screenlogger

Screenlogger to złośliwe oprogramowanie rejestrujące zrzuty ekranu ofiary w celu wykradzenia poufnych informacji.

Jak działa screenlogger i jakie dane może rejestrować

Screenlogger to rodzaj złośliwego oprogramowania, którego podstawowym zadaniem jest przechwytywanie obrazu wyświetlanego na ekranie. Program może wykonywać zrzuty ekranu w określonych odstępach czasu, po wystąpieniu wybranego zdarzenia albo wtedy, gdy użytkownik korzysta z konkretnej aplikacji. Zapisane obrazy są następnie przechowywane lokalnie lub przekazywane osobie kontrolującej szkodliwe oprogramowanie. W przeciwieństwie do keyloggera screenlogger nie musi odczytywać znaków wpisywanych z klawiatury, ponieważ może zarejestrować cały ekran, w tym pola formularzy, komunikaty programów i zawartość otwartych dokumentów.

Przechwycony obraz może zawierać dane logowania widoczne w formularzu, kody jednorazowe wyświetlane w aplikacji, treść korespondencji, dokumenty, zdjęcia lub informacje prezentowane w programach finansowych. Screenlogger może działać jako samodzielny program, składnik większego pakietu złośliwego oprogramowania albo moduł zdalnego narzędzia sterującego komputerem. Sam fakt wykonania zrzutu ekranu nie przesądza jeszcze o sposobie przesyłania danych. Do oceny zagrożenia trzeba ustalić, gdzie obrazy są zapisywane, jaki proces je tworzy oraz czy komputer nawiązuje połączenia z nieznanymi usługami.

Objawy obecności programu przechwytującego ekran

Screenlogger często nie pokazuje własnego okna i może działać bez wyraźnego komunikatu dla użytkownika. Podejrzenie powinny wzbudzić nieznane procesy uruchamiane razem z systemem, nowe zadania automatyczne, nietypowe wpisy w mechanizmach autostartu oraz pliki graficzne pojawiające się w katalogach tymczasowych lub w ukrytych lokalizacjach profilu użytkownika. Pomocne jest porównanie listy programów i usług z wcześniejszym stanem komputera, sprawdzenie dat utworzenia podejrzanych plików oraz analiza podpisów cyfrowych i lokalizacji plików wykonywalnych.

Niektóre symptomy są niespecyficzne. Spadek wydajności, krótkie przycięcia obrazu, zwiększone użycie procesora albo transfer danych mogą wynikać także z aktualizacji systemu, wadliwego sterownika lub zwykłego programu działającego w tle. Dlatego diagnostyka nie powinna opierać się wyłącznie na obserwacji menedżera zadań. Znaczenie ma korelacja kilku informacji: moment pojawienia się objawów, historia instalacji aplikacji, zachowanie ochrony antywirusowej, harmonogram uruchamiania procesów oraz połączenia sieciowe wykonywane przez podejrzany program.

Sprawdzanie systemu po podejrzeniu screenloggera

W przypadku podejrzenia screenloggera należy ograniczyć korzystanie z badanego komputera do czynności diagnostycznych. Logowanie do poczty, bankowości lub innych ważnych usług z zainfekowanego systemu może ujawnić kolejne informacje, ponieważ ekran może zostać przechwycony także podczas wpisywania danych w przeglądarce. Zmiana haseł powinna być wykonana z zaufanego urządzenia, po usunięciu zagrożenia lub przynajmniej po odseparowaniu podejrzanego komputera od sieci. Odłączenie połączenia sieciowego ogranicza możliwość dalszej komunikacji programu, ale samo w sobie nie usuwa złośliwych plików.

Analiza powinna obejmować pełne skanowanie systemu narzędziami ochrony przed złośliwym oprogramowaniem, kontrolę autostartu, usług i zadań automatycznych oraz sprawdzenie nietypowych plików wykonywalnych. Warto również przejrzeć reguły zapory sieciowej, historię instalowanych aplikacji i zdarzenia systemowe. Jeżeli podejrzany program został wykryty, nie należy usuwać przypadkowych plików systemowych ani kończyć procesów bez ustalenia ich pochodzenia. Błędna ingerencja może uszkodzić system, zatrzeć ślady potrzebne do analizy albo pozostawić aktywny mechanizm ponownego uruchamiania. Gdy nie ma pewności, czy system jest już czysty, bezpieczniejsza może być kopia potrzebnych dokumentów wykonana z zachowaniem ostrożności, a następnie naprawa środowiska z użyciem sprawdzonych procedur.

Usunięcie zagrożenia z laptopa lub komputera PC

Skuteczne usunięcie screenloggera wymaga znalezienia wszystkich jego elementów, a nie tylko skasowania jednego pliku wskazanego przez skaner. Należy zweryfikować proces odpowiedzialny za przechwytywanie obrazu, mechanizm jego ponownego uruchamiania, miejsce zapisu zrzutów oraz ewentualną komunikację sieciową. W zależności od wyniku analizy rozwiązaniem może być oczyszczenie systemu, przywrócenie prawidłowych ustawień autostartu, usunięcie powiązanych komponentów i ponowne sprawdzenie komputera. Jeżeli integralność systemu jest niepewna, konieczne może być odtworzenie go z zaufanego nośnika po zabezpieczeniu ważnych danych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów związanych ze złośliwym oprogramowaniem, nietypowym działaniem systemu i podejrzanymi procesami. Podczas sprawdzania można ustalić, czy objawy wskazują na screenlogger, inne narzędzie przechwytujące dane, czy też na błąd niezwiązany z infekcją. Po zakończeniu prac należy zaktualizować system i używane aplikacje, ograniczyć instalowanie programów z niepewnych źródeł oraz zweryfikować ustawienia zabezpieczeń, ponieważ samo usunięcie jednego wykrytego pliku nie gwarantuje, że pierwotna przyczyna infekcji została usunięta.