Мошенничество с технической поддержкой трояна удаленного доступа (ScreenConnect, AnyDesk, RustDesk, UltraViewer): вытягивание Ethernet, уничтожение сервисов и замораживание банков¶

Когда мошенник убеждает вас установить инструмент удаленного рабочего стола или запускает на вашем компьютере агент удаленного мониторинга, он получает прямой и неограниченный контроль над вашей мышью, клавиатурой, файловой системой и активными сеансами браузера. Отображая на вашем мониторе поддельное сканирование безопасности или черную занавеску конфиденциальности, оператор молча опустошает текущие учетные записи, собирает сохраненные пароли и устанавливает постоянные фоновые службы, которые выдерживают стандартные перезагрузки. В этом руководстве представлены немедленные шаги по отключению канала передачи данных злоумышленника, окончательному уничтожению автоматических служб удаленного доступа и блокировке вашей банковской и кредитной инфраструктуры до того, как средства покинут проводную сеть.

Сделай это сейчас¶

1. Немедленно и физически отключите все подключения к Интернету. Отсоедините кабель Ethernet от задней панели настольного компьютера или маршрутизатора, включите физический переключатель Wi-Fi на ноутбуке или нажмите и удерживайте кнопку питания на маршрутизаторе Wi-Fi в течение 10 секунд, пока все индикаторы не погаснут. Не тратьте время, пытаясь бороться с мошенником за управление курсором мыши для нажатия кнопки отключения.
2. Принудительно выключите зараженный компьютер, если экран затемнен. Если злоумышленник включил «Пустой гостевой монитор» или заблокировал ввод с клавиатуры, нажмите и удерживайте физическую кнопку питания вашего компьютера в течение 10 полных секунд, пока компьютер не выключится полностью. Оставьте его выключенным, пока вы защищаете свои финансовые счета с помощью отдельного чистого устройства.
3. Позвоните в отдел по борьбе с мошенничеством вашего банка с независимого телефона. Используйте сотовый телефон, чтобы позвонить по официальному номеру, указанному на обратной стороне вашей дебетовой или кредитной карты, или позвоните на местный номер службы экстренной помощи (911 в США и Канаде, 112 в Европейском Союзе, 999 в Великобритании), если возникает активная угроза вымогательства; видеть номера экстренных служб для международных контактов. Поручите банку немедленно заморозить все чековые, сберегательные и кредитные счета и потребовать экстренного отзыва любых ожидающих платежных переводов через Автоматизированную клиринговую палату (ACH), банковские переводы или переводы в режиме реального времени.
4. Отмените активные файлы cookie сеанса и измените пароли с чистого смартфона. Используя телефон для передачи данных по сотовой сети (не подключенный к домашнему Wi-Fi, если взломанный компьютер снова включен), войдите в свою основную электронную почту, на банковские порталы и в учетные записи облачного хранилища. Завершите все активные сеансы входа в систему, отзовите нераспознанные устройства многофакторной аутентификации (MFA) и поменяйте свои пароли.
5. Загрузите зараженный компьютер в безопасном режиме без подключения к сети. Снова включайте зараженный компьютер только при отключении от Интернета и входе в безопасный режим Windows или безопасный режим macOS, чтобы проверить и удалить необслуживаемые фоновые службы (ScreenConnect Client, AnyDesk Service, RustDesk Service) до того, как операционная система загрузит сторонние сетевые драйверы.

Понимание анатомии коммерческого RMM и атаки на удаленный рабочий стол¶

Современное мошенничество с технической поддержкой, мошенничество с возвратом денег и атаки с использованием банковских функций редко основаны на специально написанных компьютерных вирусах. Вместо этого злоумышленники злоупотребляют законными средствами удаленного мониторинга и управления с цифровой подписью (RMM) программное обеспечение и коммерческие инструменты удаленного рабочего стола. Поскольку эти исполняемые файлы имеют действующие сертификаты подписи криптографического кода от доверенных поставщиков программного обеспечения, стандартные антивирусные программы, такие как Защитник Windows или macOS XProtect, не блокируют их установку.

Как злоумышленники используют законные двоичные файлы удаленной поддержки в качестве оружия¶

Когда жертва звонит по бесплатному номеру, отображаемому во всплывающем окне поддельного браузера, отвечает на срочное электронное письмо со счетом или следует инструкциям следователя по фальшивому банковскому мошенничеству, оператор предлагает ей загрузить исполняемый файл или установщик MSI. К наиболее часто злоупотребляемым платформам относятся:

• ConnectWise ScreenConnect (ранее Control): часто развертывается через .msi или .exe пакет, размещенный на сервере, контролируемом злоумышленником. После выполнения он устанавливается как постоянная системная служба Windows (ScreenConnect Client (xxxx)) бегу с NT AUTHORITY\SYSTEM привилегии, предоставляющие тихий, автоматический доступ, когда компьютер находится в сети.
• AnyDesk (anydesk.exe): Часто используется в кроссплатформенных мошеннических действиях, нацеленных на Windows, macOS и мобильные устройства. Злоумышленники поручают жертве прочитать вслух 9-значный адрес AnyDesk, запросить административные права и установить «пароль автоматического доступа» для повторного подключения, пока жертва спит.
• РустДеск (rustdesk.exe): Инструмент удаленного рабочего стола с открытым исходным кодом, который предпочитают мошеннические синдикаты, поскольку они могут самостоятельно размещать серверы ретрансляции, минуя меры по удалению злоупотреблений со стороны поставщиков.
• UltraViewer, TeamViewer, Zoho Assist и SimpleHelp: Обычно объединены в одну цепочку. Мошенник, подключающийся через UltraViewer или AnyDesk, часто незаметно устанавливает скрытую программу. ScreenConnect или SimpleHelp пакет в фоновом режиме в качестве резервного бэкдора.

Аварийный рабочий процесс: разрыв соединения и оценка повреждений¶

Используйте следующую блок-схему, чтобы остановить активный удаленный сеанс, изолировать рабочую станцию и определить, можно ли очистить компьютер в безопасном режиме или требуется полная очистка операционной системы.

flowchart TD
    A["Обнаружено активное или недавнее мошенничество с удаленным доступом"] --> B["Физически отсоедините кабель Ethernet и выключите маршрутизатор Wi-Fi."]
    B --> C{"Экран затемнен или мышь заблокирована?"}
    C -- "Да" --> D["Удерживайте кнопку физического питания ПК в течение 10 секунд, чтобы принудительно выключить"]
    C -- "Нет" --> E["Включите режим полета и выключите компьютер в обычном режиме"]
    D --> F["Используйте чистый смартфон для передачи сотовых данных, чтобы позвонить в отдел по борьбе с мошенничеством банка"]
    E --> F
    F --> G["Заморозка чеков/сбережений, отзыв переводов/Zelle, блокировка кредитных бюро"]
    G --> H["С чистого смартфона: меняйте пароли электронной почты/банка и завершайте сеансы"]
    H --> I{"Мошенник имел автоматический доступ или запускал CMD/PowerShell?"}
    I -- "Да (высокий риск)" --> J["Загрузите компьютер в автономном режиме в безопасном режиме, чтобы спасти только личные документы"]
    I -- "Нет (краткое контролируемое занятие)" --> K["Загрузитесь в автономном режиме в безопасном режиме, чтобы очистить службы и сертификаты RMM"]
    J --> L["Выполните полную переустановку ОС через USB-носитель с чистого ПК."]
    K --> M["Удаление служб, запланированных задач, данных приложений и аудита расширений браузера"]

Сравнение инструментов удаленного доступа, которыми злоупотребляют мошенники¶

Прежде чем пытаться очистить машину или сообщить об инциденте команде по расследованию мошенничества вашего банка, определите, какие удаленные инструменты были установлены. Помните, что мошенники обычно устанавливают два или три разных инструмента в течение одного сеанса, поэтому, если вы удалите видимый значок на рабочем столе, их скрытая вторичная служба останется активной.

Пошаговая банковская и финансовая сортировка (первые 30 минут)¶

В случае мошенничества с удаленным доступом заражение компьютера является лишь механизмом доставки; Основная чрезвычайная ситуация - это серьезное финансовое воровство. Злоумышленники используют психологические и технические уловки, такие как редактирование исходного кода HTML (Inspect Element) веб-страницы вашего банка, чтобы имитировать случайное $40,000 переплата вместо $400, чтобы обманом заставить вас перевести деньги, купить подарочные карты или внести наличные в биткойн-банкомат. Даже если вы отказались отправлять деньги, злоумышленник с удаленным доступом может инициировать переводы напрямую, пока ваш экран затемнен.

1. Немедленно заморозить данные и начать отзыв переводов.¶

Немедленно позвоните в специальный отдел по борьбе с мошенничеством вашего финансового учреждения по чистому телефону. Четко заявите: * «Мой компьютер был взломан трояном удаленного доступа во время мошенничества со службой технической поддержки/банковского мошенничества. Несанкционированная сторона имела прямой доступ к моему сеансу онлайн-банкинга». * Требуйте следующих конкретных действий:

• Блокировка профиля онлайн-банкинга. Попросите банк полностью отключить ваши учетные данные для входа в онлайн-банкинг и мобильный банкинг, а также аннулировать все активные токены OAuth и файлы cookie сеанса.
• Отзыв ACH, Wire и RTP (SWIFT / Fedwire / Faster Payments): Попросите представителя проверить ваш счет на наличие любых ожидающих или находящихся в очереди исходящих сообщений Автоматизированной клиринговой палаты (ACH) переводы, внутренние/международные банковские переводы, Zelle / Venmo платежи или чеки «Оплата счетов», запланированные на будущие даты. Мошенники часто назначают чек Bill Pay или перевод ACH с более ранней датой, который будет выполнен через 3-5 дней, надеясь, что вы этого не заметите.
• Подмена номера счета. Поскольку злоумышленник, вероятно, просмотрел ваши полные номера маршрутизации и текущего счета (или загрузил банковские выписки в формате PDF из вашего браузера), заморозить только дебетовую карту недостаточно. Вы должны потребовать, чтобы банк закрыл скомпрометированные номера счетов и перевел ваши балансы на совершенно новые номера счетов с помощью функции «Не проводить дебетование» (PND) ограничения на старых аккаунтах.
• Проверьте наличие скрытых внутренних переводов или денежных авансов. Злоумышленники часто берут аванс наличными с вашей привязанной кредитной карты или кредитной линии Home Equity (HELOC) и сначала переведите их на свой текущий счет, либо чтобы заставить вас поверить, что они «случайно вернули вам слишком большую сумму», либо чтобы собрать максимальную ликвидность перед переводом объединенного баланса в оффшор. Попросите специалиста по банковскому мошенничеству проверить, не происходили ли какие-либо внутрибанковские переводы между вашими сберегательными, кредитными картами или брокерскими счетами.

2. Заморозить кредитные бюро и проверить наличие новых заявок на кредит.¶

Подключившись к вашему компьютеру, мошенники регулярно обыскивают ваш компьютер. Downloads или Documents папки для таких ключевых слов, как tax, 1040, W2, passport, license, или password и заберите ваши налоговые декларации и сканы удостоверений личности.

1. Немедленно разместите бесплатную заморозку безопасности во всех крупных кредитных бюро с помощью чистого смартфона:
2. В США: заморозить Equifax (1-888-298-0045), Экспериан (1-888-397-3742), ТрансЮнион (1-800-916-8800) и ChexSystems (1-800-428-9687).
3. В Великобритании: Свяжитесь с Experian, Equifax и TransUnion и зарегистрируйтесь для защитной регистрации Cifas.
4. В Канаде: размещайте замораживание кредитов или оповещения о мошенничестве с помощью Equifax Canada и TransUnion Canada.
5. В Австралии: запросите блокировку кредита через Equifax, Illion и Experian.
6. Немедленно просмотрите свой кредитный отчет на предмет серьезных запросов, сделанных за последние 24 часа; мошенники часто подают заявку на мгновенный потребительский кредит онлайн в фоновой вкладке браузера во время разговора с вами.

Удаление служб удаленного доступа в безопасном режиме (Windows и macOS)¶

Если вы решите осмотреть компьютер, сохранить журналы судебно-медицинской экспертизы для правоохранительных органов или спасти незаменимые личные фотографии перед очисткой жесткого диска, никогда не загружайте компьютер в обычном режиме при подключении к Интернету. В тот момент, когда обычная загрузка завершается с активным Wi-Fi, постоянное ScreenConnect или AnyDesk Служба позвонит домой на консоль мошенника и предупредит его, что ваша машина снова подключена к сети.

Этап 1. Загрузка в безопасном режиме без подключения к сети¶

В Windows 10 и Windows 11¶

1. Убедитесь, что кабель Ethernet отключен, а домашний маршрутизатор Wi-Fi отключен или включен режим полета.
2. Включите компьютер. На экране входа в Windows удерживайте клавишу Левый Shift и нажмите Питание -> Перезагрузить.
3. На синем экране восстановления выберите Устранение неполадок -> Дополнительные параметры -> Параметры запуска -> Перезагрузить.
4. Когда появится список параметров запуска, нажмите 4 или F4 (Enable Safe Mode). Не нажимайте 5 (Safe Mode with Networking).

На macOS (Apple Silicon и Intel)¶

1. Выключите Mac и маршрутизатор Wi-Fi.
2. Яблочный кремний (M1/M2/M3/M4): Удерживайте кнопку питания, пока не появится сообщение «Загрузка параметров запуска». Выберите загрузочный диск, удерживайте Shift и нажмите Продолжить в безопасном режиме.
3. Intel Mac: включите Mac и сразу же удерживайте клавишу Shift, пока не появится окно входа в систему.

Этап 2. Поиск и прекращение постоянных служб Windows¶

Стандартное удаление через «Установку и удаление программ» часто не приводит к удалению настроенных программ. ScreenConnect MSI создается потому, что злоумышленники удаляют запись программы удаления из реестра Windows или развертывают несколько экземпляров со случайными шестнадцатеричными именами служб.

1. В безопасном режиме Windows нажмите Win + R, введите services.mscи нажмите Ввод.
2. Нажмите столбец Имя, чтобы выполнить сортировку по алфавиту, и внимательно проверьте каждую службу на наличие следующих названий:
3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Примечание: может быть два или три отдельных ScreenConnect Client записи с разными 16-значными буквенно-цифровыми строками в круглых скобках, каждая из которых представляет отдельный сервер мошенника).
4. AnyDesk Service
5. RustDesk Service
6. UltraViewerService
7. TeamViewer
8. Zoho Assist - Unattended Agent или SimpleHelp Remote Access
9. Для каждой обнаруженной подозрительной службы щелкните ее правой кнопкой мыши и выберите Свойства.
10. Внимательно прочтите поле Путь к исполняемому файлу и запишите его (например, C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
11. Измените раскрывающийся список Тип запуска на Отключено, нажмите Стоп (если работает), а затем нажмите Применить и ОК.
12. Затем откройте командную строку с повышенными правами (Win + X -> Терминал (Администратор) или Командная строка (Администратор)) и окончательно удалите регистрации службы, используя точное имя службы, указанное в окне свойств:

sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

Для ScreenConnect, запросите все установленные экземпляры и удалите каждый из них по точному имени служебного ключа:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Этап 3. Очистка запланированных задач, папок автозагрузки и скрытых каталогов¶

Даже после удаления службы Windows злоумышленники часто настраивают запланированную задачу, которая повторно загружает удаленный агент через powershell.exe или mshta.exe каждый раз, когда пользователь входит в систему.

1. Пресса Win + R, введите taskschd.mscи нажмите Ввод, чтобы открыть Планировщик заданий.
2. Нажмите Библиотека планировщика задач на левой панели. Разверните каждую подпапку и проверьте вкладку Действия каждой запланированной задачи. Удалите любую задачу, которая запускает двоичные файлы из C:\Users\<User>\AppData\, C:\ProgramData\или вызывает curl, bitsadmin, powershell -WindowStyle Hiddenили любой исполняемый файл удаленного рабочего стола.
3. Пресса Win + R, введите shell:startupи нажмите Ввод. Удалите все ярлыки или .bat / .vbs сценарии, помещенные в папку автозагрузки вашего пользователя. Повторите это, набрав shell:common startup для проверки общесистемной папки автозагрузки.
4. Включите просмотр скрытых файлов в проводнике (Вид -> Показать -> Скрытые элементы) и вручную удалите каталоги приложений и кеши конфигурации для всех удаленных инструментов:
5. C:\Program Files (x86)\ScreenConnect Client (*)
6. C:\ProgramData\ScreenConnect Client (*)
7. C:\Program Files (x86)\AnyDesk\ и C:\ProgramData\AnyDesk\
8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
9. C:\Program Files\RustDesk\ и C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
10. C:\Program Files (x86)\UltraViewer\ и C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Этап 4. Удаление LaunchDaemon, LaunchAgent и грантов конфиденциальности macOS¶

В macOS инструменты удаленного доступа обеспечивают постоянство через LaunchDaemons (общесистемный) и LaunchAgents (уровень пользователя), в сочетании с macOS TCC Разрешения (Прозрачность, Согласие и Контроль) для Запись экрана и Доступность.

1. В безопасном режиме macOS (офлайн) откройте Finder, нажмите Cmd + Shift + G (Go to Folder) и проверьте один за другим следующие три каталога:
2. /Library/LaunchDaemons/
3. /Library/LaunchAgents/
4. /Users/<YourUsername>/Library/LaunchAgents/
5. Перетащите любой .plist файлы, содержащие connectwise, screenconnect, anydesk, rustdesk, teamviewer, zoho, или simplehelp в мусор.
6. Далее открываем /Applications/ и /Library/Application Support/ и переместите все соответствующие пакеты приложений удаленного доступа и папки поддержки в корзину.
7. Откройте Настройки системы -> Конфиденциальность и безопасность. Проверьте два важных раздела:
8. Запись звука с экрана и системы. Выберите любой инструмент удаленной поддержки из списка и нажмите минус (-), чтобы лишить его возможности просматривать ваш дисплей.
9. Доступность. Выберите любой инструмент удаленной поддержки и нажмите на минус (-), чтобы лишить ее возможности управлять курсором мыши и синтезировать нажатия клавиш.
10. Полный доступ к диску. Убедитесь, что ни одному неизвестному приложению или оболочке терминала не предоставлен полный доступ к диску.

Отмена блокировки пароля Windows и поддельных загрузочных баннеров¶

Прежде чем отключиться, мстительные мошенники часто блокируют доступ жертв к компьютерам и требуют выкуп за пароль. Они используют три основных метода:

1. Изменение локального пароля Windows (net user) или добавление мошеннической учетной записи администратора¶

Пока шторка экрана активна, мошенники часто открывают командную строку с повышенными правами и запускают net user <YourUsername> <NewPassword> или создайте учетную запись администратора бэкдора (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Как проверить и исправить. В безопасном режиме откройте командную строку с повышенными правами (cmd.exe от имени администратора) и введите net user. Если вы видите незнакомую учетную запись, немедленно удалите ее с помощью net user <RogueAccountName> /delete. Если ваш локальный пароль был изменен, загрузитесь с установочного USB-накопителя Windows в среду восстановления Windows (WinRE), чтобы восстановить предыдущую точку восстановления системы, или войдите в систему, используя связанную учетную запись Microsoft, после сброса пароля на чистом смартфоне.

2. Включение баннера при запуске через реестр (LegalNoticeCaption)¶

Мошенники часто модифицируют HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System установив LegalNoticeCaption и LegalNoticeText для отображения поддельного номера телефона блокировки Microsoft Security перед входом в систему. * Как исправить. Это просто косметический текстовый экран перед обычным приглашением на вход в Windows. Нажмите ОК или нажмите Ввод, чтобы обойти его, откройте regedit в безопасном режиме перейдите в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemи очистите текст внутри LegalNoticeCaption и LegalNoticeText.

3. Блокировка PIN-кода безопасной загрузки (bcdedit)¶

Microsoft удалила наследие syskey.exe инструмент в Windows 10 версии 1709. Сегодня мошенники вместо этого ставят галочку Безопасная загрузка внутри msconfig и перезагрузите компьютер в автономном режиме. Поскольку PIN-коды Windows Hello часто не работают на экране входа в безопасный режим без доступа к сети, жертвы попадают в цикл загрузки. * Как исправить: Удерживайте Shift + Перезагрузить на экране входа в систему, выберите Устранение неполадок -> Дополнительные параметры -> Командная строка и запустите:

bcdedit /deletevalue {current} safeboot

Перезагрузите компьютер в обычном режиме (не отключая интернет-маршрутизатор), чтобы вы могли войти в систему, используя кэшированный пароль или PIN-код, и удалить удаленное программное обеспечение.

Почему кража сеансов браузера и информационные кражи требуют полной очистки ОС¶

Даже если вы удалите ScreenConnect, AnyDesk, или RustDesk сервисов в безопасном режиме, необходимо оценить, развернул ли мошенник вторичный Infostealer (Lumma, RedLine, Vidar, Stealc) или скопировали каталог профиля вашего браузера.

Во время автоматического удаленного сеанса злоумышленнику требуется менее 8 секунд, чтобы запустить сценарий PowerShell, который копирует каталог пользовательских данных Google Chrome, Microsoft Edge или Brave (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) вместе с местными DPAPI главный ключ дешифрования. Имея эти файлы на своем сервере, злоумышленник обладает:

1. Каждый пароль сохраняется во встроенном менеджере паролей вашего веб-браузера.
2. Файлы cookie активного сеанса (Cookies и Network\Cookies Базы данных SQLite): Даже если ваша электронная почта или банк использует двухфакторную аутентификацию (2FA), обладание вашим расшифрованным файлом cookie токена сеанса позволяет злоумышленнику импортировать ваш профиль браузера в антиобнаруженный браузер на своем компьютере и получить доступ к вашей учетной записи Gmail, Outlook, Amazon или криптовалютной биржи без необходимости ввода пароля или 2FA код.
3. Хранилища криптовалютных кошельков на базе браузера (MetaMask, Phantom, Rabby): Зашифрованные файлы хранилища внутри Local Extension Settings подвергаются эксфильтрации для офлайн-перебора.

Когда необходимо выполнить чистую переустановку операционной системы USB¶

Хотя удаления службы в безопасном режиме достаточно, если вы поймали мошенника в течение 10 секунд после установки AnyDesk и никогда не предоставляли ему права администратора или автоматический доступ, вы должны стереть диск и выполнить чистую установку ОС с USB-накопителя, если произошло любое из следующих событий:

• У тебя экран потемнел(Blank Guest Monitor), или ваша мышь/клавиатура заблокирована.
• Вы видели командную строку (cmd.exe) или окно PowerShell мигает на экране.
• Вы оставили компьютер без присмотра, пока мошенник запускал фальшивое сканирование безопасности.
• Вы установили ConnectWise ScreenConnect (который работает как SYSTEM по умолчанию и позволяет выполнять невидимые фоновые сценарии оболочки).

Чтобы выполнить безопасную переустановку: 1. Находясь в автономном режиме в безопасном режиме, подключите новый USB-накопитель к взломанному компьютеру и скопируйте только файлы личных данных (.jpg, .pdf, .docx, .xlsx, семейные видео). Никогда не копируйте .exe, .msi, .bat, .ps1или папки профиля браузера. 2. Используя другой, чистый компьютер, загрузите официальный инструмент Windows Media Creation Tool от Microsoft (microsoft.com/software-download) или создайте загрузочный установщик macOS. 3. Загрузите зараженный компьютер с помощью чистого USB-установщика, удалите все существующие разделы на основном диске (Drive 0) и установите новую копию операционной системы.

Сохранение вашего законного права на банковское возмещение¶

Банки часто пытаются отклонить требования о возмещении мошенничества при мошенничестве с удаленным доступом, утверждая, что, поскольку вы нажали «Загрузить» на AnyDesk или ScreenConnect, вы «разрешили» транзакции или действовали с грубой небрежностью. Знание того, как в вашей юрисдикции действуют установленные законом меры защиты потребительских банковских услуг, имеет решающее значение при разговоре с арбитром вашего банка по искам о мошенничестве.

В США: Закон об электронном переводе денежных средств (EFTA) и Regulation E (12 CFR § 1005)¶

В соответствии с федеральным Законом о переводе электронных средств (Regulation E), Бюро финансовой защиты потребителей (CFPB) издал официальное надзорное руководство, в котором говорится, что: * Вынужденный доступ по-прежнему является «Несанкционированным электронным переводом средств»: Под 12 CFR § 1005.2(m), электронный перевод средств, инициированный лицом, получившим доступ к счету потребителя посредством мошенничества или ограбления, определяется законом как несанкционированный электронный перевод, даже если потребителя обманом заставили предоставить пароль, одноразовый код доступа или установить программное обеспечение для удаленного рабочего стола. * Халатность не может быть использована для отклонения вашего иска: Официальная интерпретация CFPB Regulation E (Comment 6(b)-2) утверждает, что халатность потребителя (например, попадание на фишинговое всплывающее окно или предоставление мошеннику доступа к удаленному рабочему столу) не может использоваться банком для возложения на потребителя большей ответственности, чем Regulation E позволяет ($50 максимум, если отчет будет предоставлен в течение 2 рабочих дней; $500 максимум в течение 60 дней). * Различайте переводы, выполненные по клику мошенника, и переводы, осуществленные по клику потребителя: Если мошенник переместил мышь и нажал «Отправить» за черным экраном во время сеанса AnyDesk/ScreenConnect, это Несанкционированный электронный перевод, на который распространяется действие Regulation E. Сообщите банку в письменной форме: * «Я не инициировал, не авторизовал и не нажимал кнопку для этого перевода; преступник, представляющий угрозу, выполнил перевод удаленно с помощью трояна удаленного доступа, одновременно блокируя мой экран, что представляет собой несанкционированный электронный перевод в соответствии с 12 CFR § 1005.2 (m)». * Прикрепите сохраненный файл. connection_trace.txt log или журналы диспетчера управления службами просмотра событий Windows (Event ID 7045 показывая точную минуту ScreenConnect или AnyDesk служба была установлена) в качестве криминалистического доказательства.

В Великобритании, Европейском Союзе, Канаде и Австралии.¶

• Великобритания (PSR & FOS): Если мошенник напрямую управлял вашим компьютером для перевода средств, сообщите об этом как о несанкционированном платеже в соответствии с Правилами платежных услуг 2017. Если мошенник манипулировал вашим экраном (Inspect Element фальшивый возврат), чтобы обманным путем заставить вас авторизовать ускоренный платеж, сообщите об этом в соответствии с Регулятором платежных услуг (PSR) обязательно Авторизованный push-платеж (APP) Нарушение правил возмещения расходов при мошенничестве и передача любого отказа в Службу финансового омбудсмена (FOS).
• Европейский Союз, Канада и Австралия: Немедленно сообщите об инциденте в свой банк и в национальную полицию, подчеркнув, что троян удаленного доступа выполнил сеанс или манипулировал им. Передавайте неразрешенные банковские споры Омбудсмену по банковским услугам и инвестициям (OBSI) в Канаде или Австралийское управление по рассмотрению финансовых жалоб (AFCA) в Австралии под ePayments Code.

Контрольный список действий по устранению неполадок и отчетности после инцидента¶

Выполните все пункты этого контрольного списка, прежде чем повторно подключать домашнюю сеть или возобновить обычный онлайн-банкинг:

• Физическая изоляция подтверждена: взломанный компьютер был физически отключен от Ethernet и Wi-Fi перед дальнейшим устранением неполадок.
• Банковские счета заморожены и перенумерованы. Все номера чеков, сбережений и счетов HELOC, которые были видны на компьютере, были закрыты и перевыпущены с новыми номерами счетов.
• Запланированная оплата счетов и очереди ACH очищены: Проверено банковским инспектором, что никакие будущие проверки оплаты счетов не выполняются, ссылки на внешние банки (Plaid), или во время удаленного сеанса были добавлены инструкции по постоянному проводу.
• Активна блокировка кредитов: блокировка безопасности введена в отношении Equifax, Experian, TransUnion и ChexSystems.
• Правила пересылки электронной почты проверены: Вы вошли в Gmail/Outlook/Yahoo с чистого смартфона и проверили Настройки -> Пересылка и POP/IMAP и Правила/Фильтры на наличие скрытых правил, которые автоматически удаляют или пересылают электронные письма, содержащие "Bank", "Fraud", "Wire", или "Security Alert".
• Изменено хранилище паролей браузера. Все пароли, хранящиеся в менеджерах паролей Chrome, Edge, Firefox или Safari, были изменены с чистого устройства.
• Журналы судебно-медицинской экспертизы сохранены, а официальные отчеты сохранены: Файлы отчетов с помощью ФБР IC3 (ic3.gov) и ФТК (reportfraud.ftc.gov) в США, Мошенничество (actionfraud.police.uk) в Великобритании, Канадский центр по борьбе с мошенничеством или Scamwatch (scamwatch.gov.au) в Австралии. Также сообщите двоичный файл установщика или идентификатор соединения connectwise.com/company/trust/report-abuse или anydesk.com/en/abuse.

Часто задаваемые вопросы¶

Мошенник показал мне программу просмотра событий Windows и netstat в командной строке, и она была полна тысяч предупреждений, ошибок и подключений «ИНОСТРАННЫЙ АДРЕС». Был ли мой компьютер действительно взломан до того, как я им позвонил?¶

Нет. Оба `eventvwr` (Просмотр событий Windows) и `netstat` , это обычные административные утилиты, встроенные в каждую копию Windows, и мошенники используют их как психологический реквизит. Каждый работоспособный компьютер с Windows генерирует тысячи обычных желтых предупреждений и красных журналов ошибок в средстве просмотра событий во время обычной загрузки и фоновых обновлений. `netstat` перечисляет каждое обычное фоновое соединение вашего браузера и операционной системы с облачными серверами как «иностранный адрес». Ваш компьютер был в полной безопасности до того момента, пока вы не последовали инструкциям звонящего по загрузке и запуску его инструмента удаленного доступа.

Как мошеннику удалось заставить сайт моего настоящего банка показать, что они случайно внесли депозит $40,000 на мой текущий счет, если они не смогут взломать сервер банка?¶

При подключении к вашему компьютеру через AnyDesk или ScreenConnect мошенник затемняет ваш экран на 15 секунд, щелкает правой кнопкой мыши по вашему банковскому балансу в веб-браузере и нажимает ** «Проверить» (`Developer Tools`)**. Откроется локальный HTML-текст, отображаемый на вкладке браузера. Мошенник просто набирает `$45,200.00` над твоим настоящим `$5,200.00` балансирует и добавляет поддельное чтение текстовой строки `"ACH REFUND OVERPAYMENT +$40,000.00"` на вашем экране. Это изменение существует только во временной памяти вкладки вашего браузера (`DOM`) и исчезает в тот момент, когда вы обновляете страницу (`F5`) или проверьте свой баланс в приложении на смартфоне. Альтернативно, они переносят `$40,000` со своего сберегательного счета или кредитной линии на свой текущий счет и переименуйте экран, чтобы обманом заставить вас перевести на них свои собственные деньги.

Если я удалил AnyDesk или UltraViewer из панели управления, могу ли я снова включить Wi-Fi?¶

Обычно не обходится без проверки служб Windows (`services.msc`) сначала в безопасном режиме. Мошеннические колл-центры технической поддержки знают, что жертвы часто удаляют AnyDesk или UltraViewer, как только кладут трубку. Таким образом, в течение первых двух минут после подключения к вашему компьютеру мошенники обычно используют автоматическую передачу файлов, чтобы сбросить дополнительный скрытый **ConnectWise ScreenConnect** (`ScreenConnect.ClientService.exe`) или агент **SimpleHelp**, который не создает ярлык на рабочем столе и скрывается внутри `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Если вы не убедитесь в безопасном режиме, что ни один мошенник `SYSTEM` существуют службы или запланированные задачи, или выполнить полную очистку ОС USB, повторное подключение к Wi-Fi может немедленно передать контроль над вашим компьютером обратно злоумышленнику.

Может ли мошенник получить доступ к другим компьютерам или смартфонам в моей домашней сети Wi-Fi только потому, что я установил AnyDesk на один ноутбук?¶

Установка AnyDesk или ScreenConnect подвергает риску конкретный компьютер, на котором вы запустили программу установки, а не ваши телефоны или другие ноутбуки напрямую. Однако если вы используете **синхронизацию паролей и сеансов Google Chrome, Microsoft Edge или Apple iCloud** на своем ноутбуке и смартфоне, любые пароли, которые мошенник украдет или изменит на зараженном ноутбуке, повлияют на ваши общие облачные учетные записи. Кроме того, при подключении к вашему ноутбуку злоумышленник может войти на страницу администратора вашего домашнего маршрутизатора (`192.168.1.1`), если он по-прежнему использует пароль администратора по умолчанию, и измените пароль вашего маршрутизатора. `DNS` настройки. После изоляции зараженного ноутбука восстановите заводские настройки маршрутизатора Wi-Fi или проверьте его настройки DNS и пароль администратора на чистом устройстве.

Связанные руководства¶

• Мошенничество со всплывающими окнами технической поддержки и удаление AnyDesk/TeamViewer с удаленного рабочего стола
• Перехват файлов cookie сеанса, вредоносное ПО для кражи информации и отзыв пароля
• Поддельная CAPTCHA ClickFix PowerShell Win+R, вредоносное ПО для буфера обмена и устранение Lumma Infostealer
• Мошенничество с авторизованными push-платежами (APP): права на выдачу себя за другое лицо и право на возмещение расходов в Zelle, Venmo и Faster Payments
• Взлом банковского счета
• Номера экстренных служб по странам

Источники и официальное руководство¶

• Агентство кибербезопасности и безопасности инфраструктуры (CISA), Федеральное бюро расследований (FBI), Агентство национальной безопасности (NSA), & Межгосударственный центр обмена информацией и анализа (MS-ISAC) (США): Объединенное консультирование по кибербезопасности (AA23-025A): Защита от злонамеренного использования удаленного мониторинга и управления (RMM) Программное обеспечение.
• Бюро финансовой защиты потребителей (CFPB) (США): Электронные переводы средств (Regulation E, 12 CFR Part 1005) Официальные интерпретации и часто задаваемые вопросы о несанкционированных электронных переводах и мошенническом доступе.
• Федеральная торговая комиссия (FTC) (США): Как обнаружить, избежать мошенничества со службой технической поддержки и сообщить о нем.
• Национальный центр кибербезопасности (NCSC) и Action Fraud (Великобритания): Защита устройств от несанкционированных инструментов удаленного доступа и мошенничества с совместным использованием экрана.
• Центр реагирования на вопросы доверия и безопасности ConnectWise: Выявление и удаление мошеннического ScreenConnect (ConnectWise Control) Клиентские экземпляры.