如何发现电脑被远控？

smarts

想到一个办法，不用电脑时用软件将屏幕亮度调的很暗，还有其他好办法吗？

lmw8023zz

？不明觉厉

aikafans

意义不大

ewader

意思和休眠模式差不多，如果有远控的人用电脑，亮度就增加了，不知道我理解的对不对

King、暮光

你调的是自己显示器的亮度吧，不影响远控者的屏幕

Eunismal

还不如把UAC改成要输密码而不是只用鼠标点击是或者否
自用脚本：

smarts

King、暮光 发表于 2025-4-29 17:44
你调的是自己显示器的亮度吧，不影响远控者的屏幕

调的是显卡亮度输出，今天就是发现离开电脑一会回来系统亮度变亮了

smarts

ewader 发表于 2025-4-29 17:12
意思和休眠模式差不多，如果有远控的人用电脑，亮度就增加了，不知道我理解的对不对

正确，失敬，请问oled对眼睛不如lcd的问题（一直使用ccfl背光的lcd）您是如何看待的

神龟Turmi

没有意义 就算你不插显卡（本机无任何输出）也是可以被正常远程的
这在Zen1-3时代（AMD Zen4开始桌面级才标配核显 并且AMD桌面级经常被用作入门级服务器）非常常见
各家板厂都提供了跳过显卡自检启动的bios选项
这种情况下即使不是恶意的远控木马 光靠windows自带的RDP（mstsc）都是可以正常连上的
因为远控（无论恶意与否）大部分都是在控制端而不是被控端渲染画面的

另外 现在的远控木马（不包括银狐这种）很多都是无文件实现 那些远控大部分不能直接获得画面 只获得一个反弹shell 这种情况下你的显示设置更没有任何意义
如果是APT团伙的定向攻击 那甚至可能连反弹shell都不会拿 参考那些被预编程了HID的bad usb
参考：https://bbs.kafan.cn/thread-2272205-1-1.html
这个例子里（虽然我用做测试 但是这实际上是一个APT团伙常用的前置工具）就在没有获得画面甚至没有和你电脑建立主动任何连接（只有你连接hub hub任何情况下都不会连接你）的情况下窃取文件/windows密码/浏览器凭据

这就是为什么要引入ATT&CK（https://attack.mitre.org/）和EDR类安全软件
真实世界中的攻击显然不可能是独立的事件 都是要经过一系列的前置步骤才能达到他们的目的的
在ATT&CK中这些步骤被分成了14个攻击的阶段 你说的“如何发现”取决于你再哪一个阶段发现了异常（或者安全软件产生了告警）

（图源：MITRE ATT&CK Evals 2024 - SentinelOne）
在这个例子中 假设你在如图的Command and Control阶段 Ingress Tool Transfer技战术发现了异常
（例如你根本不用ruby 但是出现了下载.rb脚本的情况 发现了不同于日常的行为）
那么你可以通过EDR的链来推导前面发生了什么
（该事件是先通过MacOS的zsh运行了命令->sudo提权->从zsh切换到bash->开始传输攻击相关工具）
此时你就可以继续排查这个zsh是不是你预期中的正常软件执行的 如果不是 那么这就可以判断受到了攻击

鄙人实在不善言辞 如果你需要了解这方面的更多知识 可以问一下@驭龙 大佬 他应该可以解释的更清楚

ewader

smarts 发表于 2025-4-29 19:49
ewader 发表于 2025-4-29 17:12
意思和休眠模式差不多，如果有远控的人用电脑，亮度就增加了，不知道我理 ...

oled的硬伤呗，没啥办法