SpyLogger — komputerowy szpieg na pendrive

Propaguję w Sieci od wielu lat idee ochrony prywatnościkomunikacji, jak i narzędzia do tego celu służące. BiorącSpyLoggera do ręki czułem się więc tak, jak musi się czućmedyk-mikrobiolog, biorący do ręki fiolkę z groźnym,chorobotwórczym bakcylem. Brzydzić się nie ma jednak co, trzebaznać swojego przeciwnika.

Jako produkt, SpyLogger to aplikacja win32, instalowana wsystemach Microsoftu z zabezpieczonego przed kopiowaniem pendrive'a opojemności 8 GB. Typowy użytkownik, korzystający z menedżeraplików Windows znajdzie na nim tylko widoczny plik panel.exe,z którego uruchamia się to szpiegowskie narzędzie. Bardziejciekawski użytkownik znajdzie tu jeszcze ukryty katalog installze spakowanymi plikami .dll,jednak samo jego skopiowanie na inny nośnik niewiele da – przypróbie uruchomienia panel.exe z z innego niż oficjalnypendrive'a otrzymamy komunikat o uszkodzonym pliku licencji. Tenoficjalny pendrive służyć ma w zamyśle autorów jako magazyn nagromadzone przez szpiegowski program dane.

Instalacja i konfiguracja SpyLoggera (którego testowałem wnajbardziej rozbudowanej wersji PRO +email +audio) jest banalnieprosta. Program uruchamia się kliknięciem aplikacji panel.exe. Dajeto nam dostęp do okna pozwalającego wybrać opcjeinstalacji/deinstalacji, a także przeniesienie zgromadzonych danychna pendrive i przeglądanie zgromadzonych danych. Wopcjach konfiguracyjnych możemy m.in. ustawić reguły, wedługktórych działać mają podstawowe funkcje tego narzędzia:generowanie zrzutów ekranów i logów aktywności klawiatury,podsłuch audio czy wysyłanie przechwyconych materiałów na e-mail.

Te trzy funkcje w większościwypadków wystarczą, by ofiara takiej inwigilacji kompletniepożegnała się z prywatnością. Pierwsza z nich, keylogger,pozwala na zapisanie wszystkich znaków wprowadzanych domonitorowanego komputera przy użyciu klawiatury do pliku, w sposóbwykluczający pomyłki interpretacyjne. Bez problemu można w tensposób np. przechwycić wpisywane przez użytkownika loginy i hasła.Log zawiera również dane o aktywności interfejsu użytkownika (np.minimalizowanie okien).

Drugą metodą inwigilacji(niedostępną w podstawowej wersji narzędzia) jest podsłuch audio,przechwytujący cały dźwięk z komputera, zarówno z mikrofonu, jaki z głośników. Dźwięk zapisywany jest do plików MP3 o zadanej wczasie długości. W ten sposób można przechwycić np. rozmowyprowadzone na Skype.

Trzecią metodą jestautomatyczny zapis zrzutów ekranu, generujący je w zadanychokresach (np. co minutę), w określonym rozmiarze i jakości.Wykorzystanie tej metody w połączeniu z keyloggerem pozwalapozyskać w całości także hasła maskowane, stosowane np. przezsystemy bankowości elektronicznej.

Dodatkowo dysponujemy w wersjiPRO programu możliwością skonfigurowania wysyłki przechwytywanychdanych na wybrany adres e-mail, nawet jeśli nie mamy już dostępudo inwigilowanego w ten sposób komputera. Można tu określić,jakie dane mają być wysyłane, co jaki czas i w jaki sposób(aplikacja nie ma własnego serwera SMTP, korzysta z zewnętrznego).Warto pamiętać, że taka podejrzana aktywność sieciowa generowanaprzez SpyLoggera może zaalarmować ofiarę, że coś siędzieje.

Warto też wspomnieć, że wostatnich aktualizacjach SpyLoggera pojawiła się możliwośćaktywacji monitoringu po wpisaniu przez ofiarę określonych słówkluczowych, jak również śledzenia zmian we wskazanych plikach.

W normalnym scenariuszuużytkowania, gdy nie korzystamy z opcji e-mail, normalnym sposobemna dostęp do zgromadzonych danych jest podłączenie pendrive'aSpyLoggera do portu USB komputera ofiary. Tam po zgraniu danychuzyskujemy możliwość ich podejrzenia – w katalogu Monitoringpojawią się katalogi o nazwachodpowiadających datom i godzinom prowadzonego monitoringu, z dalszympodziałem na poszczególne typy danych.

Od samego początku interesowałomnie, jak w praktyce zachowa się oprogramowanie ochronne dostępnedla przeciętnego użytkownika Windows wobec SpyLoggera. Niestety niemam dla Was dobrych wiadomości. Nie ma żadnej gwarancji, żeużywane przez nas antywirusy poradzą sobie z tym szpiegiem.Zacznijmy jednak od początku.

Pierwsza seria testów wykonanazostała na komputerze z zainstalowanym Windows 7 SP1. Dostępne wsystemie mechanizmy ochronne nie miały ze SpyLoggerem żadnychszans. Szpiegowskie narzędzie wykorzystuje wysokiej klasy rootkita,ukrywającego jego obecność tak, że w systemowym menedżerze inarzędziach administracyjnych nie znajdziemy nic podejrzanego.

Zrobiłem za pomocą Clonezillikilka binarnych kopii systemu, a następnie kolejno instalowałemantywirusy, testując ich reakcje na instalację i obecnośćSpyLoggera. Po sprawdzeniu, czyściłem dysk, odtwarzałem obrazsystemu, instalowałem kolejny antywirus. Spośród sprawdzonychsześciu popularnych programów antywirusowych, tylko trzyzareagowały na samą instalację, a tylko dwa (i to w trybieoffline, po uruchomieniu ze specjalnego nośnika ratunkowego)wykryły, że w systemie jest coś niedobrego.

Następnie zmieniłem systemkomputera na Windows 8.1. Okazało się, że wersja SpyLoggeradostarczona mi do testów, z nową wersją „okienek” nie jestkompatybilna. System ogłosił, że nie może jej uruchomić, nawet wtrybie kompatybilności. Dla posiadaczy SpyLoggera nie powinno byćto żadną przeszkodą: producent dostarcza narzędzie doaktualizacji, za pomocą którego możemy sflashować posiadanypendrive do najnowszej wersji oprogramowania, kompatybilnej już zWindows 8.1. Jak twierdzi producent, taka bezpłatna aktualizacjamożliwa jest przez rok od zakupu urządzenia.

Zaktualizowana wersja bezproblemu zainstalowała się na „gołym” Windows 8.1. Pouzbrojeniu systemu w oprogramowanie antywirusowe, już tak łatwoSpyLogger nie miał. Spośród testowanych sześciu pakietówochronnych, cztery wykryły próbę instalacji czegoś niedobrego,żądając zatwierdzenia wyjątku, by kontynuować. Jeśli jednakpotencjalny napastnik z tym by sobie poradził, to dalej jestznacznie gorzej. Na już zainfekowanym komputerze żaden z pakietównie był w stanie wykryć SpyLoggera, także w trybie skanowaniaoffline. Wynika z tego, że producent na bieżąco udoskonala swójrootkit, uodparniając go na mechanizmy ochronne pakietówantywirusowych. Oczywiście to, że dzisiaj nie udało się w tensposób SpyLoggera wykryć, nie oznacza, że za kilka miesięcybędzie tak samo – programy antywirusowe też ewoluują.

Czy to znaczy, że nie ma żadnejniezawodnej metody ochrony przed SpyLoggerem? I tak, i nie. Tak,jeśli ograniczymy się tylko do środowiska Windows. Nie, jeślipomyślimy nieszablonowo. Największym wrogiem kosztującego 690 złSpyLoggera jest pendrive zawierający darmowe, zaufane oprogramowaniechroniące prywatność. Ze swojej strony mogę polecić każdemuTails, zbudowany na DebianieLinuksie system operacyjny typu Live. Uruchamiamy go bezpośrednio znośnika, z pominięciem Windows, otrzymując dostęp do znakomitychnarzędzi kryptograficznych, pozwalających na anonimowe, bezpieczneprzeglądanie Sieci i komunikację bez pozostawiania śladów nadysku komputera.

**Aktualizacja: specjalizowana ochrona przed keyloggerami **

Po dodatkowych testach mogę wskazać na program, który w pełni zabezpiecza przed SpyLoggerem. To SpyShelter 9.0 Premium. Najnowsza wersja SpySheltera wykryła szkodliwą aktywność SpyLoggera i zablokowała ją. Logi z klawiatury są puste, automatyczne zrzuty ekranu to białe prostokąty, pliki dźwiękowe niczego nie zawierają. Co najważniejsze, SpyShelter działa nawet wówczas, jeśli zostanie na komputerze zainstalowany już po zainfekowaniu go SpyLoggerem. Niestety darmowa wersja SpySheltera już taka dobra nie jest, nie działa też w systemach 64-bitowych.

Spośród darmowych narzędzi ochronnych sprawdził się jeszcze Zemana AntiLogger Free, który zabezpiecza przez przechwyceniem naciśnięć klawiszy. Niestety zrzuty ekranu i nagrania audio wciąż mogą trafić w ręce napastnika.

Stosując SpySheltera warto dbać o jego aktualność. Znalazłem w Sieci jedną z wcześniejszych wersji tego programu (6.0). Nie poradziła sobie z aktualną wersją SpyLoggera.

Nie jestem prawnikiem, nie jestemw stanie więc powiedzieć, na ile dopuszczalne jest w polskimsystemie prawnym stosowanie narzędzi takich jak SpyLogger. Cociekawe, zdania prawników, których zapytałem o opinię w tejsprawie, były podzielone. Oczywiście producent uważa, że wszystkojest OK. Panuje przekonanie, że inwigilacja pracowników – trzeciz przytaczanych scenariuszy – jest w Polsce nielegalna, jeśli sięich o tym nie poinformuje. Niekoniecznie musi być to jednakprawdziwe przekonanie. Co do pierwszego ze scenariuszy, inwigilacjidzieci, to najwyraźniej polskie prawo nie przewiduje dla młodychludzi żadnego prawa do prywatności. Scenariusz drugi to terraincognita, wiadomo jednak, że wwielu sprawach rozwodowych sądy dopuściły dowody z inwigilacjielektronicznej prowadzonej przez tzw. agencje detektywistyczne.

Tyle prawo. Obyczaje to jednakzupełnie inna sprawa. Sądzę, że używanie takich metodinwigilacji wobec członków swojej rodziny to dowód na kompletnąporażkę wychowawczą i niezdolność do budowy zdrowych związkówmałżeńskich. Sięgnięcie po takie metody szpiegowskie wobecpracowników (bez ich wiedzy) nie tylko jest podłe, ale iniekoniecznie efektywne. Istnieją znacznie efektywniejsze metodyzarządzania informacją i dostępem do niej, pozwalające zablokowaćdostęp do niepożądanych aplikacji, serwisów internetowych iusług.

Jeśli jednak mam spojrzeć na torozwiązanie od strony czysto technicznej, to praktycznie nicSpyLoggerowi nie mogę zarzucić. To rozwiązanie „na piątkę”,doskonale realizujące cel, do którego zostało stworzony. Wzasadzie jedynym minusem jest krótki (ledwie roczny) okresaktualizacji. Za 690 złotych można oczekiwać by było dłuższegookresu. Przydałoby się, by narzędzie tego typu samo aktualizowałosię w komputerze ofiary, zabezpieczając się w ten sposób przedwykryciem po kolejnej aktualizacji oprogramowania antywirusowego.

Jak zapewne zauważyliście, wpowyższym tekście nie podałem żadnych szczegółów dotyczącychwykorzystanych antywirusów. To celowy zabieg, aby utrudnić życiepotencjalnym napastnikom.