INsec PRAKTIKA · KIBERNETINIS SAUGUMAS

Netikra IT pagalba telefonu: kaip „Quick Assist“ ir RMM įrankiai panaudojami atakose

Užpuolikas paskambina darbuotojui, prisistato IT pagalbos specialistu ir paprašo „tik trumpam“ pasidalinti ekranu. Tam gali būti panaudota visiškai teisėta nuotolinės pagalbos programa. „Cisco Talos“ Q3 incidentų apžvalgoje aprašytas ransomware atvejis, kai darbuotojas buvo įtikintas pradėti „Microsoft Quick Assist“ sesiją.

· INsec techninė praktika · socialinė inžinerija / nuotolinė prieiga
37 %„Cisco Talos“ incidentų, kuriuose nustatytas pradinis patekimas, siejosi su phishing, įskaitant balso sukčiavimą.
27 %Q3 incidentų sudarė ransomware ir paruošiamieji ransomware atvejai.
Quick AssistTeisėta „Windows“ pagalbos programa, kurią auka gali pati paleisti ir suteikti prieigą.
RMMĮprasti IT administravimo įrankiai, kuriuos užpuolikas gali bandyti išnaudoti savo naudai.
Statistika yra „Cisco Talos“ reagavimo į incidentus klientų atvejų dalis, o ne visų įmonių ar kibernetinių atakų rinkos matas. Svarbi pamoka – teisėta programa savaime negarantuoja, kad konkreti sesija yra patikima.

Kaip prasideda apgaulė?

Skambinantysis gali sakyti, kad aptiko virusą, blokuojamą el. paštą, neįprastą prisijungimą ar „Microsoft 365“ sutrikimą. Jis sukuria skubos jausmą ir pasiūlo greitą sprendimą: atidaryti „Quick Assist“, įvesti jo pateiktą kodą ir leisti peržiūrėti ekraną. Gali būti prašoma suteikti ir pilną valdymą.

„Quick Assist“ nėra savaime kenkėjiška programa. „Microsoft“ aprašo, kad pagalbininkas sugeneruoja vienkartinį sesijos kodą, o pagalbos prašantis žmogus jį įveda ir patvirtina ekrano bendrinimą. Jei prašoma pilno valdymo, naudotojas turi atskirai jį leisti. Todėl telefoninis spaudimas, netikėta užklausa ar kodą diktuojantis nepatikrintas asmuo – svarbūs pavojaus ženklai.

Ką stebėjo „Cisco Talos“?

Q3 2026 apžvalgoje „Cisco Talos“ rašo apie kelis atvejus, kai užpuolikai telefonu apsimetė IT pagalba ir manipuliavo naudotojais, kad šie suteiktų nuotolinę prieigą per teisėtą nuotolinio valdymo ir stebėsenos (RMM) įrankį. Viename VYPR ransomware tyrime naudotojas buvo įtikintas paleisti „Microsoft Quick Assist“. Po pradinės prieigos užpuolikas pasitelkė nuotolinio valdymo programinę įrangą ir „PowerShell“, kad atsisiųstų bei įdiegtų MSI paketą.

„Talos“ tame atvejyje taip pat matė įrankius, skirtus tinklo paieškai, nuotoliniam vykdymui ir duomenų kopijavimui. Tyrėjai pastebėjo, kad užpuolikas bandė išjungti endpoint apsaugą. Tai konkretaus incidento aprašymas, o ne teiginys, kad kiekvienas netikras skambutis iškart baigsis ransomware ataka.

Ką įmonė turėtų susitarti iš anksto?

  • Vienas aiškus pagalbos kanalas. Nustatykite, kaip IT darbuotojai ir tiekėjai kreipiasi į naudotojus, kaip identifikuojami skambučiai ir kur registruojamos užklausos.
  • Patikra ne tuo pačiu skambučiu. Jei žmogus paskambino netikėtai, darbuotojas turi teisę padėti ragelį ir perskambinti įmonės kataloge esančiu numeriu.
  • Nuotolinės prieigos sąrašas. Apibrėžkite, kuriuos įrankius galima naudoti, kas gali juos įdiegti ir kaip registruojamos sesijos. Nežinomas įrankis neturi būti diegiamas vien todėl, kad „taip paprašė IT“.
  • Mažiausios teisės. Kasdienės paskyros neturėtų turėti vietinio administratoriaus teisių. Administravimo veiksmai atliekami atskira paskyra, patvirtintu būdu ir tik tada, kai būtina.
  • RMM ir PowerShell matomumas. Stebėkite naujų nuotolinio valdymo agentų diegimą, netikėtą MSI paleidimą, neįprastas „PowerShell“ komandas ir apsaugos priemonių išjungimą.
  • Pratybos be kaltinimo. Darbuotojai turi žinoti, kad pranešti apie įtartiną skambutį ar netyčia patvirtintą sesiją yra teisingas veiksmas, o ne priežastis slėpti incidentą.

Jei darbuotojas jau suteikė prieigą

Užbaikite nuotolinę sesiją ir kuo greičiau informuokite vidinę IT komandą. Pagal įmonės incidentų planą izoliuokite paveiktą kompiuterį nuo tinklo, išsaugokite įvykių informaciją ir patikrinkite, ar nebuvo įdiegta nauja nuotolinio valdymo programa ar MSI paketas. Iš švaraus įrenginio peržiūrėkite ir, jei reikia, atšaukite aktyvias paskyrų sesijas, pakeiskite galimai atskleistus slaptažodžius bei patikrinkite MFA. Nešalinkite įtartinų failų prieš užfiksuojant informaciją, jei vyksta tyrimas.

Trumpa taisyklė darbuotojams: tikra IT pagalba gali paaiškinti, kas skambina, parodyti užklausą registruotame kanale ir palaukti, kol jūs patikrinsite tapatybę. Spaudimas skubėti, slaptai jungtis ar apeiti įmonės tvarką – priežastis sustoti.

Šaltiniai

„Cisco Talos“ statistika apima jos reagavimo į incidentus Q3 2026 klientų atvejus, o ne visą rinką. Informacija patikrinta 2026-10-31.

Ar jūsų darbuotojai žino, kaip patikrinti nuotolinės pagalbos prašymą?

INsec padeda įvertinti įmonės prieigas, nuotolinio administravimo įrankius, darbo vietų apsaugą ir reagavimo į incidentus tvarką.

Aptarti kibernetinį saugumą