keylogger przez e-mail

Keylogger przez e-mail to złośliwe oprogramowanie dostarczane pocztą, rejestrujące naciskane przez ofiarę klawisze.

Jak keylogger trafia do skrzynki pocztowej

Keylogger przez e-mail nie jest osobnym rodzajem urządzenia, lecz złośliwym oprogramowaniem dostarczanym z wykorzystaniem wiadomości pocztowej. Wiadomość może zawierać załącznik, odsyłacz do pobrania pliku albo odsyłacz do strony, która nakłania do uruchomienia programu. Samo otwarcie wiadomości w większości przypadków nie wystarcza do zainstalowania keyloggera, ponieważ kod musi jeszcze zostać uruchomiony albo wykorzystać konkretną lukę w używanym programie. Ryzyko zależy więc od rodzaju załącznika, zachowania użytkownika, konfiguracji systemu i aktualności zabezpieczeń.

Przestępcy często nadają wiadomości pozór korespondencji związanej z fakturą, dostawą, kontem internetowym lub dokumentem biurowym. Załącznik może mieć rozszerzenie wykonywalne, skryptowe albo archiwum zawierające taki plik. Niebezpieczny bywa również dokument, który po otwarciu wyświetla instrukcję włączenia makr lub pobrania dodatkowego składnika. O rozszerzeniu pliku decyduje jego rzeczywista nazwa zapisana w systemie, a nie sama ikona widoczna w Eksploratorze plików. Dlatego ukrywanie rozszerzeń znanych typów plików utrudnia rozpoznanie fałszywego załącznika.

Rejestrowanie klawiszy i przekazywanie danych

Po uruchomieniu keylogger może działać jako proces użytkownika, usługa systemowa albo składnik dołączony do innego programu. Jego podstawowym zadaniem jest przechwytywanie informacji o naciskanych klawiszach, na przykład znaków wpisywanych w przeglądarce, edytorze tekstu lub oknie logowania. W zależności od konstrukcji może zapisywać także czas zdarzenia, nazwę aktywnego okna, układ klawiatury lub kolejność wprowadzanych znaków. Sam rejestr klawiszy nie zawsze wystarcza do poprawnego odtworzenia danych, ponieważ znaczenie wpisu zależy od miejsca, w którym został wprowadzony.

Zebrane informacje mogą być przechowywane tymczasowo w pliku lokalnym, pamięci procesu albo bazie danych programu, a następnie wysyłane do serwera sterującego. Do transmisji może zostać użyte zwykłe połączenie sieciowe aplikacji, połączenie szyfrowane lub mechanizm ukryty w ruchu przypominającym normalną komunikację internetową. Szyfrowanie połączenia nie czyni keyloggera bezpiecznym; może jedynie utrudnić odczyt treści transmisji osobie obserwującej sieć. O obecności programu decyduje między innymi nieznany proces, nietypowe połączenia wychodzące, nowe zadanie autostartu lub pliki utworzone w czasie odpowiadającym otwarciu podejrzanej wiadomości.

Objawy infekcji po otwarciu wiadomości

Keylogger może pracować bez wyraźnego spowolnienia laptopa lub komputera, dlatego brak widocznych objawów nie oznacza braku zagrożenia. Możliwe sygnały obejmują pojawienie się nieznanego programu w autostarcie, nowe reguły zapory sieciowej, nieoczekiwane procesy działające po zalogowaniu oraz połączenia do adresów, z którymi komputer wcześniej się nie komunikował. W Podglądzie zdarzeń lub dziennikach zabezpieczeń można znaleźć informacje o uruchomieniu pliku, instalacji usługi albo zmianie konfiguracji, ale pojedynczy wpis nie stanowi jeszcze dowodu infekcji.

Sprawdzenie powinno rozpocząć się od ustalenia, co dokładnie wydarzyło się po odebraniu wiadomości: czy otwarto załącznik, uruchomiono plik, zezwolono na makra, wpisano hasło na stronie z odsyłacza albo zainstalowano wskazany program. Warto zachować podejrzaną wiadomość wraz z załącznikiem, nie uruchamiając go ponownie, oraz zanotować przybliżony czas zdarzenia. Jeżeli istnieje podejrzenie przechwytywania haseł, korzystanie z zainfekowanego komputera do zmiany wszystkich danych logowania może ujawnić nowe hasła. Najpierw należy odłączyć komputer od sieci, a zmian dokonać z zaufanego urządzenia, po sprawdzeniu kont i aktywnych sesji.

Bezpieczne postępowanie i usunięcie keyloggera

Usuwanie keyloggera wymaga rozróżnienia między samym podejrzanym plikiem pocztowym a programem, który został już uruchomiony w systemie. Należy wykonać pełne skanowanie aktualnym programem zabezpieczającym, sprawdzić autostart, zaplanowane zadania, zainstalowane aplikacje i nietypowe procesy, a także przeanalizować połączenia sieciowe. W przypadku bardziej uporczywej infekcji przydatne może być skanowanie z zewnętrznego środowiska uruchamianego przed systemem, ponieważ aktywny malware może próbować ukrywać własne pliki lub procesy. Samo usunięcie załącznika z poczty nie usuwa programu, który zdążył zostać zapisany i uruchomiony.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką skutków złośliwego oprogramowania na komputerze użytkownika. Podczas sprawdzania można ustalić, czy problem dotyczy keyloggera, innego programu szpiegującego, fałszywego rozszerzenia przeglądarki czy wyłącznie próby wyłudzenia danych przez wiadomość. Zakres prac powinien obejmować ocenę stanu systemu, usunięcie wykrytych składników oraz sprawdzenie ustawień, które umożliwiają ponowne uruchomienie zagrożenia. Po zakończeniu diagnostyki należy zmienić hasła z bezpiecznego urządzenia i włączyć uwierzytelnianie wieloskładnikowe tam, gdzie jest dostępne.