虚假技术支持弹出式诈骗和删除未经授权的远程访问工具¶

當您的電腦螢幕突然鎖定為刺耳的全螢幕紅色或藍色警報，聲稱**“Windows Defender 安全中心：檢測到 Trojan.Spyware，請立即致電 Microsoft 支持，電話 1-800-...”（或 Apple macOS 同等警報，聲稱您的 iCloud 和銀行帳戶受到攻擊），您正在看到一個虛假技術支持詐騙 。即使屏幕上闪烁官方标志，通过扬声器播放响亮的警报器或机器人声音，并冻结鼠标光标，使您无法单击 X 按鈕，您的電腦沒有病毒。這只是一個惡意網頁，濫用瀏覽器的全螢幕 API（F11)、指針鎖定 API 和 網路音訊循環 讓您驚慌失措，致電犯罪呼叫中心。

然而，當您撥打螢幕上的電話號碼並允許「技術人員」安裝合法的商業遠端監控和管理 (RMM) 或遠端桌面工具（例如 AnyDesk、TeamViewer、ConnectWise ScreenConnect、UltraViewer、RustDesk、LogMeIn Rescue、Zoho Assist 或 Quick Assist）時，危險就變得真實了。一旦進入您的計算機，騙子就會黑掉您的顯示器（“安裝安全補丁”），打開您保存的瀏覽器密碼和網上銀行會話，操縱您的銀行網頁 HTML，使其看起來像是他們意外地“超額退款”了您 40,000 美元，並安裝持久的無人值守訪問 Windows 服務，以便他們可以在您的電話後在凌晨 3:00 重新登錄到您的計算機。本指南向您展示如何在 5 秒內擺脫凍結的瀏覽器畫面、立即切割活動的遠端連線、清除隱藏的 RMM 後台服務以及鎖定您的財務帳戶。

現在就這樣做¶

1. **立即拔掉乙太網路線，關閉電腦上的 Wi-Fi，或從牆壁電源插座拔下家庭 Wi-Fi 路由器。 **如果您已經撥打了電話號碼或讓某人連接到您的計算機，不要浪費時間在電話上與詐騙者爭論或嘗試用滑鼠關閉他們的視窗（他們可以鎖定您的滑鼠並黑屏）。拔掉 Wi-Fi 路由器的插頭或按住電腦的實體電源按鈕 10 秒鐘直到關閉，會立即中斷遠端控制工作階段。
2. 如果您尚未撥打該號碼，而只是停留在響亮且閃爍的「病毒警報」螢幕上，請按住 Alt + F4 （或 Ctrl + Shift + Esc 在 Windows 上，在工作管理員中終止瀏覽器，或按 Command + Option + Escape 強制退出 Mac 上的 Safari/Chrome。 ** 您尚未被駭客攻擊。警報只是一個以全螢幕資訊亭模式運作的網頁瀏覽器標籤。強制退出瀏覽器後，重新打開它並不要單擊“恢復頁面”**，這樣您的計算機就 100% 乾淨了。
3. If you DID let the caller connect to your computer or smartphone, call your bank, credit union, and brokerage fraud departments from a separate phone immediately. Even if you did not not yourt phone immedia over AnyDesk/ScreenConnect file-transfer channels that copy your browser's Login Data saved passwords and active session cookies in under 10 seconds, or initiate invisible ACH/Zelle/Wire transfers behind a blacked-out "Windows Update" curtain screen.關注我們的 銀行帳戶違規指南 現在。
4. Boot your computer with Wi-Fi and Ethernet COMPLETELY DISCONNECTED (or in Windows Safe Mode) before uninstalling AnyDesk, TeamViewer, ScreenConnect, or UltraViewer. Simply clicking the X on AnyDesk or TeamViewer does not remove the scammer's access if they configured "Unattended Access" or installed a silent ConnectWise ScreenConnect (ScreenConnect.ClientService) Windows 後台服務。 Keep the computer offline while you uninstall every remote tool created today and disable its Windows Service / macOS LaunchDaemon using the steps below.
5. Never buy gift cards, withdraw physical cash, deposit checks, or send cryptocurrency or wire transfers to "reverse an accidental overpayment refund." A signature trick of tech support scammers is to pressmers is to pressmers is to F12 （瀏覽器開發工具）登入您的銀行帳戶後，編輯您的支票餘額的 HTML 文本 $2,500 到 $42,500，並驚慌失措地哭泣，聲稱他們“不小心輸入了 $40,000 而不是 $400 除非您電匯或郵寄回額外的款項，否則將被解僱 $39,600」。 實際上沒有一分錢存入您的帳戶；他們要么編輯了您螢幕上的號碼，要么轉移了 $40,000 從您自己的儲蓄/HELOC 帳戶存入您的支票帳戶。
6. **如果詐騙者聲稱他們正在派遣「聯邦特工」或「快遞員」到您家領取現金或金條，請立即報警。 ** 從電話操縱轉向將實體錢騾快遞員送到您的前門是一種正在進行中的重罪犯罪。鎖上門並撥打當地的緊急電話號碼（美國和加拿大為 911，歐盟地區為 112，英國為 999），或查看我們的 緊急號碼 目錄）。

技術支援詐騙和遠端存取遏制決策樹¶

flowchart TD
    Root["遇到技術支援彈出視窗、虛假發票電子郵件或遠端存取詐騙"] --> DidConnect{"您是否撥打過該號碼或讓某人連接到您的電腦/手機？"}

    DidConnect -->|"否：只看到瀏覽器中大聲閃爍的彈出螢幕"| BrowserKill["1. Windows：在 Chrome/Edge/Firefox 上按 Ctrl+Shift+Esc -> 結束任務<br/>2. Mac：按 Cmd+Option+Esc -> 強制退出 Safari/Chrome<br/>3。重新開啟瀏覽器，無需點擊「恢復頁面」-> 清除快取並阻止網站通知<br/>（零安裝惡意軟體；您 100% 安全）"]

    DidConnect -->|"是：安裝了軟體、輸入了 9 位元代碼或輸入了他們給我的 URL"| CutNet["第 1 步：立即斷開 Wi-Fi 並拔下乙太網路線（或拔下路由器）"]

    CutNet --> BankLock["步驟 2：使用乾淨的手機致電您的銀行/經紀詐欺部門以凍結帳戶、取消卡片並阻止電匯"]

    BankLock --> PurgeRMM["步驟 3：當 PC 處於離線狀態時，卸載 AnyDesk、TeamViewer、UltraViewer、RustDesk 並終止隱藏的 ScreenConnect / GoTo 服務"]

    PurgeRMM --> AuditSys["步驟 4：刪除惡意 Windows 管理員使用者（「網路使用者」）、刪除啟動任務、撤銷「syskey」或 BitLocker 陷阱，並執行 Defender 離線掃描"]

    AuditSys --> RotateCreds["步驟 5：在乾淨的裝置上，輪換電子郵件、銀行和密碼管理器密碼，然後按一下“退出所有會話”"]

第 1 階段：如何關閉凍結的全螢幕「病毒警報」彈出視窗（如果您沒有呼叫它們）¶

為什麼假冒的微軟或蘋果警告會鎖定您的滑鼠遊標並拒絕讓您點擊關閉按鈕？當您不小心點擊了拼字錯誤的網域時（例如 youtbe.com 或 espnn.com）或惡意廣告網路重新導向，該網頁在 10 毫秒的快速循環中觸發了三個合法的 HTML5 瀏覽器 API： 1. Element.requestFullscreen()：將網頁拉伸到整個顯示器，隱藏 Windows 工作列、Mac Dock 和瀏覽器標籤。 2. Element.requestPointerLock(): Captures your mouse cursor inside an invisible 1-pixel box (originally designed for 3D browser games like Minecraft), making it appear that your mouse is frozen. 3. window.onbeforeunload + window.print() 對話框循環：彈出無盡的對話框，因此單擊 Esc 立即重新觸發全螢幕。

如何在 10 秒內消除 Windows、macOS、Chromebook 和 iPad 上的彈出窗口¶

1. 在 Windows 10 和 Windows 11 上：
2. 按Ctrl + Shift + Esc 在鍵盤上（這將直接在凍結的瀏覽器上方開啟 Windows 工作管理員）。
3. *（如果您的滑鼠遊標仍然被困住，請使用 Down Arrow 鍵以反白 Google Chrome、Microsoft Edge 或 Mozilla Firefox，然後按 Delete 鍵或Alt + E 點選 結束任務)。 *
4. 重新開啟瀏覽器時的重要步驟：當您再次開啟 Chrome 或 Edge 時，右上角的小氣泡會詢問：「Chrome 未正確關閉。[恢復]」。 請勿按一下「復原」（按一下「復原」會重新開啟惡意標籤）。點選 X 消除泡沫。
5. 在 Apple macOS (MacBook / iMac) 上：
6. 按Command (⌘) + Option (⌥) + Escape 在鍵盤上開啟 強迫退出應用程式 視窗。
7. 選擇 Safari 或 Google Chrome，然後按一下 強制退出。
8. 按住Shift 鍵，同時點擊 Dock 中的 Safari 或 Chrome 圖示來啟動它。控股 Shift 在啟動過程中，強制 macOS 開啟一個乾淨的空白視窗而不恢復前一個會話的鎖定標籤。
9. 消除重复出现的桌面通知弹出窗口（右下角的“McAfee：发现 5 种病毒”）：
10. 如果您看到病毒警告從 Windows 工作列右下角**（或 Mac 螢幕右上角）滑出，即使您在正常網站上也是如此，那麼您幾天前不小心在瀏覽器推送通知提示上單擊了**“允許”**。
11. 在 Chrome 中：複製並貼上 chrome://settings/content/notifications 進入網址列。查看 “允许发送通知” 列表下方，单击三个点 (⋮) 在每个不熟悉的网站旁边，然后选择 删除/阻止。
12. 在 Microsoft Edge 中：開啟 edge://settings/content/notifications 并删除 允许 下的所有无法识别的站点。
13. 在 Apple Safari (macOS) 中：開啟 Safari > 設定 > 網站 > 通知，然後對每個不熟悉的網站選擇 拒絕 或 刪除。

第 2 阶段：彻底删除诈骗者远程访问工具（RMM 清除協議）¶

如果您致电诈骗者并按照他们的指示访问网站（例如 anydesk.com, ultraviewer.net, help.me, fastsupport.com，或自訂鏈接，例如 support247.screenconnect.com）並執行下載的文件，**在審核並刪除每個遠端存取後門時，保持電腦與互聯網完全斷開連接（關閉 Wi-Fi，拔下乙太網路）。

为什么诈骗者同时安装两个或三个不同的远程访问工具¶

一旦詐騙者透過 AnyDesk 或 Windows Quick Assist 連接到您的電腦，他們的第一個無聲後台操作（同時在電話上分散您的注意力）就是安裝 第二個隱形企業遠端監控和管理 (RMM) 代理，最常見的是 ConnectWise ScreenConnect (Wise ScreenConnect (Wise ScreenConnect (Wise)ScreenConnect Client)、Atera、Syncro、MeshCentral、SimpleHelp 或 戰術 RMM。 - 為什麼？因为即使您产生怀疑、挂断电话并从桌面卸载 AnyDesk，ScreenConnect 也会作为隐藏程序运行 NT AUTHORITY\SYSTEM Windows 後台服務（ScreenConnect Client (xxxx)）沒有桌面圖示。當您的 PC 重新連接到 Wi-Fi 時，詐騙者仍然可以 100% 靜默、無人值守地對您的電腦進行 root 存取。

诈骗者滥用的远程访问和 RMM 工具的主查找表¶

用于检测、停止和根除所有隐藏 RMM 服务的分步 PowerShell 脚本 (Windows)¶

當您的 Windows PC 離線時，請右鍵單擊 開始 按鈕 -> 按一下 終端機（管理員） 或 PowerShell（管理員），然後執行此診斷和中和腳本以顯示和停用電腦上安裝的每個遠端存取服務：

# 1. List all running or installed Windows Services matching common RMM / Remote Access tools:
Get-Service | Where-Object {
    $_.DisplayName -match "AnyDesk|TeamViewer|ScreenConnect|ConnectWise|UltraViewer|RustDesk|Zoho|LogMeIn|GoTo|Supremo|SimpleHelp|Mesh Agent|Atera|Syncro|Splashtop" -or
    $_.Name -match "AnyDesk|TeamViewer|ScreenConnect|UltraViewer|RustDesk|Zoho|LMI|GoTo"
} | Select-Object Status, Name, DisplayName

# 2. Immediately STOP and DISABLE every matched remote access service so it can never start again:
Get-Service | Where-Object {
    $_.DisplayName -match "AnyDesk|TeamViewer|ScreenConnect|ConnectWise|UltraViewer|RustDesk|Zoho|LogMeIn|GoTo|Supremo|SimpleHelp|Mesh Agent|Atera|Syncro|Splashtop"
} | ForEach-Object {
    Stop-Service -Name $_.Name -Force -ErrorAction SilentlyContinue
    Set-Service -Name $_.Name -StartupType Disabled -ErrorAction SilentlyContinue
    Write-Host "Stopped and Disabled Service: $($_.DisplayName)"
}

# 3. Check for any software or folders created or modified in the last 72 hours in Program Files & ProgramData:
Get-ChildItem -Path "C:\Program Files", "C:\Program Files (x86)", "C:\ProgramData", "$env:APPDATA", "$env:LOCALAPPDATA" -Directory -Force -ErrorAction SilentlyContinue |
  Where-Object { $_.CreationTime -gt (Get-Date).AddDays(-3) } |
  Select-Object CreationTime, FullName

在PowerShell停止服務後： 1. 按Win + R，輸入appwiz.cpl，然後按 Enter 打开经典的程序和功能控制面板。 2. 单击 “安装于” 列标题，将所有已安装的程序按 最新到最旧 的顺序排序。 3. 卸載詐騙當日安裝的所有程式（包括 AnyDesk、TeamViewer、UltraViewer、RustDesk、ScreenConnect Client、Zoho Assist、GoTo Opener， 或假冒「防毒/驅動程式清理程式」）。 4. 删除剩余的 ScreenConnect 和 AnyDesk 文件夹：在文件资源管理器中，删除 C:\Program Files (x86)\ScreenConnect Client*, C:\ProgramData\AnyDesk, 和 %APPDATA%\AnyDesk （刪除 C:\ProgramData\AnyDesk\service.conf 销毁诈骗者保存的无人值守密码哈希和 AnyDesk ID）。

在 Apple macOS 上逐步刪除遠端存取 LaunchDaemons¶

在 Mac 上（Wi-Fi 已关闭**），诈骗者会在其中安装持久后台代理 /Library/LaunchDaemons 和 /Library/LaunchAgents。打開終端機 (Applications > Utilities > Terminal）並運行：

# 1. Inspect all third-party background LaunchDaemons and LaunchAgents for remote access tools:
ls -la /Library/LaunchDaemons /Library/LaunchAgents ~/Library/LaunchAgents

# 2. Unload and delete any ScreenConnect, AnyDesk, TeamViewer, Zoho, or LogMeIn persistence plists:
sudo launchctl bootout system /Library/LaunchDaemons/*screenconnect* 2>/dev/null
sudo launchctl bootout system /Library/LaunchDaemons/*anydesk* 2>/dev/null
sudo launchctl bootout system /Library/LaunchDaemons/*teamviewer* 2>/dev/null
sudo rm -rf /Library/LaunchDaemons/*screenconnect* /Library/LaunchAgents/*screenconnect* /opt/screenconnect*
sudo rm -rf /Applications/AnyDesk.app ~/.anydesk /Library/LaunchDaemons/*anydesk* /Library/LaunchAgents/*anydesk*
sudo rm -rf /Applications/TeamViewer.app /Library/LaunchDaemons/*teamviewer* /Library/LaunchAgents/*teamviewer*

第三阶段：扭转“诈骗者报复锁定”（msconfig 安全啟動鎖， net user 密碼鎖定和 BitLocker 陷阱）¶

當技術支援詐騙者意識到您拒絕向他們付款或掛斷電話時，他們經常會在您的電腦上花費最後 15 秒，試圖將您鎖定在 Windows 之外，以便他們可以向您勒索「解鎖密碼」：

1. 反轉 msconfig 「無網路安全啟動」鎖定陷阱¶

騙子喜歡壓榨 Win + R -> 類型 msconfig -> 檢查 安全啟動（最小） -> 透過以下方式變更您的本機 Windows 使用者帳戶密碼 net user -> 並強制重新啟動。當您的電腦重新啟動進入離線安全模式時，您的正常 Windows Hello PIN 會被停用，並且 Windows 會要求詐騙者剛剛設定的密碼。 - 如何突破： 1. 在 Windows 登入畫面上，按住 Shift 鍵，同時點選電源圖示 -> 重新啟動，進入藍色的 Windows 復原環境 (WinRE) -> 疑難排解 > 進階選項 > 命令提示字元。 2. 如果騙子禁用了正常啟動 bcdedit （safeboot minimal），執行此命令立即恢復正常啟動：

bcdedit /deletevalue {default} safeboot

net user

2. 檢查騙子是否竊取了您儲存的瀏覽器密碼（Login Data / iCloud 鑰匙圈）¶

当您的屏幕被 TeamViewer 或 ScreenConnect 的“黑屏”功能黑屏时，诈骗者是否导出了您的密码？ - 開啟Google瀏覽器（chrome://password-manager/settings) 或 Microsoft Edge (edge://wallet/settings）。诈骗者通常会点击**“导出密码”（或复制您的密码） %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data SQLite 檔案和 Local State 連線後 30 秒內取得 DPAPI 金鑰）。 - 假设您的网络浏览器中存储的每个用户名和密码都被骗子复制了。 ** 使用獨立、乾淨的電腦或智慧型手機更改您的電子郵件、銀行、經紀、稅務、亞馬遜和社交媒體密碼，並使用我們的 會話令牌劫持和全域會話撤銷 指導。

3. 审核和删除 Android 或 iPhone 上安装的远程访问应用程序 (AnyDesk / TeamViewer QuickSupport）¶

越來越多的技術支援和假冒“Geek Squad / Amazon / Norton Refund”詐騙者還強迫受害者在其 iPhone 或 Android 智慧型手機 上安裝 AnyDesk Remote Control 或 TeamViewer QuickSupport，以便詐騙者可以直接從受害者的手機螢幕上讀取筆記型電腦上傳入的銀行 6 位元組 2FA 筆記本電腦： - 在 Android 上：開啟 飛航模式，開啟 設定 > 應用程式 > 查看所有應用程式，然後卸載 AnyDesk、TeamViewer QuickSupport、Zoho Assist 或任何 「AdControl/外掛程式」 幫助程式包。接下来，打开 设置 > 辅助功能 -> 下载的应用程序 并确保没有远程控制插件拥有辅助功能权限。 - 在 iPhone / iPad 上：在 iOS 上，AnyDesk 和 TeamViewer 無法直接移動您的手指，但它們透過 Apple 的螢幕廣播擴充程式串流您的即時 iPhone 螢幕（包括傳入的 SMS 2FA 橫幅）。從右上角向下滑動以開啟 控制中心，確認紅色 螢幕錄製/螢幕廣播按鈕 已關閉，從主螢幕中刪除 AnyDesk 或 TeamViewer 應用程序，然後檢查 設定 > 常規 > VPN 和裝置管理 以刪除任何未知的設定檔。

第 4 阶段：如果您付款、登录银行或上传身份证件，则进行财务遏制¶

如果詐騙者看到您登入銀行，說服您支付「5 年防火牆訂閱」費用，或用虛假的「40,000 美元超額付款退款」HTML 編輯來欺騙您：

1. 如果您在诈骗者连接时登录网上银行：
2. 立即致電您銀行的詐欺部門。告訴他們：「我是遠端存取技術支援騙局的受害者，犯罪分子在我的網路銀行會話打開時透過 AnyDesk/ScreenConnect 控制了我的電腦。」
3. 要求銀行：
   • 關閉您暴露的支票和儲蓄帳號並開設新帳號（因為詐騙者會在您的銀行門戶內打開您的 PDF 月度對賬單，以復制您完整的路由號碼和帳號，以用於將來的 ACH 借記欺詐）。
   • 取消任何待处理的 ACH 转账、Zelle 付款、账单支付支票或电汇。
   • 检查诈骗者是否在您自己的内部账户之间转账（例如，转移 $25,000 從您的儲蓄或房屋淨值信用額度存入您的支票帳戶，以偽造「超額付款退款」）。
   • 撤銷所有活動的 OAuth 聚合器令牌（Plaid、Yodlee、Finicity）並重設您的網路銀行使用者名稱、密碼和安全問題。
4. 如果您購買了 Target、Apple、Razer Gold、Lowe's、Home Depot 或 Steam 禮品卡：
5. 即使您已經向詐騙者讀取了禮品卡背面的 PIN 碼，也請立即手持卡收據撥打實體卡背面的官方禮品卡欺詐/客戶服務號碼。 Major issuers (Apple, Target, Home Depot, Lowe's, Walmart) can freeze the remaining unspent balance on stolen gift card numbers and refund you if caught before the scammer's gift-card laundering broker liquiing them.
6. 如果您提供了社會安全號碼、醫療保險號碼或駕照/護照照片：
7. 使用我們的 Equifax、Experian 和 TransUnion（以及用於銀行帳戶的 ChexSystems）對您的信用報告進行立即、免費的安全凍結 身分盜竊應對和信用恢復 指導。

預防：如何防止電腦被詐騙並保護年長的父母或親戚¶

如果您在遭受技術支援詐騙後要為自己、父母或祖父母清理計算機，請在五分鐘內應用這四個技術護欄，以便詐騙者永遠無法再次連接：

• 安裝廣告和惡意廣告攔截器（uBlock Origin / uBlock Origin Lite）在每個瀏覽器中：超過 90% 的虛假全螢幕 Microsoft 和 Apple 病毒彈出視窗是透過新聞、食譜、填字遊戲或搶注網站上的惡意廣告交換重定向提供的。安裝 uBlock Origin 在加載之前阻止 99.9% 的虛假技術支援彈出域。
• 將家用路由器或瀏覽器 DNS 切換到惡意軟體封鎖 DNS 解析器 (1.1.1.2 或 9.9.9.9)：將電腦或路由器 DNS 設定為 Cloudflare for Families (1.1.1.2 和 1.0.0.2) 或 Quad9 (9.9.9.9)，它會在 DNS 層自動阻止新註冊的技術支援詐騙網域。
• 建立 Windows 軟體限制/AppLocker 或防火牆規則阻止 AnyDesk.exe, ScreenConnect, 和 UltraViewer: On a relative's computer who never legitimately uses third-party remote desktop tools, convert their daily Windows account from an Administrator account to a **Standard User account (keeping a separate, passwordstecate Adob​​oge so 你）。 silently install SYSTEM級 RMM 服務，無需管理員 PIN。
• Tape a physical reminder label to the top bezel of the computer monitor: Write clearly on a small label: "Microsoft, Apple, Geek Squad, and your Bank will NEVER pop up a phone number on screen orift askyou NEVER pop up a phone number on screen orift ask you Ullll. close."

常見問題¶

相關指南¶

• 惡意軟體、勒索軟體和間諜軟體感染
• 會話令牌劫持、資訊竊取惡意軟體和金鑰撤銷
• 銀行帳戶外洩和未經授權的電匯
• 身分盜竊回應和信用恢復
• 密碼管理器鎖定和緊急保管庫恢復
• Deepfake 語音克隆與人工智慧假扮詐騙
• 緊急號碼目錄

來源已檢查¶

• Federal Trade Commission (FTC) (United States): How to Spot, Avoid, and Report Tech Support Scams (Pop-Up Warnings, Refund Overpayment Scams, and Gift Card Fraud).
• Cybersecurity and Infrastructure Security Agency (CISA), FBI, and NSA Joint Cybersecurity Advisory (AA23-025A) (United States): *Protecting Against Malicious Use of Remote Monitoring and Management (RMM) Software (ConnectWise ScrConnect and Any of Remote Monitoring and Management (RMM) Software (ConnectWise ScrConneen and AnyDeskeen Abeen
• 国家网络安全中心 (NCSC) 和欺诈行动（英国）：* 处理可疑的技术支持电话和未经授权的远程访问删除*。
• Microsoft 安全响应中心和 Apple 平台安全：技术支持诈骗官方指南 (support.microsoft.com/security）、浏览器全屏/PointerLock 滥用以及删除未经授权的配置文件。