Een nieuwe online zwendel maakt gebruik van nep-beveiligingsscans, die zich voordoen als Microsoft-producten, om gebruikers bang te maken en hen ertoe aan te zetten hun antivirussoftware te verwijderen. Deze zwendels presenteren zich met bekende logo's en beangstigende waarschuwingen in plaats van concreet bewijs.

De valse webpagina's claimen een apparaat te inspecteren en rapporteren ernstige beveiligingsfouten, zoals problemen met browserisolatie, geheugen zwakheden, firmware beveiligingsinstellingen, Windows updates en processorprestaties. Veel van deze scanresultaten zijn vooraf ingebakken in de webpagina's en komen niet voort uit een daadwerkelijke beoordeling van het systeem. Een website is niet in staat om zulke diepgaande computeronderdelen te inspecteren of nauwkeurig te bepalen of de antivirusbescherming functioneert. De weergegeven beveiligingsscore is bewust beperkt tot een bereik van 13 tot 30 van de 100.

Deze zwendels verzamelen basale browserinformatie, zoals schermgrootte en apparaatgegevens, om een nep-scanrapport op te stellen dat is afgestemd op de computer van de bezoeker. Deze informatie wordt gecombineerd met standaardwaarschuwingen om een technisch en alarmerend rapport te creëren.

De valse webpagina's beweren ten onrechte dat antivirussoftware van derden niet langer wordt ondersteund door Windows. Hoewel Windows Microsoft Defender Antivirus in een passieve modus kan zetten wanneer een compatibel product van een derde partij is geïnstalleerd, betekent dit niet dat andere antivirusproducten niet meer worden ondersteund. Het verwijderen van antivirussoftware is een veelvoorkomende en schadelijke instructie binnen deze zwendel. Aanvallers hebben er belang bij om de beveiliging op endpoints te verwijderen of te verzwakken. Malwarebytes heeft 11 gerelateerde sites gevonden die op dezelfde server worden gehost. Elke site maakt gebruik van vergelijkbare SysScan-branding, doet zich voor als een door Microsoft gelieerde veiligheidscontrole en beweert dat de antivirussoftware van de bezoeker systeemproblemen veroorzaakt.

De zwendel initieert aanvankelijk geen download, maar vertrouwt op een website, een valse score, een formulier voor klantgegevens en een beloofd telefoongesprek om vertrouwen op te bouwen. Slachtoffers kunnen denken dat ze te maken hebben met een legitiem ondersteunings- of terugbetalingsproces voordat cybercriminelen vragen om toegang op afstand of bankgegevens.

Na de nep-scan presenteren de sites een formulier dat vraagt om uitgebreide persoonlijke informatie, waaronder namen, adressen, telefoonnummers, e-mailadressen, banknamen, geclaimde terugbetalingsbedragen, gebruikersnamen voor cryptovaluta, antivirusgegevens en inloggegevens voor toegang op afstand. Het formulier bevat ook velden voor een agent-ID, agentnaam en bedrijf, wat suggereert dat een medewerker het slachtoffer telefonisch kan begeleiden.

Het uiteindelijke doel is om slachtoffers naar een nep-terugbetalingsproces te leiden. De ingevoerde informatie wordt gebundeld en via de bot API van Telegram verzonden. Vervolgens wordt het slachtoffer doorgestuurd naar een pagina die beweert dat een refund manager binnen drie tot vijf minuten zal bellen, terwijl een herhalende kantoorvideo de wachttijd officieel moet laten lijken.

Slachtoffers kunnen kiezen uit 30 tools voor toegang op afstand, waardoor cybercriminelen controle over de computer kunnen krijgen na overtuiging dat een terugbetaling moet worden verwerkt. Software voor toegang op afstand kan criminelen directe toegang geven tot gevoelige accounts en bestanden. Soortgelijke terugbetalingsfraude maakt gebruik van legitieme tools voor monitoring op afstand, die aanvallers misbruiken om bankactiviteiten te manipuleren of de controle over het apparaat van een slachtoffer te behouden.

Personen die toegang hebben verleend, moeten hun apparaat loskoppelen van internet, de tool voor toegang op afstand verwijderen, het verwijderde antivirusproduct opnieuw installeren, het updaten en een volledige scan uitvoeren. Als bankgegevens zijn gedeeld of online bankieren is benaderd tijdens het telefoongesprek, moet onmiddellijk contact worden opgenomen met de bank via een zelfstandig gevonden telefoonnummer, en moeten wachtwoorden van e-mail en bankrekeningen worden gewijzigd vanaf een apart, vertrouwd apparaat.

Elke webpagina die beweert een volledige computerbeveiligingsscan uit te voeren, moet met voorzichtigheid worden benaderd. Een legitiem bedrijf zal niet eisen dat beschermende software wordt verwijderd als voorwaarde voor ondersteuning, een terugbetaling of een veiligheidscontrole. Het sluiten van de webpagina is de veiligste reactie wanneer een scan alleen slechte resultaten oplevert en onmiddellijke actie vereist.

Slachtoffers moeten niet uit schaamte wachten met het melden van incidenten, omdat snelle actie de kans op financieel verlies of verdere accountcompromittering kan verkleinen.