www.blacknazgul.fora.pl

Nazgul

Keyloggery programowe - wykrywanie i obrona

Często a może i wszyscy twórcy Keyloggerów piszą w swoich ofertach reklamowych coś takiego:
- tego keyloggera nie można wykryć żadnym oprogramowaniem
- logi są zaszyfrowane i ofiara nie ma możliwości ich podejrzenia itd itd.
Problem jest w tym, że kilka takich programików przejrzałem samym oprogramowaniem narzędziowym zawartym w Windowsach iiii
i bez żadnego problemu odnalazłem ich wynik pracy czyli pliki ze zrzutami ekranowymi i
i bez żadnego problemu przejrzałem te pliki nie stosując nawet programu matki czyli Keylogger.exe i nawet bez żadnego problemu oślepiłem je uniemożliwiając im prowadzenie inwigilacji/zapisu na dysku !! bez konieczności ich hibernacji czy remowania !!
Dopiszę może jeszcze takie spostrzeżenie a mianowicie jak takiemu ZWIERZOWI popatrzy się dłużej prosto w oczy to będzie bezczelnie ujadał i zasypywał komunikatami - przykład
Nie mogę dokonać zapisu do pliku ....... ponieważ aplikacja jest używana przez
Muszę uczciwie jednak dopisać że testowałem tylko kilka Keyloggerów, więc może i są jakieś CUDOWNE WYNALAZKI, które są bardziej zakamuflowane w strukturze innych folderów lub nawet plików zainstalowanych programów lub bezpośrednio w samym Windowsie i nie dają się żadnymi metodami podejrzeć ani wykryć choć jednak z natury w cuda osobiście nie wierzę.

Wykrywanie Keyloggerów programowych
W praktyce, jak widzę to wykrycie zarówno samego Keyloggera, oraz jego zapisek do pliku nie stanowi praktycznie żadnego problemu, nie potrzeba używać nawet do tego celu żadnego oprogramowania anty szpiegowskiego, wystarczy tylko sam Szlachetny Windows, ale jeżeli użyjemy do pomocy dodatkowo znanego powszechnie Total Commandera, to praktycznie możemy robić z takim Keyloggerem w swoim komputerze wszystko.

Uwaga !! wywalenie Keyloggera z dysku jest najbardziej złym rozwiązaniem !! W takiej sytuacji możemy się już nigdy nie dowiedzieć kto nam go zainstalował, oraz najważniejsze - nie możemy PODSYŁAĆ fałszywych informacji !! czyli oszukiwać swojego wroga !!.
Jeżeli jesteśmy bardzo słabi w informatyce to szanse na ponowne jego wykrycie będą żadne, gdyż przeciwnik zastosuje lepsze metody lub nawet ich kilka i praktycznie to będzie oznaczało koniec z naszą poufnością !.!!.

Takim charakterystycznym objawem zainstalowania Keyloggera jest SAMO ? przestawienie się nastawieñ w Eksploratorze, które będzie polegało na ukryciu plików z atrybutem UKRYTY !.

Jeżeli zauważyliśmy jakiegoś dnia, że zniknęły ??? nam pewne pliki w Eksploratorze z atrybutem ukryty, to na 100% jest już pewne, że mamy zainstalowanego Keyloggera.

Czyli, o ile było do tej pory w Eksploratorze odhaczone / włączone menu

Narzędzia/Opcje Folderów/Widok/ Pokaż ukryte pliki i foldery

i pewnego dnia to ustawienie SAMO się zmieniło to - mamy już zainstalowanego Keyloggera !!

Jest tylko jeden mały problem z tym menu, dowcipnisie z Microsoftu zaszydzili ze zdrowego rozsądku i tak jak w całym WInie wszystko zrobili na odwrót czyli tak, by PRZESTĘPCA miał maksymalną wygodę w swoich kryminalnych działaniach, więc domyślnie ta opcja jest wyłączona po zainstalowaniu Windowsów !!!.

To jest jeden z wielu przykładów, że Keylogger programowy nie jest niewidzialny jeżeli chodzi o sam program, ale także to się odnosi do bazy/katalogu logów/plików/zrzutów ekranowych, które rosną do monstrualnych rozmiarów o ile nie zostanie taki szpieg wyłączony przez włamywacza. Dlatego po istnieniu takiej gigantycznej bazie logów jest bardzo prosta i łatwa możliwość wykrycia pracy każdego Keyloggera, choć samego programu możemy nigdy nie odnaleźć o ile nie mamy odpowiedniej wiedzy informatycznej.

Techniki wykrywania Keyloggerów programowych

*

Za pomocą znacznika
*

Metoda przez komparację plików i katalogów
*

Metoda przez aktywację innym oprogramowaniem
*

Metoda słownikowa

Za pomocą znacznika
Za pomocą tej metody możemy wykryć bardzo dokładny moment/czas w którym w naszym systemie zostaje zainstalowany jakiś Keylogger programowy. Jeżeli nasz system operacyjny został zainstalowany ileś miesięcy temu, to w tym przypadku nie bardzo ma sens stosowanie takiego znacznika, gdyż szpiegów możemy mieć w komputerze już od liku, ale jeżeli dopiero niedawno skonfigurowaliśmy system i całość oprogramowania, to warto stracić trzy minutki na taki BEZPIECZNIK- ZNACZNIK.

Tak jak napisałem wyżej, opcja nie pokazywania plików z atrybutem UKRYTY jest domyślnie włączona, więc ją musimy odhaczyć. Czyli w
Eksploratorze/Narzędzia/Opcje folderów/Widok/Pokaż ukryte pliki i foldery
musimy zaznaczyć ten wpis. Następnie robimy PUSTY np. katalog na pulpicie, tylko po to by mieć na ekranie jego ikonkę. Jeżeli zrobimy nie katalog, a np. skrót do dokumentu czy programu [nawet pustego !!] to będziemy mogli takiej ikonie nadać całkiem dowolny wygląd, włącznie z możliwością wyedytowania odpowiedniej jakiejś "wściekłej" ikony w programie graficznym, która będzie się bardzo wrzucała w oczy.
I tak, jeżeli to jest nasz prywatny komputer, to możemy tej ikonie nadać nazwę np. KEYLOGGER, ale ikony nie uda się zmienić więc pozostaje jako typowy FOLDER. Ale jeżeli jest to komp firmowy, to taki numer nie ma sensu gdyż pracodawca natychmiast się nim zainteresuje, wiec ten nowy folder musimy nazwać tak, by nigdy nie był obiektem żadnego nawet najmniejszego podejrzenia że coś spiskujemy. Nazywamy wiec go MOJE DOKUMENTY, nic nie szkodzi że jest już inny folder systemowy o takiej samej nazwie, ale ma on i tak inną ikonkę.
W następnym kroku z menu kontekstowego nadajemy temu folderowi atrybuty UKRYTY i umieszczamy ten nasz DETEKTOR keyloggerów w jakimś bardzo widocznym miejscu, choćby w samym centrum ekranu.
Tak więc od tego momentu możemy natychmiast wyłapać czas w którym zostaje zainstalowany Keylogger zarówno przez naszą przemiłą zazdrosną żoneczkę jak i przez pracodawcę. Zniknięcie tej ikonki jednoznacznie informuje nas o fakcie zainstalowania szpiega w Systemie.

Dodatkowe wyjaśnienie

Tym znacznikiem wykryjemy moment zainstalowania nie tylko Keyloggera ale i pewnych wirusów włącznie z trojanami, czyli wszelkie robactwo które ROBI ZMIANÊ WPISU W REJESTRZE odnośnie nie pokazywania plików i folderów z atrybutem UKRYTY.
Ale jest pewne ale - jeżeli twórca takiego robactwa robił je byle jak, szedł na skróty i nie używał logiki, to takiego TYFUSU już nie wykryjemy tego rodzaju znacznikiem i musimy się posługiwać inną bardziej złożoną metodą analityczną.