Zdalny pulpit to wygodne narzędzie, ale jednocześnie mechanizm wykorzystywany przez oszustów podszywających się pod pomoc techniczną — warto wiedzieć, jak rozpoznać różnicę.

Objaw

Ten temat odpowiada na częste wątpliwości klientów: skąd wiadomo, że instalowany program do połączenia zdalnego jest bezpieczny, i jak odróżnić prawdziwą, zamówioną pomoc od próby wyłudzenia dostępu do komputera.

Możliwe przyczyny

Zamiast usterki, ten punkt opisuje mechanizm zagrożenia: oszuści dzwonią, podając się za pomoc techniczną, bank albo dostawcę internetu, i namawiają do zainstalowania programu do zdalnego dostępu, przejmując w ten sposób kontrolę nad komputerem ofiary — dokładnie ten scenariusz opisany jest przy pomocy po oszustwie i zdalnym przejęciu komputera.

Co robimy

Kluczowa zasada bezpieczeństwa: program do połączenia zdalnego instaluje się wyłącznie wtedy, gdy klient sam zgłosił się do serwisu, nigdy na telefon przychodzący z zewnątrz od nieznanej osoby podającej się za wsparcie techniczne. Podczas sesji zdalnej klient przez cały czas widzi, co dzieje się na ekranie, i może w każdej chwili przerwać połączenie. Po zakończeniu sesji program do zdalnego dostępu przestaje działać i nie pozostaje żaden trwały dostęp do komputera.

Ile to trwa

Ten temat nie dotyczy konkretnej usługi czasowej, tylko zasad bezpieczeństwa obowiązujących przy każdej sesji zdalnej pomocy.

Co można zrobić samemu, zanim przyjedzie serwisant

Warto zapisać sobie numer telefonu do zaufanego serwisu, żeby w razie problemu samodzielnie zainicjować kontakt, zamiast reagować na przychodzące telefony od nieznanych osób oferujących „pomoc techniczną".

Czego nie robić: nie warto instalować żadnego programu do zdalnego dostępu na prośbę osoby, która sama zadzwoniła, niezależnie od tego, jak wiarygodnie się przedstawia — bank, dostawca internetu ani firma technologiczna nie proszą w ten sposób o zdalny dostęp do komputera.

Warunki

Zasady bezpieczeństwa opisane powyżej obowiązują przy każdej sesji zdalnej realizowanej przez serwis, bez wyjątków.

Jak technicznie działa bezpieczne połączenie zdalne

Bezpieczne połączenie zdalne opiera się na technologii przekazywania obrazu pulpitu oraz poleceń sterujących myszą i klawiaturą przez sieć teleinformatyczną. Oprogramowanie klienckie nie wysyła plików systemowych w sposób ciągły, lecz przesyła skompresowany i zaszyfrowany strumień wideo prezentujący aktualny stan ekranu. Do nawiązania sesji wykorzystuje się bezpieczne protokoły sieciowe, w tym TLS (Transport Layer Security, czyli protokół kryptograficzny zapewniający poufność i integralność transmisji danych) oraz asymetryczne szyfrowanie kluczem RSA (algorytm kryptograficzny oparty na parze klucza publicznego i prywatnego) w połączeniu z 256-bitowym szyfrowaniem AES (Advanced Encryption Standard, zaawansowany standard symetrycznego szyfrowania blokowego). Taki zestaw zabezpieczeń uniemożliwia podejrzenie przesyłanych danych lub ich modyfikację przez osoby trzecie znajdujące się w tej samej sieci lokalnej lub na trasie przesyłu pakietów.

Autoryzacja dostępu w bezpiecznym oprogramowaniu do pomocy zdalnej przebiega dwuetapowo. Pierwszym elementem jest identyfikator stanowiska (unikalny numer ID przypisany do danej instalacji programu). Sam identyfikator nie wystarcza jednak do połączenia. Drugim, kluczowym zabezpieczeniem jest dynamiczne hasło jednorazowe (losowo generowany ciąg znaków tworzony na nowo przy każdym uruchomieniu aplikacji). Hasło to musi zostać odczytane przez użytkownika i przekazane serwisantowi podczas rozmowy telefonicznej. Bez ręcznego podania tego hasła lub kliknięcia przycisku akceptacji w oknie dialogowym żaden zewnętrzny komputer nie ma możliwości nawiązania sesji.

W profesjonalnym wsparciu doraźnym stosuje się wyłącznie połączenia bez trwałego dostępu nienadzorowanego (ang. unattended access, czyli funkcja pozwalająca na logowanie się do urządzenia pod nieobecność użytkownika przy użyciu stałego hasła). Programy uruchamiane są w trybie jednorazowym, co oznacza, że po zakończeniu prac serwisowych i zamknięciu okna aplikacji proces jest całkowicie usuwany z pamięci operacyjnej RAM (pamięć o dostępie swobodnym służąca do przechowywania tymczasowych danych uruchomionych procesów), a ponowne połączenie staje się niemożliwe bez ponownej interwencji użytkownika.

Różnice między autoryzowaną pomocą techniczną a atakiem socjotechnicznym

Odróżnienie legalnej pomocy serwisowej od próby oszustwa wymaga zwrócenia uwagi na kilka kluczowych elementów zachowania osoby po drugiej stronie połączenia. Podstawową różnicą jest kierunek kontaktu. Autoryzowany technik podejmuje działania wyłącznie w odpowiedzi na bezpośrednie zgłoszenie złożone przez klienta. Cyberprzestępcy stosują natomiast metodę niezamówionych połączeń telefonicznych (tzw. cold calling), dzwoniąc losowo i podając się za pracowników banku, dostawców usług internetowych lub działy bezpieczeństwa globalnych korporacji technologicznych.

W trakcie legalnej sesji serwisant na bieżąco informuje o podejmowanych krokach, a jego działania są w pełni widoczne na ekranie. Użytkownik widzi każdy ruch kursora, otwierane okna oraz wpisywane polecenia. Prawdziwy technik nigdy nie ukrywa zawartości ekranu. Oszuści bardzo często uruchamiają funkcję określaną jako tryb kurtyny (ang. curtain mode lub black screen, czyli mechanizm programowy zaciemniający fizyczny monitor użytkownika pod pozorem przeprowadzania poufnych aktualizacji), co w rzeczywistości ma uniemożliwić zauważenie kradzieży poufnych danych lub autoryzacji niepożądanych operacji.

Kolejną cechą ataku socjotechnicznego (ang. social engineering, czyli zespół technik manipulacji mających na celu nakłonienie człowieka do wykonania określonych czynności) jest wywoływanie presji czasu oraz sztuczne demonstrowanie rzekomych zagrożeń. Oszuści często otwierają narzędzie eventvwr (Podgląd zdarzeń, czyli wbudowany w system Windows dziennik rejestrujący standardowe błędy i ostrzeżenia aplikacji) i przekonują, że naturalne wpisy systemowe to ślady złośliwego oprogramowania. Często uruchamiają również w wierszu poleceń cmd (interpreter poleceń tekstowych w systemie Windows) instrukcję tree lub dir /s, twierdząc, że generowana lista katalogów to proces skanowania antywirusowego. Autoryzowany serwisant posługuje się wyłącznie rzetelnymi narzędziami diagnostycznymi i nie stosuje technik manipulacyjnych.

Warianty oprogramowania do zdalnego pulpitu i poziomy uprawnień

Oprogramowanie wykorzystywane do połączeń zdalnych występuje w kilku podstawowych wariantach, które różnią się sposobem instalacji oraz zakresem uprawnień w systemie operacyjnym:

Aplikacje przenośne (ang. portable, czyli wersje niewymagające instalacji w rejestrze systemowym) — program uruchamia się bezpośrednio z pobranego pliku wykonywalnego bez instalacji trwałych usług w tle. Po zamknięciu okna program całkowicie kończy pracę. Jest to najbezpieczniejszy wariant do pojedynczych interwencji diagnostycznych i konfiguracyjnych.
Aplikacje z instalacją usługi systemowej (ang. system service, czyli proces działający w tle z uprawnieniami konta SYSTEM) — oprogramowanie integruje się z systemem operacyjnym i uruchamia automatycznie przy każdym starcie komputera. Ten wariant stosuje się głównie w stałej administracji serwerami lub komputerami firmowymi, natomiast nie jest zalecany przy okazjonalnej pomocy technicznej dla użytkowników indywidualnych.
Sesje z uprawnieniami administracyjnymi a mechanizm UAC (User Account Control, czyli Kontrola Konta Użytkownika) — mechanizm bezpieczeństwa systemu Windows, który wymaga potwierdzenia przy każdej próbie uruchomienia programu modyfikującego pliki systemowe lub rejestr. W podstawowym trybie zdalnym serwisant nie widzi komunikatów UAC ze względów bezpieczeństwa, chyba że użytkownik nada aplikacji odpowiednie uprawnienia podczas uruchamiania.
Połączenia z ograniczonymi prawami (tryb tylko do podglądu, ang. view-only) — konfiguracja, w której osoba łącząca się z zewnątrz widzi obraz pulpitu, lecz ma całkowicie zablokowaną możliwość sterowania kursorem, wprowadzania tekstu z klawiatury oraz przesyłania plików (ang. file transfer).

Typowe błędy użytkowników przy korzystaniu ze zdalnego wsparcia

Podczas korzystania z pomocy zdalnej użytkownicy często popełniają błędy wynikające z niewiedzy lub pośpiechu, co może prowadzić do obniżenia poziomu bezpieczeństwa urządzenia:

Pozostawianie aktywnego programu w zasobniku systemowym (ang. system tray, czyli obszar powiadomień na pasku zadań obok zegara) — po zakończonej sesji zdalnej należy upewnić się, że aplikacja została całkowicie wyłączona, a nie jedynie zminimalizowana do ikony w tle.
Udostępnianie stałego hasła dostępu zamiast hasła jednorazowego — w niektórych programach istnieje opcja ustawienia stałego hasła nienadzorowanego. Przekazanie takiego hasła nieznanej osobie pozwala jej na logowanie się do urządzenia w dowolnym momencie w przyszłości bez pytania o zgodę.
Brak nadzoru nad przebiegiem sesji — odejście od komputera w trakcie trwania połączenia uniemożliwia kontrolę nad tym, jakie pliki i foldery są otwierane przez osobę zdalnie sterującą systemem.
Pobieranie oprogramowania z nieoficjalnych źródeł — wpisywanie nazwy programu w wyszukiwarce internetowej i klikanie sponsorowanych linków reklamowych może prowadzić do pobrania zmodyfikowanego instalatora zawierającego trojana lub program szpiegujący. Pliki należy pobierać wyłącznie z oficjalnej strony producenta danego narzędzia lub z odnośnika wskazanego bezpośrednio przez zaufanego serwisanta.
Logowanie się do serwisów bankowych podczas aktywnego połączenia — w trakcie sesji zdalnej nigdy nie należy logować się do bankowości elektronicznej, podawać kodów autoryzacyjnych SMS ani zatwierdzać powiadomień w aplikacjach mobilnych banku.

Procedura postępowania po nieautoryzowanym połączeniu zdalnym

W przypadku podejrzenia, że dostęp do komputera uzyskała nieuprawniona osoba, niezbędne jest natychmiastowe wdrożenie procedury ratunkowej w celu minimalizacji ryzyka utraty danych i środków finansowych:

Pierwszym krokiem jest bezwzględne odcięcie urządzenia od sieci. Należy odłączyć fizyczny kabel sieciowy Ethernet (standard przewodowej transmisji danych w sieciach lokalnych) lub wyłączyć moduł bezprzewodowy Wi-Fi (standard bezprzewodowej łączności radiowej w sieciach lokalnych), a w razie trudności z obsługą systemu odłączyć zasilanie routera domowego. Odcięcie Internetu natychmiast przerywa aktywną sesję zdalną i uniemożliwia dalsze transfery danych z komputera.

Drugim krokiem jest weryfikacja stanu kont użytkowników oraz zaplanowanych zadań. Cyberprzestępcy często tworzą ukryte konta lokalne z uprawnieniami administratora lub dodają wpisy w narzędziu Task Scheduler (Harmonogram zadań, czyli usługa systemowa uruchamiająca określone programy o zadanym czasie), co pozwala na automatyczne odtworzenie połączenia po ponownym włączeniu Internetu. Konieczne jest także sprawdzenie rejestru systemowego (regedit, czyli edytor rejestru Windows) oraz folderów autostartu pod kątem obecności złośliwego oprogramowania typu RAT (Remote Access Trojan, czyli trojan zdalnego dostępu działający w ukryciu jako usługa tła).

Trzecim krokiem jest zmiana wszystkich haseł dostępowych do poczty elektronicznej, serwisów społecznościowych i portali usługowych. Zmianę haseł należy przeprowadzić wyłącznie z innego, w pełni bezpiecznego urządzenia (na przykład ze smartfona połączonego przez sieć komórkową lub innego niezainfekowanego komputera), nigdy z maszyny, która była celem ataku.

Czwartym krokiem jest przeprowadzenie pełnej diagnostyki systemu operacyjnego. Jeśli nie ma pewności, jakie modyfikacje zostały wprowadzone w strukturze plików i rejestru, zaleca się wykonanie kopii zapasowej istotnych danych na zewnętrzny nośnik, a następnie przeprowadzenie czystej instalacji systemu Windows lub przywrócenie stanu fabrycznego z nośnika instalacyjnego. W przypadku problemów technicznych nasz serwis dojeżdża do klientów na terenie całej Warszawy oraz okolicznych gmin, realizując niezbędną diagnostykę i czyszczenie systemów na miejscu.

Kiedy połączenie zdalne nie jest wystarczające i konieczna jest wizyta technika

Połączenie zdalne to narzędzie przeznaczone do rozwiązywania problemów czysto programowych o niskim i średnim stopniu skomplikowania (takich jak konfiguracja poczty, instalacja sterowników czy wstępna optymalizacja rejestru). Istnieje jednak szeroka grupa usterek, których usunięcie przez pulpit zdalny jest technicznie niemożliwe:

Usterki fizyczne podzespołów — uszkodzenia sektorów na dysku twardym (ang. bad sectors, czyli zdegradowane komórki pamięci flash lub uszkodzone sektory magnetyczne talerza dyskowego), błędy pamięci operacyjnej RAM, awarie układu zasilania czy uszkodzenia mostka płyty głównej wymagają diagnostyki przy użyciu mierników, testerów sprzętowych oraz wymiany fizycznych elementów.
Brak możliwości uruchomienia systemu operacyjnego — błędy bootloadera (programu rozruchowego ładującego jądro systemu), uszkodzenia plików BCD (Boot Configuration Data, czyli bazy danych konfiguracji rozruchu) lub niebieskie ekrany BSOD (Blue Screen of Death, krytyczny błąd zatrzymania jądra systemu) występujące przed załadowaniem środowiska sieciowego uniemożliwiają nawiązanie jakiegokolwiek połączenia zdalnego.
Brak łączności sieciowej — uszkodzenie fizycznej karty sieciowej LAN/WLAN, uszkodzenie gniazda RJ-45 lub uszkodzenie stosu sieciowego TCP/IP (Transmission Control Protocol/Internet Protocol, podstawowy zestaw protokołów transmisyjnych) odcina komputer od Internetu, co wyklucza pomoc zdalną.
Głębokie infekcje typu rootkit i bootkit — zaawansowany złośliwy kod zagnieżdżony w strukturach MBR (Master Boot Record, główny sektor rozruchowy) lub na partycji systemowej EFI (Extensible Firmware Interface) może manipulować odpowiedziami systemu operacyjnego i ukrywać swoją obecność przed skanerami uruchamianymi z poziomu aktywnego systemu. Wymaga to uruchomienia środowiska ratunkowego z zewnętrznego nośnika USB.
Przegrzewanie się laptopa i zabrudzenie układu chłodzenia — nagromadzenie kurzu na radiatorze oraz degradacja pasty termoprzewodzącej (substancji poprawiającej przewodnictwo cieplne między rdzeniem procesora a radiatorem) powoduje throttling (termiczne obniżanie częstotliwości taktowania procesora w celu ochrony przed przegrzaniem) i wymaga fizycznego demontażu obudowy urządzenia.

W takich sytuacjach jedynym skutecznym rozwiązaniem jest bezpośrednia wizyta specjalisty, który zdiagnozuje urządzenie na miejscu u klienta bez konieczności transportowania sprzętu.

Często zadawane pytania dotyczące bezpieczeństwa połączeń zdalnych

Czy serwisant widzi prywatne pliki i hasła podczas połączenia zdalnego?

Serwisant widzi dokładnie ten sam obraz, który wyświetla się na ekranie monitora. Jeśli na pulpicie lub w otwartych oknach znajdują się dokumenty, będą one widoczne tak samo, jak dla osoby siedzącej przed komputerem. Hasła wpisywane w formularzach logowania są standardowo maskowane kropkami lub gwiazdkami, więc ich treść nie jest widoczna. Nowoczesne przeglądarki internetowe nie ujawniają zapisanych haseł bez podania hasła do konta użytkownika systemu Windows. Dodatkowo klient przez cały czas kontroluje ruch i może w dowolnym momencie zminimalizować lub zamknąć aplikacje zawierające poufne informacje.

W jaki sposób można natychmiast przerwać trwającą sesję zdalnego pulpitu?

Przerwanie połączenia jest możliwe na kilka sposobów. Najprostszym rozwiązaniem jest kliknięcie przycisku rozłączenia (zazwyczaj oznaczonego jako „Rozłącz" lub „Zakończ sesję") w pływającym pasku narzędzi programu zdalnego pulpitu. Można również zamknąć główne okno programu klikając symbol krzyżyka w prawym górnym rogu. W sytuacji awaryjnej, gdy kursor nie reaguje lub ekran został zablokowany, najskuteczniejszą metodą jest natychmiastowe odłączenie komputera od zasilania sieciowego lub wyłączenie modułu Wi-Fi.

Czy po zakończeniu sesji serwisant może połączyć się ponownie bez wiedzy użytkownika?

Przy poprawnie skonfigurowanym oprogramowaniu do pomocy doraźnej ponowne połączenie bez wiedzy i zgody użytkownika jest niemożliwe. Kod jednorazowy traci swoją ważność w momencie zamknięcia sesji. Przy kolejnym uruchomieniu programu generowane jest zupełnie nowe, losowe hasło, którego serwisant nie zna, dopóki nie zostanie mu ono ponownie podyktowane przez telefon.

Czym różni się wbudowany pulpit zdalny Windows od aplikacji firm trzecich?

Wbudowana w system funkcja RDP (Remote Desktop Protocol) jest przeznaczona głównie do pracy zdalnej w sieciach lokalnych lub korporacyjnych. Jej uruchomienie powoduje zablokowanie lokalnego ekranu monitora (użytkownik siedzący przed komputerem widzi jedynie ekran logowania), co uniemożliwia podglądanie działań osoby sterującej. Z kolei dedykowane narzędzia do zdalnego wsparcia (takie jak AnyDesk, TeamViewer czy RustDesk) działają w trybie współdzielenia ekranu (ang. screen sharing), dzięki czemu klient i serwisant widzą dokładnie ten sam obraz w tym samym czasie.

Co zrobić, jeśli podczas podejrzanego połączenia ekran nagle zrobił się czarny?

Zaciemnienie ekranu podczas rozmowy z nieznaną osobą to bezpośredni sygnał próby ukrycia nieautoryzowanych działań (np. transferu plików, kradzieży ciasteczek sesyjnych przeglądarki lub instalacji złośliwego oprogramowania). Należy natychmiast wyłączyć komputer, przytrzymując przycisk zasilania przez 5 sekund (tzw. twarde wyłączenie, ang. hard power off), odłączyć kabel zasilający oraz odłączyć router od gniazdka elektrycznego, a następnie zlecić weryfikację bezpieczeństwa systemu specjalistom.

Świadome i bezpieczne korzystanie ze zdalnego wsparcia komputerowego

Zdalna pomoc techniczna to wysoce efektywny sposób usuwania problemów z oprogramowaniem i konfiguracją systemu, pozwalający na natychmiastową reakcję bez konieczności oczekiwania na przyjazd ekipy serwisowej. Warunkiem zachowania pełnego bezpieczeństwa danych jest jednak bezwzględne przestrzeganie zasady ograniczonego zaufania: nawiązywanie połączeń wyłącznie z zaufanymi serwisami z własnej inicjatywy, bieżąca kontrola czynności wykonywanych na ekranie oraz dbanie o całkowite zamykanie sesji po wykonaniu usługi. W sytuacjach, w których źródłem problemu jest awaria sprzętowa, brak dostępu do Internetu lub podejrzenie głębokiej infekcji systemu, optymalnym i w pełni bezpiecznym rozwiązaniem pozostaje bezpośrednia diagnostyka urządzenia na miejscu u klienta.

22 378 48 09

Bezpieczeństwo połączenia zdalnego — na co zwrócić uwagę