua conta do Gmail, Outlook, Amazon ou exchange de criptomoedas sem precisar de uma senha ou 2FA código.
3. Cofres de carteira de criptomoeda baseados em navegador (MetaMask, Phantom, Rabby): Arquivos do vault criptografados dentro Local Extension Settings são exfiltrados para força bruta offline.

Quando você deve executar uma reinstalação limpa do sistema operacional USB¶

Embora a remoção do serviço no Modo de segurança seja suficiente se você pegou o golpista 10 segundos após a instalação do AnyDesk e nunca concedeu a ele elevação de administrador ou acesso não supervisionado, você deve limpar a unidade e executar uma instalação limpa do sistema operacional a partir de um pendrive se ocorrer algum dos seguintes:

• Sua tela ficou preta (Blank Guest Monitor) ou seu mouse/teclado foi bloqueado.
• Você viu um prompt de comando (cmd.exe) ou a janela do PowerShell pisca na tela.
• Você deixou o computador sem supervisão enquanto o golpista executava uma falsa verificação de segurança.
• Você instalou ConnectWise ScreenConnect (que funciona como SYSTEM por padrão e permite a execução de scripts de shell em segundo plano invisível).

Para realizar uma reinstalação segura: 1. Enquanto estiver off-line no modo de segurança, conecte uma unidade flash USB nova no PC comprometido e copie apenas arquivos de dados pessoais (.jpg, .pdf, .docx, .xlsx, vídeos de família). Nunca copie .exe, .msi, .bat, .ps1ou pastas de perfil do navegador. 2. Usando um computador diferente e limpo, baixe a ferramenta oficial de criação do Windows Media da Microsoft (microsoft.com/software-download) ou crie um instalador inicializável do macOS. 3. Inicialize o PC comprometido a partir do instalador USB limpo, exclua todas as partições existentes na unidade principal (Drive 0) e instale uma nova cópia do sistema operacional.

Preservando seu direito legal ao reembolso bancário¶

Os bancos frequentemente tentam negar pedidos de reembolso fraudulentos em golpes de acesso remoto, argumentando que, por ter clicado em “Baixar” no AnyDesk ou ScreenConnect, você “autorizou” as transações ou agiu com negligência grave. Saber como funcionam as proteções bancárias legais ao consumidor em sua jurisdição é fundamental ao falar com o juiz de reclamações de fraude do seu banco.

Nos Estados Unidos: Lei de Transferência Eletrônica de Fundos (EFTA) e Regulation E (12 CFR § 1005)¶

De acordo com a Lei Federal de Transferência Eletrônica de Fundos (Regulation E), o Gabinete de Proteção Financeira do Consumidor (CFPB) emitiu orientações oficiais de supervisão afirmando que: * O acesso induzido ainda é uma "Transferência Eletrônica de Fundos Não Autorizada": Em 12 CFR § 1005.2(m), uma transferência eletrônica de fundos iniciada por uma pessoa que obteve acesso à conta de um consumidor por meio de fraude ou roubo é definida por lei como uma EFT não autorizada, mesmo que o consumidor tenha sido induzido a fornecer uma senha, um código de acesso único ou a instalar software de desktop remoto. * Negligência não pode ser usada para negar sua reivindicação: A Interpretação Oficial do CFPB de Regulation E (Comment 6(b)-2) afirma que a negligência do consumidor (como cair em um pop-up de phishing ou conceder acesso remoto à área de trabalho a um golpista) não pode ser usada por um banco para impor maior responsabilidade ao consumidor do que Regulation E permite ($50 máximo se comunicado dentro de 2 dias úteis; $500 máximo em 60 dias). * Distinguir entre transferências clicadas por golpistas e transferências clicadas por consumidores: Se o golpista moveu o mouse e clicou em "Enviar" atrás de uma tela preta durante a sessão AnyDesk/ScreenConnect, é uma EFT não autorizada coberta por Regulation E. Informe o banco por escrito: "Eu não iniciei, autorizei ou cliquei no botão para esta transferência; um agente de ameaça criminosa executou a transferência remotamente usando um Trojan de acesso remoto enquanto bloqueava minha tela, o que constitui uma EFT não autorizada sob 12 CFR § 1005.2(m)." Anexe seu documento preservado. connection_trace.txt log ou logs do Gerenciador de Controle de Serviços do Visualizador de Eventos do Windows (Event ID 7045 mostrando o minuto exato em que ScreenConnect ou AnyDesk serviço foi instalado) como prova forense.

No Reino Unido, União Europeia, Canadá e Austrália¶

• Reino Unido (PSR & FOS): Se o golpista controlou seu computador diretamente para movimentar fundos, denuncie isso como um Pagamento não autorizado de acordo com o Regulamento de serviços de pagamento de 2017. Se o golpista manipulou sua tela (Inspect Element reembolso falso) para induzi-lo a autorizar um pagamento mais rápido, relate-o sob o regulador de serviços de pagamento (PSR) obrigatório Pagamento Push Autorizado (APP) Fraude regras de reembolso e encaminhe qualquer negação ao Serviço de Ouvidoria Financeira (FOS).
• União Europeia, Canadá e Austrália: Relate o incidente imediatamente ao seu banco e à polícia nacional, enfatizando que um trojan de acesso remoto executou ou manipulou a sessão. Encaminhar disputas bancárias não resolvidas para o Ombudsman de Serviços Bancários e Investimentos (OBSI) no Canadá ou na Autoridade Australiana de Reclamações Financeiras (AFCA) na Austrália sob o ePayments Code.

Lista de verificação de relatórios e remediação pós-incidente¶

Conclua todos os itens desta lista de verificação antes de reconectar sua rede doméstica ou retomar o serviço bancário on-line normal:

• Isolamento físico confirmado: O computador comprometido foi fisicamente desconectado da Ethernet e do Wi-Fi antes de qualquer solução de problemas adicional.
• Contas bancárias congeladas e renumeradas: Todos os números de contas correntes, poupança e HELOC visíveis no computador foram fechados e reemitidos com novos números de conta.
• Pagamento de contas programado e filas ACH eliminadas: Verificado com um supervisor bancário que não há cheques de pagamento de contas com datas futuras, links de bancos externos (Plaid) ou instruções de fio permanente foram adicionadas durante a sessão remota.
• Congelamentos de crédito ativos: Congelamentos de segurança realizados com Equifax, Experian, TransUnion e ChexSystems.
• Regras de encaminhamento de e-mail auditadas: Faça login no Gmail/Outlook/Yahoo a partir de um smartphone limpo e verifique Configurações -> Encaminhamento e POP/IMAP e Regras/Filtros para regras ocultas que excluem ou encaminham automaticamente e-mails contendo "Bank", "Fraud", "Wire", ou "Security Alert".
• Cofre de senha do navegador girado: todas as senhas armazenadas nos gerenciadores de senhas Chrome, Edge, Firefox ou Safari foram alteradas em um dispositivo limpo.
• Registros forenses salvos e relatórios oficiais arquivados: Arquivar relatórios com o FBI IC3 (ic3.gov) e FTC (reportfraud.ftc.gov) nos EUA, Ação Fraude (actionfraud.police.uk) no Reino Unido, o Centro Canadense Antifraude ou Scamwatch (scamwatch.gov.au) na Austrália. Informe também o binário do instalador ou o ID de conexão para connectwise.com/company/trust/report-abuse ou anydesk.com/en/abuse.

Perguntas frequentes¶

O golpista me mostrou meu Visualizador de Eventos do Windows e netstat no prompt de comando e estava cheio de milhares de avisos, erros e conexões de "ENDEREÇO ​​ESTRANGEIRO". Meu computador foi realmente hackeado antes de eu ligar para eles?¶

Não. Ambos `eventvwr` (Visualizador de eventos do Windows) e `netstat` são utilitários administrativos normais integrados em cada cópia do Windows, e os golpistas os abusam como acessórios psicológicos. Todo computador Windows saudável gera milhares de logs de rotina de aviso amarelo e erro vermelho no Visualizador de eventos durante inicializações normais e atualizações em segundo plano, e `netstat` lista todas as conexões normais em segundo plano que seu navegador e sistema operacional fazem com servidores em nuvem como um “Endereço Estrangeiro”. Seu computador estava completamente seguro até o momento em que você seguiu as instruções do chamador para baixar e executar a ferramenta de acesso remoto.

Como o golpista fez o site do meu banco real mostrar que ele depositou acidentalmente $40,000 na minha conta corrente se não conseguirem hackear o servidor do banco?¶

Enquanto estiver conectado ao seu computador via AnyDesk ou ScreenConnect, o golpista desliga a tela por 15 segundos, clica com o botão direito do mouse no seu saldo bancário no navegador da web e clica em **"Inspecionar" (`Developer Tools`)**. Isso abre o texto HTML local exibido na guia do navegador. O golpista simplesmente digita `$45,200.00` sobre o seu real `$5,200.00` equilíbrio e adiciona uma leitura de linha de texto falsa `"ACH REFUND OVERPAYMENT +$40,000.00"` na sua tela. Esta edição existe apenas dentro da memória temporária da aba do seu navegador (`DOM`) e desaparece no instante em que você atualiza a página (`F5`) ou verifique seu saldo no aplicativo do seu smartphone. Alternativamente, eles transferem `$40,000` de sua própria conta poupança ou linha de crédito para sua conta corrente e renomear a tela para induzi-lo a transferir seu próprio dinheiro para eles.

Se eu desinstalar AnyDesk ou UltraViewer do Painel de Controle, posso ligar meu Wi-Fi novamente?¶

Normalmente não sem inspecionar os serviços do Windows (`services.msc`) primeiro no modo de segurança. Os call centers profissionais de suporte técnico sabem que as vítimas geralmente desinstalam o AnyDesk ou o UltraViewer assim que desligam. Portanto, nos primeiros dois minutos após a conexão ao seu PC, os golpistas costumam usar a transferência silenciosa de arquivos para descartar um **ConnectWise ScreenConnect** secundário e oculto (`ScreenConnect.ClientService.exe`) ou agente **SimpleHelp** que não cria um atalho na área de trabalho e se esconde dentro `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. A menos que você verifique no Modo de Segurança que nenhum invasor `SYSTEM` Se existirem serviços ou tarefas agendadas, ou executar uma limpeza completa do sistema operacional USB, reconectar-se ao Wi-Fi pode devolver imediatamente o controle do seu PC ao invasor.

Um golpista pode acessar outros computadores ou smartphones na minha rede Wi-Fi doméstica só porque instalei o AnyDesk em um laptop?¶

A instalação do AnyDesk ou ScreenConnect compromete o computador específico onde você executou o instalador, e não seus telefones ou outros laptops diretamente. No entanto, se você usar **Google Chrome, Microsoft Edge ou sincronização de sessão e senha do Apple iCloud** em seu laptop e smartphone, quaisquer senhas que o golpista roubar ou alterar no laptop infectado afetarão suas contas compartilhadas na nuvem. Além disso, enquanto estiver conectado ao seu laptop, um invasor pode fazer login na página de administração do seu roteador doméstico (`192.168.1.1`) se ainda usar a senha de administrador padrão e alterar a senha do seu roteador `DNS` configurações. Depois de isolar o laptop infectado, redefina seu roteador Wi-Fi de fábrica ou verifique suas configurações de DNS e senha de administrador em um dispositivo limpo.

Guias relacionados¶

• Golpe de pop-up de suporte técnico e remoção de AnyDesk/TeamViewer de área de trabalho remota
• Sequestro de cookies de sessão, malware infostealer e revogação de senha
• Malware falso CAPTCHA ClickFix PowerShell Win+R da área de transferência e correção do Lumma Infostealer
• Fraude de aplicativo de pagamento push autorizado (APP): representação de Zelle, Venmo e Faster Payments e direitos de reembolso
• Violação de conta bancária
• Números de emergência por país

Fontes e orientações oficiais¶

• Agência de Segurança Cibernética e de Infraestrutura (CISA), Departamento Federal de Investigação (FBI), Agência de Segurança Nacional (NSA) e Centro Multiestadual de Compartilhamento e Análise de Informações (MS-ISAC) (Estados Unidos): Aconselhamento conjunto sobre segurança cibernética (AA23-025A): Proteção contra o uso malicioso de monitoramento e gerenciamento remoto (RMM) Software.
• Departamento de Proteção Financeira do Consumidor (CFPB) (Estados Unidos): Transferências Eletrônicas de Fundos (Regulation E, 12 CFR Part 1005) Interpretações oficiais e perguntas frequentes sobre EFTs não autorizados e acesso induzido de forma fraudulenta.
• Comissão Federal de Comércio (FTC) (Estados Unidos): Como identificar, evitar e denunciar golpes de suporte técnico.
• Centro Nacional de Segurança Cibernética (NCSC) e Action Fraud (Reino Unido): Proteção de dispositivos contra ferramentas de acesso remoto não autorizadas e fraude de compartilhamento de tela.
• ConnectWise Trust & Security Response Center: Identificando e removendo Rogue ScreenConnect (ConnectWise Control) Instâncias de cliente.