Skip to content

Lừa đảo hỗ trợ kỹ thuật trojan truy cập từ xa (ScreenConnect, AnyDesk, RustDesk, UltraViewer): kéo ethernet, tắt dịch vụ và đóng băng ngân hàng

Số điện thoại khẩn cấp khác nhau tùy theo quốc gia. Trang này sử dụng 911, số điện thoại dành cho Hoa Kỳ và Canada. Nhiều quốc gia khác sử dụng 112, 999 hoặc số khác. Tìm số cho quốc gia của bạn.

Khi kẻ lừa đảo thuyết phục bạn cài đặt một công cụ máy tính từ xa hoặc thực thi một tác nhân giám sát từ xa trên máy tính của bạn, chúng sẽ có được quyền kiểm soát trực tiếp, không hạn chế đối với chuột, bàn phím, hệ thống tệp và các phiên trình duyệt đang hoạt động của bạn. Trong khi hiển thị bản quét bảo mật giả mạo hoặc bức màn bảo mật màu đen trên màn hình của bạn, kẻ điều hành âm thầm rút tài khoản kiểm tra, thu thập mật khẩu đã lưu và cài đặt các dịch vụ nền liên tục tồn tại sau khi khởi động lại tiêu chuẩn. Hướng dẫn này cung cấp các bước ngay lập tức để cắt đứt liên kết dữ liệu của kẻ tấn công, xóa vĩnh viễn các dịch vụ truy cập từ xa không được giám sát và khóa cơ sở hạ tầng tín dụng và ngân hàng của bạn trước khi tiền xóa mạng lưới.

Làm điều này ngay bây giờ

  1. Ngắt tất cả kết nối Internet vật lý và ngay lập tức. Rút cáp Ethernet khỏi phía sau máy tính để bàn hoặc bộ định tuyến, bật công tắc Wi-Fi vật lý trên máy tính xách tay của bạn hoặc nhấn và giữ nút nguồn trên bộ định tuyến Wi-Fi trong 10 giây cho đến khi tất cả đèn tối. Đừng lãng phí thời gian để chống lại kẻ lừa đảo để giành quyền kiểm soát con trỏ chuột để nhấp vào nút ngắt kết nối.
  2. Buộc tắt máy tính bị xâm nhập nếu màn hình bị đen. Nếu kẻ tấn công đã bật "Blank Guest Monitor" hoặc khóa đầu vào bàn phím của bạn, hãy nhấn và giữ nút nguồn vật lý của máy tính trong 10 giây cho đến khi máy tắt hoàn toàn. Hãy tắt nó trong khi bạn bảo mật tài khoản tài chính của mình từ một thiết bị sạch, riêng biệt.
  3. Gọi cho bộ phận chống gian lận của ngân hàng của bạn từ một điện thoại độc lập. Sử dụng điện thoại di động để gọi đến số chính thức được in ở mặt sau thẻ ghi nợ hoặc thẻ tín dụng của bạn hoặc gọi đến số khẩn cấp tại địa phương của bạn (911 ở Hoa Kỳ và Canada, 112 trên toàn Liên minh Châu Âu, 999 ở Vương quốc Anh) nếu mối đe dọa tống tiền đang diễn ra; nhìn thấy số khẩn cấp cho các mối liên hệ quốc tế. Hướng dẫn ngân hàng phong tỏa cứng ngay lập tức đối với tất cả các tài khoản séc, tiết kiệm và hạn mức tín dụng, đồng thời yêu cầu thu hồi khẩn cấp đối với bất kỳ khoản chuyển khoản thanh toán tự động (ACH), chuyển khoản chuyển khoản hoặc chuyển khoản thanh toán theo thời gian thực nào đang chờ xử lý.
  4. Thu hồi cookie phiên hoạt động và thay đổi mật khẩu từ điện thoại thông minh sạch. Sử dụng điện thoại của bạn bằng dữ liệu di động (không kết nối với Wi-Fi tại nhà nếu PC bị xâm nhập bật lại), đăng nhập vào email chính, cổng ngân hàng và tài khoản lưu trữ đám mây của bạn. Chấm dứt tất cả các phiên đăng nhập đang hoạt động, thu hồi các thiết bị Xác thực đa yếu tố (MFA) không được nhận dạng và thay đổi mật khẩu của bạn.
  5. Khởi động máy tính bị nhiễm sang Chế độ an toàn mà không cần kết nối mạng. Chỉ bật lại máy tính bị xâm nhập khi ngắt kết nối Internet, vào Chế độ an toàn của Windows hoặc Chế độ an toàn của macOS để kiểm tra và loại bỏ các dịch vụ nền không được giám sát (ScreenConnect Client, AnyDesk Service, RustDesk Service) trước khi hệ điều hành tải trình điều khiển mạng của bên thứ ba.

Hiểu cấu trúc của một cuộc tấn công RMM thương mại và cuộc tấn công máy tính từ xa

Các trò lừa đảo hỗ trợ kỹ thuật hiện đại, gian lận hoàn tiền và tấn công mạo danh ngân hàng hiếm khi dựa vào vi-rút máy tính được viết tùy chỉnh. Thay vào đó, các tác nhân đe dọa lạm dụng Quản lý và giám sát từ xa hợp pháp, được ký kỹ thuật số (RMM) phần mềm và công cụ máy tính để bàn từ xa thương mại. Vì các tệp thực thi này mang chứng chỉ ký mã mật mã hợp lệ từ các nhà cung cấp phần mềm đáng tin cậy nên các chương trình chống vi-rút tiêu chuẩn như Windows Defender hoặc macOS XProtect không chặn cài đặt của chúng.

Cách kẻ tấn công vũ khí hóa các nhị phân hỗ trợ từ xa hợp pháp

Khi nạn nhân gọi đến số điện thoại miễn phí hiển thị trên cửa sổ bật lên của trình duyệt giả mạo, trả lời email hóa đơn khẩn cấp hoặc làm theo hướng dẫn từ nhà điều tra gian lận ngân hàng giả mạo, nhà điều hành sẽ hướng dẫn họ tải xuống trình cài đặt MSI hoặc tệp thực thi. Các nền tảng bị lạm dụng nặng nề nhất bao gồm:

  • ConnectWise ScreenConnect (trước đây là Control): Thường được triển khai thông qua tùy chỉnh .msi hoặc .exe gói được lưu trữ trên máy chủ do kẻ tấn công kiểm soát. Sau khi được thực thi, nó sẽ cài đặt dưới dạng Dịch vụ hệ thống Windows liên tục (ScreenConnect Client (xxxx)) chạy với NT AUTHORITY\SYSTEM đặc quyền, cấp quyền truy cập im lặng, không cần giám sát bất cứ khi nào máy tính trực tuyến.
  • AnyDesk (anydesk.exe): Thường được sử dụng trong các vụ lừa đảo đa nền tảng nhắm mục tiêu vào Windows, macOS và thiết bị di động. Những kẻ tấn công hướng dẫn nạn nhân đọc to địa chỉ AnyDesk gồm 9 chữ số, yêu cầu nâng cấp quản trị và đặt "Mật khẩu truy cập không giám sát" để kết nối lại trong khi nạn nhân ngủ.
  • Bàn rỉ sét (rustdesk.exe): Một công cụ máy tính từ xa mã nguồn mở được các tổ chức lừa đảo ưa chuộng vì chúng có thể tự lưu trữ các máy chủ chuyển tiếp, bỏ qua việc gỡ bỏ do lạm dụng của nhà cung cấp.
  • UltraViewer, TeamViewer, Zoho Assist và SimpleHelp: Thường được liên kết với nhau. Kẻ lừa đảo kết nối qua UltraViewer hoặc AnyDesk thường sẽ âm thầm cài đặt một phần mềm ẩn ScreenConnect hoặc SimpleHelp gói ở chế độ nền như một cửa hậu dự phòng.

Danger

** "Màn hình đen" (Blank Guest Monitor) và bẫy khóa đầu vào:** Các công cụ như ConnectWise ScreenConnect và AnyDesk bao gồm một tính năng quản trị được gọi là "Giám sát khách trống" hoặc "Chế độ quyền riêng tư", kết hợp với "Chặn đầu vào của khách". Khi được kích hoạt, màn hình của bạn sẽ chuyển sang màu đen hoàn toàn, hiển thị màn hình cập nhật Windows giả mạo hoặc đóng băng trong khi chuột và bàn phím của bạn ngừng phản hồi. Đằng sau bức màn đen đó, kẻ lừa đảo đang mở trình duyệt web của bạn, xuất mật khẩu đã lưu và bắt đầu chuyển khoản ngân hàng từ các tab ngân hàng đã đăng nhập. Rút phích cắm bộ định tuyến Internet của bạn ngay lập tức và giữ nút nguồn PC trong 10 giây.

Quy trình làm việc khẩn cấp: cắt đứt kết nối và phân loại thiệt hại

Sử dụng lưu đồ vận hành sau đây để dừng phiên hoạt động từ xa, cách ly máy trạm và xác định xem có thể làm sạch máy ở Chế độ An toàn hay yêu cầu xóa toàn bộ hệ điều hành hay không.

flowchart TD
    A["Đã phát hiện hành vi lừa đảo truy cập từ xa đang hoạt động hoặc gần đây"] --> B["Rút cáp Ethernet về mặt vật lý và tắt nguồn bộ định tuyến Wi-Fi"]
    B --> C{"Màn hình bị đen hay chuột bị khóa?"}
    C -- "Có" --> D["Giữ nút nguồn vật lý của PC trong 10 giây để tắt"]
    C -- "Không" --> E["BẬT Chế độ trên máy bay và tắt PC bình thường"]
    D --> F["Sử dụng điện thoại thông minh sạch trên dữ liệu di động để gọi cho Phòng gian lận ngân hàng"]
    E --> F
    F --> G["Đóng băng Kiểm tra/Tiết kiệm, Thu hồi Dây/Zelle, Khóa Tín dụng"]
    G --> H["Từ điện thoại thông minh sạch: Xoay email/mật khẩu ngân hàng và hủy phiên"]
    H --> I{"Kẻ lừa đảo có quyền truy cập không được giám sát hoặc chạy CMD/PowerShell không?"}
    I -- "Có (Rủi ro cao)" --> J["Khởi động PC ngoại tuyến vào Chế độ an toàn để chỉ cứu tài liệu cá nhân"]
    I -- "Không (Phiên giám sát ngắn gọn)" --> K["Khởi động ngoại tuyến vào Chế độ an toàn để lọc các dịch vụ và chứng chỉ RMM"]
    J --> L["Thực hiện cài đặt lại hệ điều hành sạch hoàn toàn qua phương tiện USB từ PC sạch"]
    K --> M["Xóa Dịch vụ, Tác vụ theo lịch trình, Dữ liệu ứng dụng và Kiểm tra tiện ích mở rộng trình duyệt"]

So sánh các công cụ truy cập từ xa bị kẻ lừa đảo lạm dụng

Trước khi cố gắng làm sạch máy hoặc báo cáo sự việc cho nhóm điều tra gian lận của ngân hàng, hãy xác định (các) công cụ từ xa nào đã được cài đặt. Hãy nhớ rằng những kẻ lừa đảo thường xuyên cài đặt hai hoặc ba công cụ khác nhau trong một phiên duy nhất để nếu bạn gỡ cài đặt biểu tượng hiển thị trên màn hình, dịch vụ phụ ẩn của chúng vẫn hoạt động.

Tên công cụ từ xa Tên quy trình và dịch vụ mặc định Cơ chế kiên trì không cần giám sát Khả năng rủi ro cao bị lạm dụng trong các vụ lừa đảo Đường dẫn nhật ký và tạo phẩm cục bộ mặc định (Windows)
Kết nối màn hình ConnectWise ScreenConnect.ClientService.exe, ScreenConnect.WindowsClient.exe Cài đặt dưới dạng SYSTEM Dịch vụ Windows (ScreenConnect Client (<hex_id>)) tự động khởi động khi khởi động trước khi người dùng đăng nhập. Màn hình khách trống, chặn đầu vào của khách, nền im lặng CMD / PowerShell thực thi mà không cần mở cửa sổ hiển thị, lọc tập tin im lặng. C:\Program Files (x86)\ScreenConnect Client (<id>)\, C:\ProgramData\ScreenConnect Client (<id>)\
AnyDesk AnyDesk.exe, AnyDesk Service Khi được cài đặt (hoặc nâng cấp), sẽ tạo một dịch vụ nền với mật khẩu Truy cập không giám sát do kẻ tấn công đặt và mục nhập danh sách trắng. Chế độ riêng tư (tắt màn hình), đồng bộ hóa clipboard, chuyển trình quản lý tệp im lặng, tạo đường hầm TCP và đọc màn hình SMS di động trên Android/iOS. C:\ProgramData\AnyDesk\ad_svc.trace, C:\Users\<User>\AppData\Roaming\AnyDesk\connection_trace.txt
Bàn rỉ sét rustdesk.exe, RustDesk Service Đăng ký dịch vụ hệ thống Windows được kết nối với địa chỉ IP điểm hẹn/chuyển tiếp tùy chỉnh do kẻ tấn công kiểm soát. Điều khiển từ xa quản trị đầy đủ, trình duyệt hệ thống tệp trực tiếp, cấu hình máy chủ chuyển tiếp tùy chỉnh giúp ẩn lưu lượng truy cập khỏi các khối miền tiêu chuẩn. C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\RustDesk\, C:\Users\<User>\AppData\Roaming\RustDesk\
Trình xem Ultra UltraViewer_Desktop.exe, UltraViewer_Service.exe Chạy một dịch vụ nền (UltraViewerService) và cho phép đặt mật khẩu cố định để vào lại mà không cần giám sát. Thường được sử dụng làm mồi nhử "cửa trước" ban đầu vì giao diện của nó trông đơn giản và không gây nguy hiểm, trong khi kẻ lừa đảo đánh rơi ScreenConnect thông qua truyền tệp. C:\Program Files (x86)\UltraViewer\, C:\Users\<User>\AppData\Roaming\UltraViewer\
Trợ giúp đơn giản / Hỗ trợ Zoho Remote Access Service, ZA_Access.exe, ZohoURS.exe Cài đặt các nhị phân tác nhân không giám sát bên trong ProgramData hoặc AppData\Local kết hợp với trình kích hoạt tự động khởi động lại Trình lập lịch tác vụ của Windows. Shell từ xa im lặng, nén và tải xuống tệp hàng loạt, thu thập thông tin xác thực từ cơ sở dữ liệu SQLite của trình duyệt cục bộ (Login Data). C:\ProgramData\SimpleHelp\, C:\ProgramData\ZohoMeeting\, C:\Users\<User>\AppData\Local\ZohoURS\

Phân loại tài chính và ngân hàng từng bước (30 phút đầu tiên)

Trong một vụ lừa đảo truy cập từ xa, việc lây nhiễm máy tính chỉ là cơ chế phân phối; trường hợp khẩn cấp chính là trộm cắp tài chính cấp tính. Những kẻ tấn công sử dụng các thủ thuật tâm lý và kỹ thuật, chẳng hạn như chỉnh sửa mã nguồn HTML (Inspect Element) trên trang web ngân hàng của bạn để mô phỏng một sự cố tình cờ $40,000 thanh toán vượt mức thay vì $400, để lừa bạn chuyển tiền, mua thẻ quà tặng hoặc gửi tiền mặt vào máy ATM Bitcoin. Ngay cả khi bạn từ chối gửi tiền, kẻ tấn công có quyền truy cập từ xa vẫn có thể bắt đầu chuyển tiền trực tiếp trong khi màn hình của bạn bị tắt.

1. Đóng băng cứng ngay lập tức và bắt đầu thu hồi chuyển giao

Hãy gọi ngay cho bộ phận chống gian lận chuyên trách của tổ chức tài chính của bạn bằng điện thoại sạch. Nêu rõ: "Máy tính của tôi đã bị xâm nhập bởi trojan truy cập từ xa trong một vụ lừa đảo mạo danh ngân hàng/hỗ trợ kỹ thuật. Một bên trái phép đã có quyền truy cập trực tiếp vào phiên ngân hàng trực tuyến của tôi." Yêu cầu các hành động cụ thể sau:

  • Khóa hồ sơ ngân hàng trực tuyến: Yêu cầu ngân hàng vô hiệu hóa hoàn toàn thông tin đăng nhập ngân hàng trực tuyến và di động của bạn cũng như vô hiệu hóa tất cả mã thông báo OAuth đang hoạt động và cookie phiên.
  • Thu hồi ACH, Dây và RTP (SWIFT / Fedwire / Faster Payments): Yêu cầu người đại diện kiểm tra tài khoản của bạn xem có bất kỳ Nhà thanh toán bù trừ tự động gửi đi đang chờ xử lý hoặc xếp hàng nào không (ACH) chuyển khoản, chuyển khoản trong nước/quốc tế, Zelle / Venmo các khoản thanh toán hoặc séc "Thanh toán hóa đơn" được lên lịch cho các ngày trong tương lai. Những kẻ lừa đảo thường lên lịch kiểm tra Bill Pay hoặc chuyển khoản ACH sau ngày để thực hiện từ 3 đến 5 ngày sau với hy vọng bạn sẽ không nhận thấy.
  • Thay thế số tài khoản: Vì kẻ tấn công có thể đã xem toàn bộ số tài khoản định tuyến và kiểm tra của bạn (hoặc bản sao kê ngân hàng PDF đã tải xuống từ trình duyệt của bạn), nên chỉ đóng băng thẻ ghi nợ là không đủ. Bạn phải yêu cầu ngân hàng đóng số tài khoản bị xâm phạm và chuyển số dư của bạn sang số tài khoản hoàn toàn mới với "Không ghi nợ" (PND) hạn chế đối với các tài khoản cũ.
  • Kiểm tra các khoản chuyển tiền nội bộ hoặc tạm ứng tiền mặt ẩn: Những kẻ tấn công thường nhận một khoản tạm ứng tiền mặt từ thẻ tín dụng được liên kết của bạn hoặc Hạn mức tín dụng tài sản sở hữu nhà (HELOC) và chuyển số tiền đó vào tài khoản séc của bạn trước, để khiến bạn tin rằng họ "vô tình hoàn trả quá mức" cho bạn hoặc để gộp thanh khoản tối đa trước khi chuyển số dư tổng hợp ra nước ngoài. Yêu cầu chuyên gia gian lận ngân hàng kiểm tra xem có bất kỳ giao dịch chuyển khoản nội ngân hàng nào xảy ra giữa tài khoản tiết kiệm, thẻ tín dụng hoặc tài khoản môi giới của bạn hay không.

2. Đóng băng văn phòng tín dụng và kiểm tra các đơn xin vay mới

Trong khi kết nối với PC của bạn, những kẻ lừa đảo thường xuyên tìm kiếm Downloads hoặc Documents thư mục cho các từ khóa như tax, 1040, W2, passport, licensehoặc password và lọc các tờ khai thuế và bản quét ID của bạn.

  1. Đặt Đóng băng bảo mật miễn phí tại tất cả các văn phòng tín dụng lớn ngay lập tức bằng điện thoại thông minh sạch của bạn:
  2. Tại Hoa Kỳ: Đóng băng Equifax (1-888-298-0045), Trải nghiệm (1-888-397-3742), TransUnion (1-800-916-8800) và ChexSystems (1-800-428-9687).
  3. Tại Vương quốc Anh: Liên hệ với Experian, Equifax và TransUnion và đăng ký Đăng ký bảo vệ Cifas.
  4. Tại Canada: Đặt lệnh phong tỏa tín dụng hoặc cảnh báo gian lận với Equifax Canada và TransUnion Canada.
  5. Tại Úc: Yêu cầu lệnh cấm tín dụng thông qua Equifax, Illion và Experian.
  6. Xem lại báo cáo tín dụng của bạn ngay lập tức để biết các yêu cầu khó được thực hiện trong 24 giờ qua; những kẻ lừa đảo thường đăng ký các khoản vay cá nhân trực tuyến tức thì trong tab trình duyệt nền trong khi nói chuyện với bạn.

Xóa các dịch vụ truy cập từ xa ở Chế độ an toàn (Windows và macOS)

Nếu bạn quyết định kiểm tra máy, lưu giữ nhật ký điều tra để thực thi pháp luật hoặc cứu những bức ảnh cá nhân không thể thay thế trước khi xóa ổ cứng, không bao giờ khởi động máy tính về chế độ bình thường khi kết nối Internet. Thời điểm quá trình khởi động bình thường hoàn tất với Wi-Fi đang hoạt động, một lỗi liên tục ScreenConnect hoặc AnyDesk dịch vụ sẽ gọi điện về nhà cho bảng điều khiển của kẻ lừa đảo và thông báo cho họ rằng máy của bạn đã trực tuyến trở lại.

Giai đoạn 1: Khởi động vào Chế độ an toàn mà không cần kết nối mạng

Trên Windows 10 và Windows 11

  1. Đảm bảo đã rút cáp Ethernet và bộ định tuyến Wi-Fi tại nhà của bạn đã được rút phích cắm hoặc Chế độ trên máy bay đang hoạt động.
  2. Bật nguồn PC. Ở màn hình đăng nhập Windows, giữ phím Shift trái trong khi nhấp vào Nguồn -> Khởi động lại.
  3. Trên màn hình khôi phục màu xanh lam, chọn Khắc phục sự cố -> Tùy chọn nâng cao -> Cài đặt khởi động -> Khởi động lại.
  4. Khi danh sách tùy chọn khởi động xuất hiện, nhấn 4 hoặc F4 (Enable Safe Mode). Không nhấn phím 5 (Safe Mode with Networking).

Trên macOS (Apple Silicon và Intel)

  1. Tắt máy Mac và tắt bộ định tuyến Wi-Fi của bạn.
  2. ** Silicon táo (M1/M2/M3/M4):** Giữ nút Nguồn cho đến khi "Đang tải tùy chọn khởi động" xuất hiện. Chọn đĩa khởi động của bạn, giữ Shift và nhấp vào Tiếp tục ở Chế độ an toàn.
  3. Intel Mac: Bật máy Mac và giữ ngay phím Shift cho đến khi cửa sổ đăng nhập xuất hiện.

Giai đoạn 2: Săn lùng và chấm dứt các Dịch vụ Windows liên tục

Gỡ cài đặt tiêu chuẩn thông qua "Thêm hoặc xóa chương trình" thường không xóa được tùy chỉnh ScreenConnect MSI xây dựng do những kẻ tấn công loại bỏ mục nhập trình gỡ cài đặt khỏi Sổ đăng ký Windows hoặc triển khai nhiều phiên bản dưới tên dịch vụ thập lục phân ngẫu nhiên.

  1. Trong Chế độ an toàn của Windows, nhấn Win + R, gõ services.mscvà nhấn Enter.
  2. Nhấp vào cột Tên để sắp xếp theo thứ tự bảng chữ cái và kiểm tra cẩn thận mọi dịch vụ để tìm các tên sau:
  3. ScreenConnect Client (xxxxxxxxxxxxxxxx) (Lưu ý: Có thể có 2 hoặc 3 bài riêng biệt ScreenConnect Client các mục có chuỗi chữ và số 16 ký tự khác nhau trong dấu ngoặc đơn, trong đó mỗi chuỗi đại diện cho một máy chủ lừa đảo khác nhau).
  4. AnyDesk Service
  5. RustDesk Service
  6. UltraViewerService
  7. TeamViewer
  8. Zoho Assist - Unattended Agent hoặc SimpleHelp Remote Access
  9. Đối với mọi dịch vụ đáng ngờ mà bạn tìm thấy, hãy nhấp chuột phải vào dịch vụ đó và chọn Thuộc tính.
  10. Đọc kỹ trường Đường dẫn đến tệp thực thi và ghi lại (ví dụ: C:\Program Files (x86)\ScreenConnect Client (a1b2c3d4e5f6g7h8)\ScreenConnect.ClientService.exe).
  11. Thay đổi trình đơn thả xuống Loại khởi động thành Đã tắt, nhấp vào Dừng (nếu đang chạy) rồi nhấp vào Áp dụng và OK.
  12. Tiếp theo, mở Dấu nhắc lệnh nâng cao (Win + X -> Terminal (Quản trị viên) hoặc Dấu nhắc lệnh (Quản trị viên)) và xóa vĩnh viễn đăng ký dịch vụ bằng tên dịch vụ chính xác được liệt kê trong cửa sổ thuộc tính:
sc stop "AnyDesk"
sc delete "AnyDesk"
sc stop "RustDesk"
sc delete "RustDesk"
sc stop "UltraViewerService"
sc delete "UltraViewerService"

cho ScreenConnect, truy vấn tất cả các phiên bản đã cài đặt và xóa từng phiên bản theo tên khóa dịch vụ chính xác của nó:

sc query state= all | findstr /I "ScreenConnect"
sc delete "ScreenConnect Client (a1b2c3d4e5f6g7h8)"

Giai đoạn 3: Xóa các tác vụ theo lịch trình, thư mục khởi động và thư mục ẩn

Ngay cả sau khi Dịch vụ Windows bị xóa, những kẻ tấn công vẫn thường định cấu hình tác vụ được lên lịch để tải xuống lại tác nhân từ xa thông qua powershell.exe hoặc mshta.exe mỗi khi người dùng đăng nhập.

  1. Nhấn Win + R, gõ taskschd.mscvà nhấn Enter để mở Trình lập lịch tác vụ.
  2. Nhấp vào Thư viện lập lịch tác vụ ở khung bên trái. Mở rộng mọi thư mục con và kiểm tra tab Hành động của từng tác vụ đã lên lịch. Xóa mọi tác vụ khởi chạy tệp nhị phân từ C:\Users\<User>\AppData\, C:\ProgramData\, hoặc gọi curl, bitsadmin, powershell -WindowStyle Hiddenhoặc bất kỳ tệp thực thi máy tính để bàn từ xa nào.
  3. Nhấn Win + R, gõ shell:startupvà nhấn Enter. Xóa mọi phím tắt hoặc .bat / .vbs các tập lệnh được đặt trong thư mục Khởi động của người dùng. Lặp lại điều này bằng cách gõ shell:common startup để kiểm tra thư mục Khởi động trên toàn hệ thống.
  4. Cho phép xem các tệp ẩn trong File Explorer (Xem -> Hiển thị -> Các mục bị ẩn) và xóa thủ công các thư mục ứng dụng và bộ đệm cấu hình cho tất cả các công cụ từ xa:
  5. C:\Program Files (x86)\ScreenConnect Client (*)
  6. C:\ProgramData\ScreenConnect Client (*)
  7. C:\Program Files (x86)\AnyDesk\ và C:\ProgramData\AnyDesk\
  8. C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\
  9. C:\Program Files\RustDesk\ và C:\Users\<YourUsername>\AppData\Roaming\RustDesk\
  10. C:\Program Files (x86)\UltraViewer\ và C:\Users\<YourUsername>\AppData\Roaming\UltraViewer\

Tip

Lưu giữ nhật ký theo dõi pháp y trước khi xóa các thư mục AnyDesk hoặc ScreenConnect: Nếu bạn dự định gửi báo cáo cho cảnh sát, một FBI IC3 khiếu nại hoặc bản khai có tuyên thệ gian lận ngân hàng chính thức theo Regulation E, bản sao đầu tiên C:\ProgramData\AnyDesk\ad_svc.trace và C:\Users\<YourUsername>\AppData\Roaming\AnyDesk\connection_trace.txt vào một ổ USB. Tệp văn bản thuần túy này ghi lại dấu thời gian chính xác và ID AnyDesk từ xa gồm 9 chữ số của kẻ lừa đảo đã kết nối với máy tính của bạn, chứng minh cho các nhà điều tra gian lận của ngân hàng rằng một bên thứ ba đã kiểm soát máy trạm của bạn trong cửa sổ giao dịch trái phép.

Giai đoạn 4: Xóa macOS LaunchDaemons, LaunchAgents và Privacy Grants

Trên macOS, các công cụ truy cập từ xa thiết lập tính bền vững thông qua LaunchDaemons (toàn hệ thống) và LaunchAgents (cấp độ người dùng), kết hợp với macOS TCC Các quyền (Tính minh bạch, Sự đồng ý và Kiểm soát) đối với Ghi màn hình và Khả năng truy cập.

  1. Khi ở Chế độ an toàn macOS (ngoại tuyến), hãy mở Finder, nhấn Cmd + Shift + G (Go to Folder) và kiểm tra lần lượt ba thư mục sau:
  2. /Library/LaunchDaemons/
  3. /Library/LaunchAgents/
  4. /Users/<YourUsername>/Library/LaunchAgents/
  5. Kéo bất kỳ .plist tập tin chứa connectwise, screenconnect, anydesk, rustdesk, teamviewer, zohohoặc simplehelp vào Thùng rác.
  6. Tiếp theo, mở /Applications/ và /Library/Application Support/ và di chuyển mọi gói ứng dụng truy cập từ xa tương ứng cũng như thư mục hỗ trợ vào Thùng rác.
  7. Mở Cài đặt hệ thống -> Quyền riêng tư & bảo mật. Kiểm tra hai phần quan trọng:
  8. Ghi âm thanh màn hình và hệ thống: Chọn bất kỳ công cụ hỗ trợ từ xa nào được liệt kê và nhấp vào dấu trừ (-) để thu hồi khả năng xem màn hình của bạn.
  9. Khả năng truy cập: Chọn bất kỳ công cụ hỗ trợ từ xa nào và nhấp vào dấu trừ (-) để thu hồi khả năng điều khiển con trỏ chuột và tổng hợp các lần nhấn phím.
  10. Truy cập toàn bộ đĩa: Xác minh rằng không có ứng dụng không xác định hoặc trình bao bọc thiết bị đầu cuối nào được cấp quyền truy cập toàn bộ đĩa.

Đảo ngược khóa mật khẩu Windows và biểu ngữ khởi động giả

Trước khi ngắt kết nối, những kẻ lừa đảo đầy thù hận thường khóa máy tính của nạn nhân và đòi tiền chuộc mật khẩu. Họ sử dụng ba phương pháp chính:

1. Thay đổi mật khẩu Windows cục bộ của bạn (net user) hoặc thêm tài khoản quản trị viên lừa đảo

Trong khi màn che màn hình của chúng đang hoạt động, những kẻ lừa đảo thường mở Dấu nhắc lệnh nâng cao và chạy net user <YourUsername> <NewPassword> hoặc tạo tài khoản quản trị viên cửa sau (net user SupportAdmin Pass123 /add && net localgroup administrators SupportAdmin /add). * Cách kiểm tra và khắc phục: Ở Chế độ an toàn, hãy mở Dấu nhắc lệnh nâng cao (cmd.exe với tư cách Quản trị viên) và gõ net user. Nếu thấy tài khoản lạ hãy xóa ngay bằng net user <RogueAccountName> /delete. Nếu mật khẩu cục bộ của bạn đã bị thay đổi, hãy khởi động từ USB cài đặt Windows vào Môi trường khôi phục Windows (WinRE) để khôi phục Điểm khôi phục hệ thống trước đó hoặc đăng nhập bằng Tài khoản Microsoft được liên kết của bạn sau khi đặt lại mật khẩu trên điện thoại thông minh sạch.

2. Kích hoạt biểu ngữ thông báo khởi động qua Sổ đăng ký (LegalNoticeCaption)

Những kẻ lừa đảo thường sửa đổi HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System bằng cách thiết lập LegalNoticeCaption và LegalNoticeText để hiển thị số điện thoại khóa Microsoft Security giả trước khi đăng nhập. * Cách khắc phục: Đây hoàn toàn là một màn hình văn bản mang tính thẩm mỹ trước lời nhắc đăng nhập Windows thông thường. Nhấp vào OK hoặc nhấn Enter để bỏ qua, mở regedit ở Chế độ an toàn, đi tới HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Systemvà xóa văn bản bên trong LegalNoticeCaption và LegalNoticeText.

3. Khóa mã PIN khởi động an toàn (bcdedit)

Microsoft đã loại bỏ di sản syskey.exe công cụ này trong Windows 10 phiên bản 1709. Ngày nay, những kẻ lừa đảo thay vào đó đánh dấu vào Khởi động an toàn bên trong msconfig và khởi động lại PC của bạn ngoại tuyến. Vì mã PIN Windows Hello thường bị lỗi trên màn hình đăng nhập Chế độ an toàn khi không truy cập mạng nên nạn nhân sẽ bị mắc kẹt trong vòng lặp khởi động. * Cách khắc phục: Giữ Shift + Khởi động lại tại màn hình đăng nhập, chọn Khắc phục sự cố -> Tùy chọn nâng cao -> Dấu nhắc lệnh và chạy:

bcdedit /deletevalue {current} safeboot

Khởi động lại máy tính một cách bình thường (luôn rút bộ định tuyến Internet của bạn) để bạn có thể đăng nhập bằng mật khẩu hoặc mã PIN đã lưu trong bộ nhớ đệm và xóa phần mềm từ xa.

Tại sao hành vi trộm cắp phiên trình duyệt và kẻ đánh cắp thông tin lại yêu cầu xóa toàn bộ hệ điều hành

Ngay cả khi bạn xóa ScreenConnect, AnyDeskhoặc RustDesk dịch vụ ở Chế độ an toàn, bạn phải đánh giá xem kẻ lừa đảo có triển khai Kẻ đánh cắp thông tin thứ cấp (Lumma, RedLine, Vidar, Stealc) hoặc sao chép thư mục hồ sơ trình duyệt của bạn.

Trong phiên từ xa không giám sát, kẻ tấn công chỉ mất chưa đầy 8 giây để chạy tập lệnh PowerShell sao chép thư mục dữ liệu người dùng Google Chrome, Microsoft Edge hoặc Brave của bạn (C:\Users\<User>\AppData\Local\Google\Chrome\User Data\Default\) cùng với địa phương DPAPI khóa giải mã chính. Với những tệp đó trên máy chủ của chúng, kẻ tấn công sở hữu:

  1. Mọi mật khẩu được lưu trong trình quản lý mật khẩu tích hợp trong trình duyệt web của bạn.
  2. Cookie phiên hoạt động (Cookies và Network\Cookies Cơ sở dữ liệu SQLite): Ngay cả khi email hoặc ngân hàng của bạn sử dụng xác thực hai yếu tố (2FA), việc sở hữu cookie mã thông báo phiên được giải mã của bạn sẽ cho phép kẻ tấn công nhập hồ sơ trình duyệt của bạn vào trình duyệt chống phát hiện trên máy của họ và truy cập vào tài khoản Gmail, Outlook, Amazon hoặc sàn giao dịch tiền điện tử của bạn mà không cần mật khẩu hoặc 2FA mã.
  3. Kho tiền điện tử dựa trên trình duyệt (MetaMask, Phantom, Rabby): Tệp vault được mã hóa bên trong Local Extension Settings được lọc ra để ép buộc ngoại tuyến.

Warning

Chỉ thay đổi mật khẩu không phải lúc nào cũng tắt cookie phiên bị đánh cắp: Trên nhiều trang web, việc đặt lại mật khẩu không làm mất hiệu lực ngay lập tức mã thông báo phiên "Ghi nhớ thiết bị này" hiện có trừ khi bạn nhấp rõ ràng vào "Đăng xuất khỏi tất cả các thiết bị" hoặc "Thu hồi tất cả các phiên hoạt động." Đối với tài khoản Google, hãy truy cập myaccount.google.com/device-activity từ điện thoại sạch của bạn và đăng xuất mỗi phiên. Đối với tài khoản Microsoft, hãy truy cập account.microsoft.com/devices và nhấp vào "Đăng xuất ở mọi nơi."

Khi bạn phải thực hiện cài đặt lại hệ điều hành USB sạch

Mặc dù việc xóa dịch vụ Chế độ an toàn là đủ nếu bạn phát hiện kẻ lừa đảo trong vòng 10 giây sau khi cài đặt AnyDesk và chưa bao giờ cấp cho họ quyền quản trị viên hoặc quyền truy cập không giám sát, bạn phải xóa sạch ổ đĩa và thực hiện cài đặt hệ điều hành sạch từ thẻ USB nếu xảy ra bất kỳ trường hợp nào sau đây:

  • Màn hình của bạn bị đen (Blank Guest Monitor) hoặc chuột/bàn phím của bạn đã bị khóa.
  • Bạn đã nhìn thấy Dấu nhắc Lệnh (cmd.exe) hoặc cửa sổ PowerShell nhấp nháy trên màn hình.
  • Bạn để máy tính không được giám sát trong khi kẻ lừa đảo chạy quét bảo mật giả mạo.
  • Bạn đã cài đặt ConnectWise ScreenConnect (chạy như SYSTEM theo mặc định và cho phép thực thi tập lệnh shell nền vô hình).

Để thực hiện cài đặt lại an toàn: 1. Khi ngoại tuyến ở Chế độ an toàn, hãy cắm ổ flash USB hoàn toàn mới vào PC bị xâm nhập và sao chép chỉ các tệp dữ liệu cá nhân (.jpg, .pdf, .docx, .xlsx, video gia đình). Không bao giờ sao chép .exe, .msi, .bat, .ps1hoặc thư mục hồ sơ trình duyệt. 2. Sử dụng máy tính sạch, khác, tải xuống Windows Media Creation Tool chính thức từ Microsoft (microsoft.com/software-download) hoặc tạo trình cài đặt macOS có khả năng khởi động. 3. Khởi động PC bị xâm nhập từ trình cài đặt USB sạch, xóa tất cả các phân vùng hiện có trên ổ đĩa chính (Drive 0) và cài đặt một bản sao mới của hệ điều hành.

Bảo vệ quyền hợp pháp của bạn được ngân hàng hoàn trả

Các ngân hàng thường cố gắng từ chối các yêu cầu bồi hoàn gian lận trong các vụ lừa đảo truy cập từ xa bằng cách lập luận rằng vì bạn đã nhấp vào "Tải xuống" trên AnyDesk hoặc ScreenConnect, nên bạn đã "ủy quyền" các giao dịch hoặc đã hành động rất sơ suất. Biết cách thức hoạt động của các biện pháp bảo vệ ngân hàng tiêu dùng theo luật định trong phạm vi quyền hạn của bạn là rất quan trọng khi nói chuyện với người xét xử khiếu nại gian lận của ngân hàng của bạn.

Tại Hoa Kỳ: Đạo luật chuyển tiền điện tử (EFTA) và Regulation E (12 CFR § 1005)

Theo Đạo luật chuyển tiền điện tử liên bang (Regulation E), Cục Bảo vệ Tài chính Người tiêu dùng (CFPB) đã ban hành hướng dẫn giám sát chính thức nêu rõ: * Truy cập bắt buộc vẫn là "Chuyển tiền điện tử trái phép": Theo 12 CFR § 1005.2(m), chuyển tiền điện tử được thực hiện bởi một người có quyền truy cập vào tài khoản của người tiêu dùng thông qua lừa đảo hoặc cướp được pháp luật định nghĩa là EFT trái phép, ngay cả khi người tiêu dùng bị lừa cung cấp mật khẩu, mật mã một lần hoặc cài đặt phần mềm máy tính từ xa. * Sự sơ suất không thể được sử dụng để từ chối yêu cầu bồi thường của bạn: Giải thích chính thức của CFPB về Regulation E (Comment 6(b)-2) tuyên bố rằng sự sơ suất của người tiêu dùng (chẳng hạn như rơi vào cửa sổ bật lên lừa đảo hoặc cấp quyền truy cập máy tính từ xa cho kẻ lừa đảo) không thể được ngân hàng sử dụng để áp đặt trách nhiệm pháp lý lên người tiêu dùng lớn hơn Regulation E cho phép ($50 tối đa nếu được báo cáo trong vòng 2 ngày làm việc; $500 tối đa trong vòng 60 ngày). * Phân biệt giữa chuyển khoản do người tiêu dùng nhấp vào và chuyển khoản do người tiêu dùng nhấp vào: Nếu kẻ lừa đảo di chuyển chuột và nhấp vào "Gửi" sau màn hình đen trong phiên AnyDesk/ScreenConnect, thì đó là EFT trái phép được bảo vệ bởi Regulation E. Thông báo cho ngân hàng bằng văn bản: "Tôi đã không bắt đầu, ủy quyền hoặc nhấp vào nút chuyển khoản này; kẻ đe dọa tội phạm đã thực hiện chuyển khoản từ xa bằng cách sử dụng Trojan truy cập từ xa trong khi khóa màn hình của tôi, điều này cấu thành EFT trái phép theo 12 CFR § 1005.2(m)." Đính kèm bản bảo quản của bạn connection_trace.txt log hoặc nhật ký Trình quản lý điều khiển dịch vụ của Windows Event Viewer (Event ID 7045 hiển thị phút chính xác ScreenConnect hoặc AnyDesk dịch vụ đã được cài đặt) làm bằng chứng pháp lý.

Tại Vương quốc Anh, Liên minh Châu Âu, Canada và Úc

  • Vương quốc Anh (PSR & FOS): Nếu kẻ lừa đảo trực tiếp điều khiển máy tính của bạn để chuyển tiền, hãy báo cáo đó là Thanh toán trái phép theo Quy định dịch vụ thanh toán 2017. Nếu kẻ lừa đảo thao túng màn hình của bạn (Inspect Element hoàn tiền giả) để lừa bạn tự ủy quyền Thanh toán nhanh hơn, hãy báo cáo việc đó theo Cơ quan quản lý dịch vụ thanh toán (PSR) bắt buộc Thanh toán đẩy được ủy quyền (APP) Quy tắc hoàn trả gian lận và chuyển mọi quyết định từ chối lên Dịch vụ thanh tra tài chính (FOS).
  • Liên minh Châu Âu, Canada và Úc: Báo cáo sự việc ngay lập tức cho ngân hàng và cảnh sát quốc gia của bạn, nhấn mạnh rằng một trojan truy cập từ xa đã thực thi hoặc thao túng phiên. Báo cáo các tranh chấp ngân hàng chưa được giải quyết lên Thanh tra viên Dịch vụ Ngân hàng và Đầu tư (OBSI) ở Canada hoặc Cơ quan giải quyết khiếu nại tài chính Úc (AFCA) tại Úc theo ePayments Code.

Danh sách kiểm tra báo cáo và khắc phục sau sự cố

Hoàn thành mọi mục trong danh sách kiểm tra này trước khi kết nối lại mạng gia đình của bạn hoặc tiếp tục hoạt động ngân hàng trực tuyến bình thường:

  • Đã xác nhận cách ly vật lý: Máy tính bị xâm nhập đã bị ngắt kết nối vật lý khỏi Ethernet và Wi-Fi trước khi khắc phục sự cố khác.
  • Tài khoản ngân hàng bị phong tỏa và đánh số lại: Tất cả số tài khoản séc, tiết kiệm và HELOC hiển thị trên máy tính đã bị đóng và cấp lại số tài khoản mới.
  • Hàng đợi Bill Pay và ACH đã được lên lịch đã bị xóa: Đã được xác minh với người giám sát ngân hàng rằng không có séc Bill Pay trong tương lai, các liên kết ngân hàng bên ngoài (Plaid) hoặc hướng dẫn dây đứng đã được thêm vào trong phiên từ xa.
  • Đóng băng tín dụng đang hoạt động: Đóng băng bảo mật được đặt với Equifax, Experian, TransUnion và ChexSystems.
  • Quy tắc chuyển tiếp email đã được kiểm tra: Đăng nhập vào Gmail/Outlook/Yahoo từ điện thoại thông minh sạch và đã chọn Cài đặt -> Chuyển tiếp và POP/IMAP và Quy tắc / Bộ lọc cho các quy tắc ẩn tự động xóa hoặc chuyển tiếp email có chứa "Bank", "Fraud", "Wire"hoặc "Security Alert".
  • Kho mật khẩu trình duyệt đã được luân chuyển: Mọi mật khẩu được lưu trữ bên trong trình quản lý mật khẩu Chrome, Edge, Firefox hoặc Safari đã được thay đổi từ một thiết bị sạch.
  • Nhật ký điều tra đã được lưu và báo cáo chính thức được gửi: Gửi báo cáo bằng FBI IC3 (ic3.gov) và FTC (reportfraud.ftc.gov) ở Hoa Kỳ, Gian lận hành động (actionfraud.police.uk) ở Vương quốc Anh, Trung tâm chống lừa đảo Canada hoặc Scamwatch (scamwatch.gov.au) ở Úc. Đồng thời báo cáo mã nhị phân của trình cài đặt hoặc ID kết nối tới connectwise.com/company/trust/report-abuse hoặc anydesk.com/en/abuse.

Câu hỏi thường gặp

Kẻ lừa đảo đã cho tôi xem Windows Event Viewer và netstat trong Dấu nhắc Lệnh và nó chứa đầy hàng nghìn cảnh báo, lỗi và kết nối "ĐỊA CHỈ NƯỚC NGOÀI". Máy tính của tôi có thực sự bị hack trước khi tôi gọi cho họ không?

Không. Cả hai `eventvwr` (Trình xem sự kiện Windows) và `netstat` là những tiện ích quản trị thông thường được tích hợp trong mọi bản sao của Windows và những kẻ lừa đảo lạm dụng chúng như một công cụ tâm lý. Mọi máy tính Windows khỏe mạnh đều tạo ra hàng nghìn nhật ký Cảnh báo màu vàng và màu đỏ thông thường trong Trình xem sự kiện trong quá trình khởi động thông thường và cập nhật nền, đồng thời `netstat` liệt kê mọi kết nối nền thông thường mà trình duyệt và hệ điều hành của bạn thực hiện với máy chủ đám mây dưới dạng "Địa chỉ nước ngoài". Máy tính của bạn hoàn toàn an toàn cho đến thời điểm bạn làm theo hướng dẫn của người gọi để tải xuống và chạy công cụ truy cập từ xa của họ.

Làm thế nào kẻ lừa đảo làm cho trang web ngân hàng thực sự của tôi cho thấy họ vô tình gửi tiền $40,000 vào tài khoản séc của tôi nếu họ không thể hack được máy chủ của ngân hàng?

Khi kết nối với máy tính của bạn qua AnyDesk hoặc ScreenConnect, kẻ lừa đảo sẽ tắt màn hình của bạn trong 15 giây, nhấp chuột phải vào số dư ngân hàng của bạn trong trình duyệt web và nhấp vào **"Kiểm tra" (`Developer Tools`)**. Thao tác này sẽ mở văn bản HTML cục bộ được hiển thị trong tab trình duyệt của bạn. Kẻ lừa đảo chỉ cần gõ `$45,200.00` trên thực tế của bạn `$5,200.00` cân bằng và thêm dòng văn bản giả vào đọc `"ACH REFUND OVERPAYMENT +$40,000.00"` trên màn hình của bạn. Chỉnh sửa này chỉ tồn tại trong bộ nhớ tạm thời của tab trình duyệt của bạn (`DOM`) và biến mất ngay khi bạn làm mới trang (`F5`) hoặc kiểm tra số dư của bạn trên ứng dụng điện thoại thông minh. Ngoài ra, họ chuyển `$40,000` từ tài khoản tiết kiệm hoặc hạn mức tín dụng của chính bạn vào tài khoản séc của bạn và dán nhãn lại màn hình để lừa bạn chuyển tiền của chính bạn cho họ.

Nếu tôi gỡ cài đặt AnyDesk hoặc UltraViewer khỏi Bảng điều khiển, tôi có an toàn để bật lại Wi-Fi không?

Thông thường không phải không kiểm tra Dịch vụ Windows (`services.msc`) ở Chế độ an toàn trước. Các trung tâm cuộc gọi lừa đảo hỗ trợ kỹ thuật chuyên nghiệp biết rằng nạn nhân thường gỡ cài đặt AnyDesk hoặc UltraViewer ngay khi họ gác máy. Do đó, trong vòng hai phút đầu tiên sau khi kết nối với PC của bạn, những kẻ lừa đảo thường xuyên sử dụng phương pháp truyền tệp im lặng để thả **ConnectWise ScreenConnect** phụ, ẩn (`ScreenConnect.ClientService.exe`) hoặc tác nhân **SimpleHelp** không tạo lối tắt trên màn hình và ẩn bên trong `C:\Program Files (x86)\ScreenConnect Client (xxxx)`. Trừ khi bạn xác minh ở Chế độ an toàn rằng không có kẻ lừa đảo nào `SYSTEM` dịch vụ hoặc tác vụ theo lịch trình tồn tại hoặc thực hiện xóa toàn bộ hệ điều hành USB, việc kết nối lại với Wi-Fi có thể ngay lập tức trao lại quyền kiểm soát PC của bạn cho kẻ tấn công.

Kẻ lừa đảo có thể truy cập vào các máy tính hoặc điện thoại thông minh khác trên mạng Wi-Fi tại nhà của tôi chỉ vì tôi đã cài đặt AnyDesk trên một máy tính xách tay không?

Việc cài đặt AnyDesk hoặc ScreenConnect sẽ xâm phạm máy tính cụ thể nơi bạn chạy trình cài đặt chứ không phải trực tiếp vào điện thoại hoặc máy tính xách tay khác của bạn. Tuy nhiên, nếu bạn sử dụng **đồng bộ hóa phiên và mật khẩu Google Chrome, Microsoft Edge hoặc Apple iCloud** trên máy tính xách tay và điện thoại thông minh của bạn, thì bất kỳ mật khẩu nào mà kẻ lừa đảo đánh cắp hoặc thay đổi trên máy tính xách tay bị nhiễm sẽ ảnh hưởng đến tài khoản đám mây được chia sẻ của bạn. Ngoài ra, khi kết nối với máy tính xách tay của bạn, kẻ tấn công có thể đăng nhập vào trang quản trị bộ định tuyến gia đình của bạn (`192.168.1.1`) nếu nó vẫn sử dụng mật khẩu quản trị viên mặc định và thay đổi mật khẩu bộ định tuyến của bạn `DNS` cài đặt. Sau khi cách ly máy tính xách tay bị nhiễm, hãy khôi phục cài đặt gốc cho bộ định tuyến Wi-Fi của bạn hoặc xác minh cài đặt DNS và mật khẩu quản trị viên của nó từ một thiết bị sạch.

Hướng dẫn liên quan

Nguồn và hướng dẫn chính thức

  • Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA), Cục Điều tra Liên bang (FBI), Cơ quan An ninh Quốc gia (NSA), & Trung tâm phân tích và chia sẻ thông tin đa bang (MS-ISAC) (Hoa Kỳ): Cố vấn chung về an ninh mạng (AA23-025A): Bảo vệ chống lại việc sử dụng độc hại tính năng giám sát và quản lý từ xa (RMM) Phần mềm.
  • Cục Bảo vệ Tài chính Người tiêu dùng (CFPB) (Hoa Kỳ): Chuyển tiền điện tử (Regulation E, 12 CFR Part 1005) Các diễn giải chính thức và câu hỏi thường gặp về EFT trái phép và truy cập do gian lận.
  • Ủy ban Thương mại Liên bang (FTC) (Hoa Kỳ): Cách phát hiện, tránh và báo cáo các hành vi lừa đảo hỗ trợ kỹ thuật.
  • Trung tâm An ninh mạng Quốc gia (NCSC) & Hành vi gian lận (Vương quốc Anh): Bảo vệ thiết bị khỏi các công cụ truy cập từ xa trái phép và gian lận chia sẻ màn hình.
  • Trung tâm phản hồi tin cậy và bảo mật của ConnectWise: Xác định và loại bỏ ScreenConnect giả mạo (ConnectWise Control) Phiên bản máy khách.