Популярно о клавиатурных шпионах и ПО для их детектирования
Программы для скрытого наблюдения за работой на компьютере
Типы программ для выявления клавиатурных шпионов
PrivacyKeyboard 7.4, Anti-keylogger 7.4
Как известно, изначально под клавиатурными шпионами (кейлоггер, кейлогер, key logger, keylogger) понимались программы, которые незаметно для пользователя записывали все нажатия клавиш в файл и зачастую использовались злоумышленниками для кражи паролей, логинов и тому подобной информации. Позднее функциональность клавиатурных шпионов расширилась — сегодня они нередко умеют не только фиксировать нажатые клавиши, но и отслеживать список запущенных приложений и посещенных веб-сайтов, делать снимки экрана по заданному расписанию, осуществлять мониторинг буфера обмена, фиксировать задания, отправляемые на печать, и т.д. Иными словами, данные программы проводят вполне полноценный мониторинг компьютерной деятельности пользователей.
Учитывая, что как ранее, так и сейчас подобные приложения достаточно широко применяются злоумышленниками отнюдь не в благих целях, отношение к данной категории софта неоднозначное. С одной стороны, кейлоггеры причисляют к числу опасных программ, что неудивительно, ведь с их помощью перехватить конфиденциальную информацию, вводимую пользователем, — не проблема. А потому подобное ПО нередко служит для осуществления компьютерных преступлений, связанных с хищением денежных средств (рис. 1), а также используется в качестве инструмента экономического и политического шпионажа.
Рис. 1. Пример использования хакером клавиатурного шпиона
С другой стороны, большая часть существующих сегодня кейлоггеров позиционируется разработчиками как легальное ПО, которое можно использовать для решения целого класса задач. В частности, клавиатурные шпионы могут оказаться весьма полезными для родителей, а также для преподавателей в компьютерных классах и администраторов в интернет-кафе. Например, родителям не помешает быть в курсе того, какие сайты посещает их ребенок, какими программами пользуется и с кем ведет переписку или общается в чате, и действительно ли он занимается на компьютере в их отсутствие, а не играет в любимую игрушку. А преподавателям и администраторам обязательно нужно четко знать, что происходит на подведомственных компьютерах, поскольку подрастающее поколение, экспериментируя, в два счета умудряется вывести последние из строя. Правда, в обоих случаях проводить подобный мониторинг нужно крайне ненавязчиво, не посягая на свободу личности (подрастающей, а значит, и более ранимой) и не нарушая тонкую грань взаимопонимания.
В итоге получается, что одни и те же приложения могут использоваться и в благих, и в преступных целях. А это значит, что владельцам компьютеров следует быть в курсе существования подобного ПО и принимать меры для предотвращения утечки конфиденциальной информации. Тем же, кому в силу родительских обязанностей или по долгу службы приходится нести ответственность за собственное чадо или за группу компьютеров, лучше заранее побеспокоиться о возможных проблемах и установить подходящую программу для мониторинга компьютерной деятельности, чтобы в случае необходимости оказаться во всеоружии. Это несложно, тем более что в данной статье мы как раз и рассмотрим доступные приложения, которые помогут как в одной, так и в другой ситуации.
Программы для скрытого наблюдения за работой на компьютере
Сегодня на рынке предлагается огромное множество клавиатурных шпионов. В большинстве случаев они имеют сходную базовую функциональность, то есть перехватывают нажатие клавиш на клавиатуре, осуществляют мониторинг буфера обмена, фиксируют посещенные веб-страницы, запуск и закрытие программ, а также ведут запись снимков экрана. Подобные приложения обеспечивают полную мультипользовательскую поддержку — это значит, что вести наблюдение можно как сразу за всеми, так и только за избранными пользователями. А записанная в ходе проводимого ими мониторинга информация сохраняется в лог-файлах, и в дальнейшем ее можно будет просмотреть непосредственно в приложениях либо преобразовать в отчет (чаще всего в формате HTML), который, как правило, может быть отправлен на указанный электронный ящик, по FTP, а иногда и по локальной сети. Различаются же клавиатурные шпионы некоторыми сервисными функциями и удобством работы с отчетами, а также качеством маскировки в системе, то есть особенностями их работы в скрытом режиме. В простейшем случае под маскировкой подразумевается отсутствие приложений в списке программ меню Пуск, на рабочем столе и в системном трее. А также скрытие папки программы в директории Program Files (в таком случае для ее запуска придется использовать команду Пуск=>Выполнить либо предназначенную для этой цели функциональную комбинацию) и в списке удаляемых программ панели управления. В других решениях тоже предусмотрены возможности скрытия в списке запущенных процессов и в списке программ автозагрузки, а также имеется инструментарий для предотвращения выявления шпионов антикейлоггерами.
В качестве примеров мы остановимся на широко известных решениях Beyond Keylogger, PC Spy Keylogger, KGB Spy и ActualSpy. Первые два англоязычны, а два последних имеют русскоязычный интерфейс и российским пользователям предлагаются по весьма привлекательной цене. Пакет Beyond Keylogger характеризуется наиболее широким спектром фиксируемых в ходе наблюдения параметров (табл. 1), повышенной надежностью и расширенными возможностями работы с полученной в ходе мониторинга информацией. PC Spy Keylogger отличается минимальным потреблением системным ресурсов (что весьма актуально на недостаточно мощных компьютерах) — в итоге визуально как-то зафиксировать его работу (например, по миганию экрана при формировании скриншотов, чем нередко грешат другие решения) невозможно в принципе. В пакете KGB Spy удобно организован просмотр логов отдельных пользователей и реализован достаточно высокий уровень маскировки. ActualSpy, в отличие от других рассмотренных в статье решений, умеет проводить мониторинг принтеров, что может оказаться актуальным в некоторых случаях (например, если на подведомственном вам принтере слишком быстро заканчиваются чернила). При этом все названные решения отличаются интуитивно-понятным интерфейсом и крайней простотой настройки.
Beyond Keylogger 2.9.1
Разработчик: Supremtec
Сайт программы: http://www.supremtec.com/
Размер дистрибутива: 3 Мбайт
Работа под управлением: Windows 98/Me/2000/2003/XP/Vista
Способ распространения: shareware (7-дневная демо-версия — http://www.supremtec.com/download/keysetup.exe)
Цена: 49,95 долл.
Beyond Keylogger — эффективное решение для контроля компьютерной деятельности пользователей. Данное приложение отличается расширенными возможностями работы с логами и достаточно надежной защитой. Так, при просмотре логов непосредственно из программы можно использовать функцию расширенного поиска по датам (а не только по ключевым словам). Для более удобного анализа снимков экрана (рис. 2) их можно изучать как по одному, так и все вместе, просматривая в виде слайд-шоу либо извлекая одновременно в отдельную папку. А созданные отчеты могут быть отправлены не только по электронной почте и по FTP, но и по локальной сети в указанную папку. Предусмотрена также возможность предотвращения обнаружения клавиатурного шпиона антикейлоггером, что реализуется путем блокирования запуска соответствующего софта. Что касается широты мониторинга, то помимо базовой функциональности Beyond Keylogger позволяет настроить проведение записи аудиоданных через микрофон — это может оказаться полезным, например, для контроля разговоров в голосовом чате. Кроме того, в данном решении предусмотрено блокирование запуска определенных программ и открытия нежелательных веб-страниц (например, сайтов взрослой тематики).
Рис. 2. Просмотр скриншотов, сделанных в Beyond Keylogger
PC Spy Keylogger 2.3
Разработчик: KeyLogger Online
Сайт программы: http://www.pc-spy-keylogger.com/
Размер дистрибутива: 1,44 Мбайт
Работа под управлением: Windows 98/Me/2000/XP/2003 Server
Способ распространения: shareware (5-дневная демо-версия — http://www.pc-spy-keylogger.com/download/pskinstall.exe)
Цена: 39,95 долл.
PC Spy Keylogger — простая программа для мониторинга работы на компьютере, а также блокирования доступа к отдельным приложениям и нежелательным веб-ресурсам. Принципиальным ее отличием от аналогов является очень экономный расход системных ресурсов, что делает работу программы (включая создание скриншотов) совершенно незаметной для пользователя. Однако формат генерируемых в ней отчетов не слишком удобен для анализа, поскольку вся собираемая информация (скриншоты, данные буфера обмена и т.д.) объединяются вместе (рис. 3).
Рис. 3. Просмотр отчета в PC Spy Keylogger
KGB Spy 4.21
Разработчик: Mipko
Сайт программы: http://www.kgbspy.ru/
Размер дистрибутива: 5,05 Мбайт
Работа под управлением: Windows (все версии)
Способ распространения: shareware (7-дневная демо-версия — http://www.kgbspy.ru/files/kgb_setup-421.exe)
Цена: 59 долл., для русскоязычных пользователей: KGB Spy Free — бесплатно, KGB Spy Home — 500 руб., KGB Spy Pro — 700 руб., KGB Spy Net. — 5000 руб.
KGB Spy — удобный инструмент для мониторинга деятельности пользователей (рис. 4). Программа представлена в четырех версиях: бесплатной — KGB Spy Free и платных — KGB Spy Home, KGB Spy Pro и KGB Spy Net. Возможности бесплатной версии ограничены открытым мониторингом и записью действий пользователя в лог. Версия Home дополнительно может создавать скриншоты и умеет работать в скрытом режиме. В версии Pro вдобавок встроена функция для проведения мониторинга с учетом ключевых слов и появляется возможность получения логов по e-mail и FTP, а версия Net дополнительно позволяет получать доступ к лог-файлам по сети.
Рис. 4. Мониторинг веб-сайтов программой KGB Spy
Actual Spy 3.0
Разработчик: Keylogger Actual Spy Software
Сайт программы: http://www.actualspy.ru/
Размер дистрибутива: 1,55 Мбайт
Работа под управлением: Windows (все версии)
Способ распространения: shareware (40-минутная демо-версия — http://www.actualspy.ru/actualspy.exe)
Цена: 39,95 долл., для русскоязычных пользователей — 600 руб.
Actual Spy — программа-шпион, предназначенная для скрытого наблюдения за компьютером (рис. 5). Имеет базовую функциональность как в плане мониторинга (исключение — возможность мониторинга принтеров), так и в отношении работы с отчетами, которые, правда, могут быть отосланы не только на указанный e-mail и по FTP, но и по сети.
Рис. 5. Мониторинг нажатий клавиатуры в Actual Spy
Типы программ для выявления клавиатурных шпионов
Список известных сегодня клавиатурных шпионов очень велик, а неизвестных (то есть не фигурирующих в официальных базах кейлоггеров), по всей видимости, еще больше. Дело в том, что существует немало мониторинговых программ, разработанных под эгидой правительственных организаций, решений, созданных в компаниях для узкокорпоративного применения, программ, написанных профессиональными хакерами для строго определенных целей (например, для кражи информации с компьютера конкретного пользователя) и т.д. Ситуация осложняется еще и вследствие того, что нередко в кейлоггерах применяются те или иные RootKit-технологии, позволяющие маскировать присутствие клавиатурных шпионов в системе, причем маскировка может быть глобальной — вплоть до того, что окажутся скрытыми даже ключи, созданные кейлоггером. Все это делает выявление и обезвреживание в системе клавиатурных шпионов непростой задачей.
Возможности обнаружения клавиатурных шпионов в той или иной мере предоставляются тремя группами программных продуктов: антикейлоггерами, antispyware-приложениями и антивирусными продуктами. Наиболее эффективными в плане обнаружения и блокирования клавиатурных шпионов считаются антикейлоггеры, поскольку они могут защитить практически от всех разновидностей клавиатурных шпионов, включая аппаратные кейлоггеры, — последнее, впрочем, наиболее актуально в корпоративной среде, где компьютеры могут применяться для выполнения банковских операций, проведения электронных торгов и т.п. Достаточно эффективны в плане детектирования кейлоггеров и ведущие антишпионские решения, однако лидерство, видимо, все же за антикейлоггерами. Об этом свидетельствуют результаты независимого тестирования, проведенного независимой организацией Anti-Keylogger.Org (http://anti-keylogger.org), согласно которым среди участвовавших в тестировании продуктов выявить всех кейлоггеров смог лишь антикейлоггер PrivacyKeyboard (табл. 2). Ведущий же антишпионский пакет Spy Sweeper от компании Webroot набрал на 20 баллов меньше, поскольку не смог обнаружить двух из десяти предложенных клавиатурных шпионов. Стоит заметить, что действенным против конкретного кейлоггера тестируемое решение считалось только в том случае, если им не только обнаруживался соответствующий опасный компонент, но и предоставлялись доступные возможности для его блокирования. К сожалению, данное тестирование охватывает пока слишком малое число решений, да и база анализируемых на предмет выявления кейлоггеров невелика. Других же официальных данных, касающихся эффективности работы различных решений данного плана, по всей видимости, пока не существует.
Что касается антивирусов, то еще совсем недавно их функциональность была ограничена выявлением только известных кейлоггеров, сигнатуры которых включаются в сигнатурные базы антивирусных решений. А вот с обнаружением неизвестных клавиатурных шпионов все обстояло сложнее, ведь по данным сигнатурных баз выявить их невозможно. Сегодня ситуация постепенно меняется в лучшую сторону — ведущие разработчики антивирусов выпустили новые версии своих продуктов, в которых для детектирования вредоносных компонентов наряду с традиционным сигнатурным способом параллельно стал использоваться метод проактивной защиты, обеспечивающий защиту пользователя от новых типов угроз и новых модификаций существующих вредоносных программ без обновления сигнатурных баз. В основе данного подхода — постоянный мониторинг всех процессов в системе пользователя, так что теоретически антивирусы с поддержкой проактивного детектирования могут обнаружить не только неизвестные вирусы, но и неизвестные клавиатурные шпионы, если, конечно, характерные для их поведения системные операции будут анализироваться.
В частности, подобная возможность реализована в версии 6.0 продуктов «Лаборатории Касперского» («Антивирус Касперского 6.0» и Kaspersky Internet Security 6.0), позволяющих детектировать как существующие кейлоггеры (с помощью сигнатурных баз), так и новые типы клавиатурных шпионов (используя модуль проактивной защиты). Теоретически возможность поддержки проактивного детектирования, требуемого для выявления неизвестных вредоносных компонентов (включая кейлоггеры), появилась и в последних версиях антивирусных пакетов F-Secure Anti-Virus 2008 и F-Secure Internet Security 2008, Panda Antivirus 2008, Panda Antivirus+Firewall 2008 и Panda Internet Security 2008 и т.д. Однако о степени эффективности их в отношении неизвестных кейлоггеров судить сложно, поскольку в тестированиях, проводимых международными тестовыми организациями, данный аспект нигде не обозначен. Поэтому, учитывая, что процесс выявления опасных компонентов по сигнатурам проверен временем и действительно эффективен, пренебрегать своевременным обновлением сигнатурных баз не стоит.
Вместе с тем стоит иметь в виду, что клавиатурные шпионы к числу вирусов не относятся, так как не обладают способностью к размножению. Согласно официальной классификации они представляют собой потенциально опасное ПО (riskware) — в итоге по умолчанию функция обнаружения кейлоггеров в антивирусах отключена. Поэтому при настройке работы антивируса следует обратить на данный факт внимание.
Рассмотрим, как настроить детектирование кейлоггеров на примере вышеназванных продуктов «Лаборатории Касперского». Вначале требуется включить настройку детектирования программ, входящих в категорию riskware, открыв экран настроек (команда Настройка=>Защита) и в списке категорий вредоносного ПО отметив галочкой пункт Потенциально опасное ПО (riskware), — рис. 6. После этого при установке имеющихся в базе сигнатур кейлоггеров будет выдаваться примерно такое же, как показано на рис. 7, предупреждение файлового антивируса. Работа кейлоггера при этом блокируется, и пользователь имеет возможность удалить установленный файл. Однако, даже если пользователь сразу не среагировал на необходимость удаления кейлоггера, такая возможность ему еще представится, поскольку антивирус в состоянии обнаружить и нейтрализовать и клавиатурные шпионы, уже установленные и работающие в скрытом режиме.
Что касается неизвестных кейлоггероов и руткитов, то для их обнаружения в продуктах «Лаборатории Касперского» в подсистеме «Анализ активности приложений» должны быть включены опции «появление скрытого процесса (rootkit)», «внедрение оконных перехватчиков» и «обнаружение клавиатурных перехватчиков» (рис. 8). После этого у антивируса появится возможность выявлять системные процессы, характерные для кейлоггеров: перехватывать попытки установки глобальных ловушек, фиксировать проведение циклических опросов состояния клавиатуры и находить скрытые в системе процессы, каждый раз информируя об этом пользователя (рис. 9). В итоге если кейлоггер будет обнаружен антивирусом, то пользователь сможет либо временно заблокировать работу кейлоггера (например, запретив установку ловушки), либо поместить на карантин исполняемый файл скрытого процесса с целью его дальнейшего удаления.
Рис. 6. Включение функции детектирования потенциально опасного ПО
Рис. 7. Предупреждение файлового антивируса
об установке ПО категории riskware
Рис. 8. Включение настроек подсистемы
«Анализ активности приложений»
Рис. 9. Информирование пользователя
о скрытом процессе`
Антикейлоггеры
Список представленных на рынке антикейлоггеров в сравнении с кейлоггерами достаточно скромен — например на Softpedia.com имеется менее десятка первых, но зато более пятидесяти вторых. При этом почти все антикейлоггеры умеют детектировать не только программные клавиатурные шпионы, но и помогут обойти аппаратные кейлоггеры, поскольку в своем составе имеют встроенные экранные клавиатуры. Функциональность наиболее известных антикейлоггеров практически одинакова. Все они умеют выявлять как известные, так и неизвестные клавиатурные шпионы, поскольку базируются на использовании не сигнатурных баз, а интеллектуальных алгоритмов, основанных на анализе общих принципов работы мониторинговых программ. Различие же между решениями касается эффективности их работы и удобства регулирования уровня защиты.
В качестве примеров решений данного класса мы остановимся на хорошо известных в мире антикейлоггерах Advanced Anti Keylogger, Anti-Keylogger Elite, Raytown PrivacyKeyboard и Raytown Anti-keylogger. Первые два решения англоязычные, а в пакетах от компании Raytown, в разработке которых принимали участие и украинские программисты, имеется поддержка русского языка, что, естественно, привлекает к ним особое внимание. Кроме того, по адресам: http://bezpeka.biz/files/doc/prvkbd_help_rus.zip и http://bezpeka.biz/files/doc/ak_help_rus.zip можно скачать русскоязычные файлы помощи, относящиеся к данным продуктам. Наибольшие возможности в плане регулирования уровня защиты предоставляются в пакетах Advanced Anti Keylogger, Raytown PrivacyKeyboard и Raytown Anti-keylogger (табл. 3). Однако Advanced Anti Keylogger более привлекателен в плане цены и смог обнаружить все тестовые кейлоггеры. Для сравнения: решения от Raytown работу пакета Beyond Keylogger (даже при отключенной в нем блокировке антикейлоггеров) зафиксировать не смогли, хотя, конечно, судить об эффективности того или иного решения на примере всего нескольких кейлоггеров необъективно. Что же касается решения Anti-Keylogger Elite, то оно привлекает максимально простой настройкой и лаконичностью (при той же функциональности), а значит, освоить его можно гораздо быстрее. Все названные решения позволяют корректировать уровень блокирования приложений пользователем и временно отключать защиту от мониторинга. И то и другое весьма актуально по нескольким причинам, среди которых следует отметить две наиболее важные. Первая заключается в том, что функционирование антикейлоггеров повышает требования к системным ресурсам и может снизить производительность графической подсистемы, что критично при работе сложных графических приложений. А вторая связана с возможной несовместимостью антикейлоггера с некоторыми используемыми в работе приложениями. В итоге не исключены ситуации, когда в антикейлоггере придется снижать уровень защиты, отказываясь, в частности, от блокирования захвата скриншотов, либо даже полностью его отключать.
Advanced Anti Keylogger 3.7
Разработчик: Spydex, Inc.
Сайт программы: http://www.anti-keylogger.net/advanced-anti-keylogger.html
Размер дистрибутива: Advanced Anti Keylogger Classic — 800 Кбайт, Advanced Anti Keylogger Lite — 650 Кбайт
Работа под управлением: Windows NT/2000/XP/2003 Server
Способ распространения: shareware (15-дневная демо-версия — http://www.anti-keylogger.net/advanced-anti-keylogger-download.html)
Цена: Advanced Anti Keylogger Classic — 59,95 долл., Advanced Anti Keylogger Lite — 39,95 долл.
Advanced Anti Keylogger — эффективное и очень удобное решение для выявления (рис. 10) и блокирования известных и неизвестных кейлоггеров. Может работать в двух режимах: High security и Custom security. Первый режим, в котором блокируются попытки опроса клавиатуры, захвата скриншотов и другие аналогичные операции в отношении всех приложений без исключения, рассчитан на широкий круг пользователей и обеспечивает максимально высокий уровень безопасности. Второй режим предназначен для подготовленных пользователей — в нем сами пользователи через систему правил (рис. 11) смогут определить перечень приложений, для которых критичные операции (такие, например, как захват скриншотов) будут допустимы (в целом или в конкретный момент времени). В программе также предусмотрена функция мгновенного отключения работы антикейлоггера (если сканирование системных процессов пока не требуется) и имеется встроенная экранная клавиатура для ввода особо секретной информации. Установленный в программе уровень безопасности отображается в системном трее.
Рис. 10. Информирование пользователя о выявленных
подозрительных процессах в Advanced Anti Keylogger
Рис. 11. Корректировка правил в Advanced Anti Keylogger
PrivacyKeyboard 7.4, Anti-keylogger 7.4
Разработчик: Raytown Corporation LLC
Сайт программы: http://www.anti-keylogger.com/, http://www.anti-keyloggers.com/
Размер дистрибутива: PrivacyKeyboard — 4,11 Мбайт, Anti-keylogger — 4,01 Мбайт
Работа под управлением: Windows 2000/XP/2003
Способ распространения: shareware (демо-версия: PrivacyKeyboard — http://www.anti-keylogger.com/download.html, Anti-keylogger — http://www.anti-keyloggers.com/download.html)
Цена: PrivacyKeyboard — 89,95 долл., Anti-keylogger — 59,95 долл.
Решения PrivacyKeyboard и Anti-keylogger предназначены для выявления и блокирования клавиатурных шпионов (рис. 12) и представляют собой разные версии одного и того же программного продукта. В роли базовой версии выступает пакет Anti-keylogger, а решение PrivacyKeyboard дополнительно включает модуль защиты от перехвата графических изображений экрана и виртуальную клавиатуру для защиты от аппаратных кейлоггеров.
Оба решения поддерживают базовый и расширенный режимы работы: базовый рассчитан на обычных пользователей, расширенный — на пользователей с правами администратора. В расширенном режиме можно регулировать уровень блокирования приложений (например, включить/выключить блокировку перехвата данных из буфера обмена, создания скриншотов и т.д.) — рис. 13, а также запретить пользователям без прав администратора отключать защиту PrivacyKeyboard. Кроме того, отдельным надежным приложениям можно разрешить выполнять любые действия без ограничений, указав их в белом списке. Имеется и функция временного отключения защиты от мониторинга. Текущий уровень защиты отображается в системном трее.
Рис. 12. Список обнаруженных программой PrivacyKeyboard
подозрительных процессов
Рис. 13. Настройка уровня блокирования в PrivacyKeyboard
Anti-Keylogger Elite 3.3.3
Разработчик: ISecSoft, Inc.
Сайт программы: http://www.remove-keyloggers.com/
Размер дистрибутива: 1,05 Мбайт
Работа под управлением: Windows 2000(Sp4)/XP(Sp1,Sp2)/2003
Способ распространения: shareware (3-дневная демо-версия — http://www.remove-keyloggers.com/download/akesetup.exe)
Цена: 39,95 долл.
Anti-Keylogger Elite — простой инструмент для выявления и блокирования разнообразных кейлоггеров, включая неизвестные. В программе предусмотрены три уровня блокирования: глобальное блокирование всех подозрительных приложений (обеспечивается максимальный уровень безопасности), блокирование только файлов, не имеющих сертификатов Microsoft, и блокирование в соответствии с правилами, установленными пользователем. В последнем случае допускаются разные уровни блокирования для одних и тех же приложений, например захват паролей под звездочками может блокироваться, а захват скриншотов — нет и т.п. (рис. 14). Кроме того, в целях защиты от аппаратных кейлоггеров в поставку входит встроенная клавиатура, доступ к которой осуществляется путем нажатия условной клавиатурной комбинации.
Рис. 14. Корректировка правил в Anti-Keylogger Elite
 |
|
