What is:Keylogger/es

== ¿Qué es un registrador de teclas?

Hay mucha información sobre los registradores de teclado en la Web, pero es muy difícil encontrar artículos que expliquen detalladamente los numerosos matices del desarrollo y uso de los registradores de teclado.

Por eso se escribió este artículo.

Un 'keylogger', o 'keystroke logger', es un programa de software o un dispositivo de hardware que registra las pulsaciones de teclas, es decir, qué teclas se pulsaron en el teclado del ordenador.

El sinónimo de 'keylogger' es 'keystroke logger', y la acción que realiza se llama 'keystroke logging' o 'keyboard capture'.

El funcionamiento de los registradores de teclado por software y sus homólogos por hardware - los registradores de teclado por hardware - se basan en dos tecnologías completamente diferentes, es decir, registran las pulsaciones de teclas de una manera diferente.

Bueno, los usuarios de PC son diferentes; juegan un papel diferente en el tratamiento de la información. Cualquier usuario en particular podría serlo:

• un desarrollador de un sistema operativo;
• un desarrollador de software;
• un CEO de una empresa;
• un propietario de un negocio;
• un administrador de una red de ordenadores corporativos;
• un usuario de computadora con privilegios administrativos;
• un usuario de PC en el lugar de trabajo;
• un usuario que es dueño de la computadora;
• un especialista en seguridad de la información;
• etc.

Son estas personas las que determinan si es razonable utilizar keyloggers en sus actividades.

Es de conocimiento general que el uso de cualquier tecnología puede ser beneficioso o perjudicial; esto también se aplica al procesamiento de la información mediante el uso de ordenadores.

¿Dónde está la vaga línea entre el uso legal e ilegal de los registradores de teclas?

La respuesta es simple - ¡sólo se puede distinguir según la aplicación de estos keyloggers! Es el método de su aplicación el que le permite ver la línea entre la gestión de la seguridad y la violación de la seguridad.

El término "uso no autorizado" ("uso ilegal") significa que el keylogger se instaló sin el conocimiento del propietario (administrador de seguridad) de una red local (p.ej. de una empresa u organización) o de un ordenador personal concreto. El concepto de "actividad no autorizada" se acerca bastante al concepto de "actividad ilegal" en casi todos los países del mundo.

Los registradores de teclas no autorizados (tanto de software como de hardware) se denominan dispositivos de espionaje o spyware (software espía, programa espía, keylogger).

Su uso no autorizado suele estar asociado a actividades ilegales. Por regla general, los productos de spyware para uso no autorizado son capaces de configurar y recibir un archivo ejecutable incluido, que no muestra ningún mensaje ni abre ventanas durante la instalación. Además, estos productos tienen herramientas incorporadas que pueden entregar e instalar remotamente un módulo preconfigurado en el ordenador del usuario, es decir, el proceso de instalación tiene lugar sin acceso físico directo al ordenador del usuario y a menudo no requiere privilegios administrativos.

El término "uso autorizado" ("uso legítimo/legal") significa que el keylogger se instaló con el conocimiento del propietario (administrador de seguridad) de una red local (p.ej. de una empresa u organización) o de un ordenador personal concreto. Los registradores de teclado de uso legal (de software o hardware) suelen denominarse software de supervisión de empleados, software de control parental, software de control de acceso, programas de seguridad del personal, etc. Por regla general, estos productos de software requieren un acceso físico al ordenador del usuario y el administrador debe tener privilegios administrativos para configurarlos e instalarlos.

Para qué se usan

El uso autorizado de los registradores de teclas permite al propietario (administrador de seguridad) de una red local de ordenadores o al propietario (administrador) de un ordenador:

• identificar todos los casos en los que se teclean palabras o frases críticas (es decir, aquellas cuya revelación a terceros supondrá una pérdida material);
• poder acceder a la información almacenada en el disco duro del ordenador si la contraseña de acceso se pierde por cualquier motivo (enfermedad del empleado, acciones deliberadas del personal, etc.);
• identificar rápidamente (localizar) todos los casos de ataques de fuerza bruta;
• comprobar si las computadoras personales de la empresa se utilizan fuera del horario de trabajo y, en caso afirmativo, identificar lo que se tecleó en ese momento;
• investigar los incidentes informáticos;
• realizar investigaciones científicas que determinen cuán precisas, eficientes y adecuadas fueron las reacciones del personal a las influencias externas;
• recuperar la información crítica después de los fallos de los sistemas informáticos.

Los desarrolladores de productos de software comercial pueden utilizar los módulos que contienen el registrador de teclado para muchos propósitos, incluyendo los siguientes:

• para desarrollar sistemas de búsqueda rápida de palabras (por ejemplo, diccionarios electrónicos, traductores electrónicos);
• para desarrollar programas de búsqueda rápida de nombres, empresas, direcciones (por ejemplo, agendas electrónicas)

El uso no autorizado de registradores de teclas (incluyendo productos de hardware o software con un módulo de registro de teclas) permite a un atacante:

• interceptar la información de otras personas escrita en el teclado;
• obtener acceso no autorizado a los nombres de usuario y contraseñas que la gente usa para acceder a varios sistemas, incluyendo los sistemas de los clientes de los bancos;
• Obtener acceso no autorizado a la protección criptográfica de la información de los usuarios de la computadora (frases de contraseña);
• obtener acceso no autorizado a los datos de autorización de tarjetas de crédito;

Clasificación de los registradores de teclado

Clasificación según el tipo

Los software keyloggers pertenecen al grupo de productos de software que ejercen un control sobre las actividades de un usuario de PC. Inicialmente, los productos de software de este tipo estaban destinados únicamente a registrar las pulsaciones del teclado, incluidas las teclas del sistema, y a guardar estos datos en un archivo de registro especial, que posteriormente fue estudiado por la persona que instaló este programa. El archivo de registro podía enviarse a través de la red a una unidad de red, a un servidor FTP en Internet, a una dirección de correo electrónico, etc.

Pero hoy en día, los productos de software que conservan el nombre de "keyloggers" realizan muchas funciones adicionales, como interceptar la información de las ventanas, los clics del ratón, el contenido del portapapeles, hacer capturas de pantalla de la pantalla y de las ventanas activas, mantener un registro de todos los correos electrónicos recibidos y enviados, seguir la actividad de los archivos y los cambios en el registro del sistema, registrar las tareas enviadas a la impresora, interceptar el sonido de un micrófono y las imágenes de una cámara web, etc.

Los keyloggers por hardware son dispositivos en miniatura que pueden colocarse entre el teclado y el ordenador o integrarse en el propio teclado. Registran todas las pulsaciones de teclas realizadas en el teclado. El proceso de registro de teclas es completamente invisible para el usuario del PC. Los keyloggers por hardware no requieren la instalación de ningún software en el PC de destino para poder interceptar con éxito todas las pulsaciones de teclas. Cuando se conecta un keylogger por hardware, no importa si el ordenador está encendido o apagado. Una vez instalado, el keylogger por hardware puede funcionar durante un tiempo ilimitado, ya que no requiere una fuente de alimentación adicional.

Объёмы внутренней энергонезависимой памяти данных устройств позволяют записывать до 20 миллионов нажатий клавиш, причём с поддержкой юникода. Данные устройства могут быть выполнены в любом виде, так что даже специалист не в состоянии иногда определить их наличие при проведении информационного аудита. В зависимости от места прикрепления аппаратные кейлоггеры подразделяются на внешние и внутренние.

Акустические кейлоггеры представляют собой аппаратные устройства, которые вначале записывают звуки, создаваемые пользователем при нажатии на клавиши клавиатуры компьютера, а затем анализирующие эти звуки и преобразовывающие их в текстовый формат.

Классификация по месту хранения лог-файла

• жёсткий диск;
• оперативная память;
• реестр;
• локальная сеть;
• удалённый сервер;

Классификация по методу отправки лог-файла

• E-mail;
• FTP или HTTP (в интернете или локальной сети);
• любой вариант беспроводной связи (радиодиапазон, IrDA, Bluetooth, WiFi и т. п. для приборов в непосредственной близости, либо, в продвинутых системах, для преодоления воздушного зазора и утечки данных из физически изолированных систем).

 

Классификация по включению в сигнатурные базы

Сигнатуры известных кейлоггеров уже включены в сигнатурные базы основных известных фирм-производителей антишпионских программных продуктов и антивирусных программных продуктов.

Неизвестные кейлоггеры, чья сигнатура не включена в сигнатурные базы, зачастую никогда не будут в них включены по различным причинам:

• кейлоггеры (модули), разрабатываемые под эгидой различных правительственных организаций;
• кейлоггеры (модули), которые могут создаваться разработчиками различных закрытых операционных систем и включаться ими в состав ядра операционной системы;
• кейлоггеры, которые разработаны в ограниченном количестве (часто только в одной или нескольких копиях) для решения конкретной задачи, связанной с похищением критической информации с компьютера пользователя (например, программные продукты, применяемые злоумышленниками-профессионалами). Данные шпионские программные продукты могут представлять собой немного видоизмененные открытые исходные коды кейлоггеров, взятые из сети Интернет и скомпилированные самим злоумышленником, что позволяет изменить сигнатуру кейлоггера;
• коммерческие, особенно включенные в качестве модулей в корпоративные программные продукты, которые очень редко вносятся в сигнатурные базы известных фирм-производителей антишпионских программных продуктов и/или антивирусных программных продуктов. Это приводит к тому, что опубликование злоумышленниками в сети Интернет полнофункциональной версии данного программного продукта может способствовать превращению последнего в шпионский программный продукт, который не обнаруживается антишпионскими программными продуктами или антивирусными программными продуктами;
• кейлоггеры, представляющие собой модули для перехвата нажатий клавиш на компьютере пользователя, включаемые в состав программ-вирусов. До внесения сигнатурных данных в вирусную базу данные модули являются неизвестными. Пример — всемирно известные вирусы, натворившие много бед в последние годы, имеющие в своем составе модуль перехвата нажатий клавиатуры и отправки полученной информации в сеть Интернет.

Методы защиты от несанкционированно установленных кейлоггеров

Защита от «известных» несанкционированно установленных программных кейлоггеров:

• использование антишпионских программных продуктов и/или антивирусных программных продуктов известных производителей с автоматическим обновлением сигнатурных баз.

Защита от «неизвестных» несанкционированно установленных программных кейлоггеров:

• использование антишпионских программных продуктов и/или антивирусных программных продуктов известных производителей, которые для противодействия шпионским программным продуктам используют так называемые эвристические (поведенческие) анализаторы, то есть не требующие наличия сигнатурной базы.
• использование программ, шифрующих вводимые с клавиатуры данные, а также применение клавиатур, осуществляющих такое шифрование на аппаратном уровне;

Защита от «известных» и «неизвестных» несанкционированно установленных программных кейлоггеров включает в себя использование антишпионских программных продуктов и/или антивирусных программных продуктов известных производителей, которые для противодействия шпионским программным продуктам используют:

• постоянно обновляемые сигнатурные базы шпионских программных продуктов;
• эвристические (поведенческие) анализаторы, не требующие наличия сигнатурной базы.

Защита от несанкционированно установленных аппаратных кейлоггеров:

• тщательные внешний и внутренний осмотры компьютерных систем;
• использование виртуальных клавиатур;

Основные признаки того, что keylogging модуль включен в состав программного продукта его разработчиками и на что следует обращать внимание

Если в программный продукт встроена функциональная возможность подсказывать вам варианты написания набираемого слова по нескольким нажатым клавишам — знайте, это keylogging модуль выполняет свою работу.

Keylogging модули являются неотъемлемой частью современных мессенджеров, текстовых редакторов, словарей, программ по проверке орфографии, программ по переключению раскладок клавиатуры и т.д.

Опасность подобных программных продуктов заключается в том, что официально они не относятся к вредоносным, так как выполняют очень нужные функции для пользователей компьютеров. Но в отличие от программных продуктов, предназначенных для родительского контроля или мониторинга сотрудников, все функции которых открыто объявляются их производителями (разработчиками), о побочных функциях подобных программ зачастую молчат даже их разработчики и производители…. А эти продукты также могут быть использованы злоумышленниками, если они имеют доступ к их настройке без вашего ведома.