远程协助骗局与正规平台审查机制对照表
| 审查话术场景 | 索要的远程软件 | 攻击者真实意图 | 正规赛事/平台真实做法 | 风险评级 |
|---|---|---|---|---|
| 电竞赛事资格“查机” | AnyDesk、RustDesk、TeamViewer | 窃取浏览器 Cookie、Steam Guard 令牌与本地凭据 | 依赖服务端 Demo 回放与内核反作弊遥测，绝不查机 | 极度致命（全盘沦陷） |
| “非法交易封禁”核验 | Quick Assist、UltraViewer | 趁受害者不备，利用已登录的浏览器直接转移库存 | 官方绝不通过远程桌面介入，仅通过站内工单处理 | 极度致命 |
| 仅要求“屏幕共享” | AnyDesk（开启鼠标键盘控制权） | 启用黑屏隐私模式阻断受害人操作，脚本秒转资产 | 正规语音平台（Discord/腾讯会议）纯看画面无控制权 | 极度危险 |
| 社区自办联赛验证 | 要求运行指定“查机脚本”或 .bat | 释放 RedLine/Vidar 等信息窃取木马直接打包内存 | 常规游戏内房间邀请，绝不需要玩家运行第三方脚本 | 极度致命 |
AnyDesk、TeamViewer 和 RustDesk 等远程桌面工具设计初衷是技术支持，但近年来被大量黑产团伙用于收割竞技玩家饰品与账号。骗子伪装成赛事裁判或交易中介，以“检查是否有透视挂”、“核验账号所有权”为借口索要连接码。一旦得手，他们通过自动化脚本秒盗 Session 凭证、黑屏锁死玩家鼠标，甚至直接清空 Steam、Epic 与社交账号。
典型攻击手法与黑产利用逻辑
- 窃取浏览器 Cookie 与 Steam 授权密钥：
- 攻击者根本不需要知道你的明文密码，也无需破解手机安全令。
- 远程连接建立后，黑客可以在 3 秒内通过命令行直接打包复制 Chromium 浏览器的
Default\Network\Cookies文件以及 Steam 客户端目录下的ssfn授权令牌。
- 启用黑屏隐私模式与键鼠锁定：
- 在 AnyDesk 中，对方可单方面开启“隐私模式”（受害者物理显示器彻底黑屏），并勾选“禁用本地输入”。受害者以为在“加载扫描”，实则后台脚本已在快速发起交易报价。
- PowerShell 隐蔽载荷投放：
- 骗子以“检测驱动”为由指导玩家在
Win + R中粘贴运行一段看似短小的 PowerShell 命令，该命令直接从内存加载免杀木马。
- 骗子以“检测驱动”为由指导玩家在
紧急应急处置与断网止损规程
如果你已经向陌生人提供了远程访问码，或屏幕突然不受控制，必须立刻执行以下处置：
- 物理拔掉网线 / 关停 Wi-Fi：
- 立即拔掉电脑网线或直接拔掉路由器电源。切勿尝试在软件界面中慢吞吞寻找“断开”按钮。
- 强杀远程软件进程：
- 断网重启进入 Windows 安全模式。
- 在 PowerShell 中强杀所有已知远程支持进程：
Get-Process -Name "AnyDesk", "TeamViewer", "RustDesk" | Stop-Process -Force
- 使用第二台干净设备撤销所有全域会话：
- 使用与受害 PC 隔离的手机（使用蜂窝移动网络）：
- Steam：进入 设置 -> 管理 Steam 令牌 -> “取消所有其他设备的授权”。立即修改密码，并在
steamcommunity.com/dev/apikey注销任何非法生成的 API Key。 - Discord：设置 -> 设备 -> “登出所有其他已知设备”。
- 邮箱与社交账号：在安全中心全局注销所有网页端登录态并更换密码。
- Steam：进入 设置 -> 管理 Steam 令牌 -> “取消所有其他设备的授权”。立即修改密码，并在
- 使用与受害 PC 隔离的手机（使用蜂窝移动网络）：
事故后安全核查清单
- 检查
%APPDATA%\Roaming\AnyDesk目录下是否存在攻击者预埋的无人值守密码配置。 - 打开任务管理器 -> 启动应用，排查是否存在异常启动项。
- 运行 Windows Defender 脱机版扫描以彻底清除内存驻留恶意脚本。