Keylogger: Funktionen und Erkennungsmethoden ... - B4B Schwaben

Kaspersky Internet Security erkennt derartige Keyloggerproaktiv als Keylogger (die Option Erkennen vonTastaturspionen des Subsystems Aktivitätsanalyse fürAnwendungen im Modul Proaktiver Schutz muss aktiviertsein).Eindringen in den Prozess und Abfangen der FunktionenGetMessage/PeekMessageDiese Methode zur Umsetzung von Keyloggern wirdselten verwendet. Der Keylogger dringt in alle Prozesseein und fängt in ihnen die Funktionen GetMessageoder PeekMessage aus der Bibliothek user32.dll ab.Hierfür können verschiedene Methoden zum Einsatzkommen: Splicing, Modifikationen der Adress-Listender in die IAT importierten Funktionen, Abfangen derFunktion GetProcAddress, die die Adresse der Funktionaus der geladenen Bibliothek zurücksendet. DerKeylogger kann als DLL realisiert werden oder durchdas direkte Eindringen von Code in einen speziellenProzess. Splicing ist übrigens eine Methode, die zumAbfangen des Aufrufs von API-Funktionen genutzt wird.Dazu tauscht sie die ersten (normalerweise die erstenfünf) Bytes der Instruktionsfunktion JMP, die die Steuerungan den Keylogger-Code weiterleitet.Egal welche der genannten Methoden zum Einsatzkommt, das Ergebnis bleibt dasselbe: Ruft eine Anwendungbeispielsweise die Funktion GetMessagezum Empfang der nächsten Meldung aus der Message-Queueauf, gelangt dieser Aufruf in den Code desTastaturspions. Dieser ruft GetMessage aus user32.dll auf und analysiert die zurückgesendeten Resultatehinsichtlich der Meldungstypen. Sobald eine Tastaturmeldungempfangen wird, werden alle sie betreffendenInformationen aus den Parametern der Meldung herausgezogenund vom Keylogger protokolliert.Zu den Vorteilen dieser Methode gehört zweifellos ihreEffektivität: da sie nur wenig verbreitet ist, ist nur einegeringe Anzahl von Programmen in der Lage, derartigeKeylogger zu finden. Hinzu kommt, dass auchherkömmliche Bildschirmtastaturen nicht gegen diesenKeylogger-Typ schützen, da die von ihnen versendetenMeldungen ebenso von ihm abgefangen werden.Ausnutzung des Raw-Input-ModellsZum gegenwärtigen Zeitpunkt ist lediglich ein Beispielfür die Realisierung dieser Methode bekannt, und zwarein Tool zum Austesten der Schutzfunktionen vor Keyloggernim System. Das Wesen dieser Methode bestehtin der Ausnutzung des neuen Raw-Input-Modells, wobeider Keylogger die Tastatur als ein Gerät registriert,von dem er Eingaben empfangen will. Daraufhin beginntder Keylogger, Daten über gedrückte und gelösteTasten über die Meldung WM_INPUT zu empfangen.Die Vorteile dieser Methode liegen in ihrer Einfachheitund Effektivität: Da die gegebene Methode erstvor kurzem allgemein bekannt geworden ist, ist bisherkaum eine Sicherheitslösung in der Lage, vor derartigenKeyloggern zu schützen.Der Nachteil besteht darin, dass Keylogger dieserMachart sehr einfach aufzuspüren sind, da eine spezielleRegistrierung zum Empfang des Raw Input durchdie Anwendung unerlässlich ist (in der Standardeinstellungwird der Raw Input von keinem einzigen Prozessim System empfangen).Kaspersky Internet Security erkennt Keylogger dieserArt proaktiv (die Option Erkennen von Tastaturspionendes Subsystems Aktivitätsanalyse für Anwendungenim Modul Proaktiver Schutz muss aktiviert sein).Kernel-Mode-KeyloggerKeylogger des Kernel-Mode sind weitaus komplexerund komplizierter als Keylogger des User-Mode – sowohlin der Umsetzung als auch bezüglich ihrer Entdeckung.Ihre Entwicklung erfordert spezielle Programmier-Kenntnisse,doch das Ergebnis sind Keylogger,die für alle Anwendungen des User-Mode absolut unbemerktbleiben. Zum Abfangen können sowohl die imMicrosoft Driver Development Kit dokumentierte alsauch andere, nicht dokumentierte Methoden verwendetwerden.Verwendung eines Treiberfilters des TastaturklassentreibersKbdclassKeyloggerNachteile: Modifikationen der IAT-Tabellen könnendas Abfangen nicht garantieren, da die Adressen derFunktionen der Bibliothek user32.dll so lange gespeichertwerden könnten, bis der Keylogger eindringt. DasSplicing ist ebenfalls mit Schwierigkeiten verbunden,etwa auf Grund der Notwendigkeit, den Programmcode„on-the-fly“ zu überschreiben.Kaspersky Internet Security erkennt derartige Keyloggermit Hilfe des proaktiven Schutzmechanismus alsInvader (die Option Eindringen in Prozess (Invaders)des Subsystems Aktivitätsanalyse für Anwendungenim Modul Proaktiver Schutz muss aktiviert sein).Hierbei handelt es sich um den im DDK dokumentiertenAnsatz zum Abfangen der Tastatureingabe. Nach diesemModell konstruierte Keylogger fangen die Anfragenan die Tastatur durch die Installation eines Filtersoberhalb des Gerätes \Device\KeyboardClass0 ab, dervon dem Treiber Kbdclass erzeugt wird. Es werden ausschließlichAnfragen des Typs IRP_MJ_READ gefiltert,da gerade diese den Empfang der Codes gedrückterund gelöster Tasten ermöglichen.16