Keylogger
Keylogger to narzędzie zapisujące naciśnięcia klawiszy (i często kontekst: aktywne okno, czas). Forma bywa programowa albo sprzętowa. Cel w rękach napastnika: hasła, treść maili, numery kart, odpowiedzi w komunikatorach. W rękach pracodawcy albo rodzica etykieta bywa “monitoring”. Technicznie mechanizm bywa podobny. Zgoda, prawo i threat model robią różnicę etyczną i prawną. Tu opisuję wektor kradzieży i obronę.
Na blackweb.pl keylogger pojawia się przy spyware, infostealerach i trojanach. Część stealerów i tak bierze hasła z magazynu przeglądarki. Keylogger uzupełnia to, czego nie było zapisanego: hasło wpisane z pamięci, kod z SMS przepisany ręcznie, treść poza autofillem.
Software i hardware
Programowy siedzi w systemie: hook klawiatury, odczyt zdarzeń, czasem przechwytywanie schowka i zrzutów. Dostaje się przez malware. Antywirus i EDR czasem łapią, czasem nie, zwłaszcza przy świeżych wariantach.
Sprzętowy to mały adapter między klawiaturą a portem, albo zmodyfikowana klawiatura. Sygnatur antywirusowych nie obchodzi. Wymaga fizycznego dostępu albo łańcucha dostaw. W modelu “kawiarnia i obcy USB” ma sens. W modelu “zdalny napastnik przez phishing” raczej nie. Nie mieszaj tych dwóch bez potrzeby.
Na telefonach odpowiednikiem bywają złośliwe klawiatury z store’ów albo implanty czytające input przed szyfrowaniem aplikacji. E2EE nie chroni przed kompromisem warstwy wprowadzania.
Co z tego wynika dla haseł
Hasło wpisywane znak po znaku jest widoczne dla keyloggera. Menedżer haseł wklejający pełny sekret zmniejsza okno (schowek też bywa celem, więc ochrona jest częściowa). 2FA utrudnia monetyzację samego hasła, o ile drugi składnik nie jest przepisywany z tego samego zainfekowanego pulpitu albo nie jest przejmowany równolegle. Passkeys i klucze sprzętowe zmieniają grę, bo nie ma “wpisanego” sekretu w klasycznym sensie. Patrz też passkeys.
Po podejrzeniu infekcji sama zmiana hasła z tej samej maszyny jest słabym ruchem. Czyste urządzenie, potem rotacja, potem przegląd sesji.
Wykrywanie i ograniczenie
Nietypowe procesy, nowe sterowniki, dziwne uprawnienia dostępności na macOS, nieznane rozszerzenia. Fizyczny przegląd portów na wspólnych stanowiskach. Polityka USB w firmie. Na stacjach wrażliwych: kompartmentacja (opsec), mało kont w jednej sesji, świadomość, że bankowość na hoście po cracku gry to zły żart.
Nie buduję tu keyloggera i nie podaję bibliotek hookujących. Opisuję klasę, bo w raportach i w skargach użytkowników słowo wraca regularnie.
Keylogger a stealer
Stealer często wygrywa bez logowania klawiszy: bierze cookie i zapisane loginy. Keylogger jest uzupełnieniem albo starszą techniką w tym samym arsenale. Po alercie zakładaj oba. Tekst Infostealery. Logi po infekcji pokazuje, co jeszcze wychodzi z przeglądarki.