Kašājoties pa interneta ārēm, ieraudzīju baneri uz keyloggeri. Intereses pēc uzklikšķināju un brīdi paspēlējos ar trial versiju. Izpētīju fīčas, nu, nekas, spēcīgi. Pēc vajadzības programma visu savākto kompromātu regulāri sūta arī uz e-pastu. Ievēroju, ka, kā tika solīts aprakstā, keyloggers task manager-ī nav redzams un antivīruss NOD32 neceļ ne ausi. Nedomāju lietot, nav tādas vajadzības, bet, godīgi sakot, palika stipri neomulīgi.
Sāku pētīt, kā programmu uzķert gadījumā, ja kāds entuziasts iedomājas ar to paspēlēties, izvēloties mani par mērķi.
Pozitīvi, ka NOD32 firewall interaktīvajā režīmā uzreiz noaurojās par secpro.exe tiekšanos uz ārpusi. Tiesa, nezinu, vai “auto mode” režīmā ugunsmūris būtu uzvedies tāpat.
Ievēroju, ka autoruns atsakās palaisties, kad keyloggerī ielikts ķeksis noslēpties no task manager, registry optimizers utml. Vienīgi, ja keyloggers bija apstādināts, autoruns godīgi parādīja attiecīgo ierakstu par šamā eksistenci HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonUserinit.
Brīdi papētīju, kādā veidā vispār iespējams palaist aplikāciju vai servisu, noslēpjot to no task manager. Pie lielas apskaidrības netiku, bet pārsvarā bija lasāmi ierosinājumi kā apčakarēt tieši task manager aplikāciju. Šī iemesla dēļ pamēģināju palaist alternatīvu task manager – process explorer. Tajā keylogger aplikācija bija redzama un to bija pat iespējams nokaut. Palika mierīgāk ap sirdi. Vēl mierīgāk paliks, kad palaidīšu process explorer arī uz darba kompja.
Manuprāt, ja antivīruss nereaģē uz keyloggeriem, tad tas ir… Ne gluži metams miskastē, jo pret kaut ko prastu, iespējams, pasargās gan, tomēr pārvērtēt tā spējas un iespējas nekādā ziņā nevajag. Kārtējo reizi neapskaužu cilvēkus, kuri neko daudz no iepriekš minētā nesaprot.
Process Hacker >>> Process Explorer
Mārtiņ: PH un PE ir dažas funkcijas katram unikālas, subjektīvi PE liekas ērtāks.
Autoram: AV nav maģija nekāda, ir dažādi veidi, kā ļaunatūra var izvairīties no atklāšanas, tāpēc prātīgi ir vairāklīmeņu aizsardzību lietot (piem. jau tevis pieminētais aplikāciju fw brīdinātu tevi par aizdomīgu programmu).
Manuprāt, lielākā problēma ir parastu lietotāju ticība, ka, ja viņam ir legāla antivīrusa programma, kura regulāri velk atjaunojumus, nekas ļauns nevar notikt. Man personīgi nekādu lielo ilūziju par antivīrusu spējām un iespējām nav.
Varētu kāds mani pabaidīt ar līdzīgu ierakstu par līdzīgu pieredzi uz Linux 😉