Keylogger: Funktionen und Erkennungsmethoden ... - B4B Schwaben

the-fly“ überschrieben werden, Keylogger dieser Artsind abhängig von der Version des Betriebssystemsund der installierten Software) und der Notwendigkeiteinen Treiber zu installieren.Treiber-Austausch im Tastatur-Stack der TreiberDiese Methode basiert auf dem Austausch des TreibersKbdclass oder eines Tastaturtreibers der unterenEbene mit einem selbst entwickelten Treiber. Der eindeutigeNachteil dieser Methode besteht in der kompliziertenUmsetzung, da im Vorfeld nicht bekannt ist, welcherTastatur-Typ vom User verwendet wird, und derAustausch des Treibers daher recht einfach entdecktwird. Aus diesem Grund wird diese Methode in der Praxisso gut wie nie umgesetzt.Entwicklung eines Treibers zur Bearbeitung desInterrupts IRQ 1Zur Realisierung dieser Methode ist das Programmiereneines eigenen Kernel-Treibers notwendig, derden Tastaturinterrupt (IRQ 1) abfängt und direkt an dieEingabe-Ausgabe-Ports (60h, 64h) geleitet wird. AufGrund der komplizierten Umsetzung dieser Methodeund der nicht ganz klaren Art von Wechselwirkungenmit dem im System integrierten „Bearbeiter“ des Interrupts(Treiber i8042prt.sys) ist diese Methode zum gegenwärtigenZeitpunkt noch reine Theorie.► Die breite Masse der derzeit existierenden Keyloggerist ein mächtiges Instrument, das problemlos zuunlauteren Zwecken eingesetzt werden kann – inerster Linie zum Diebstahl von über die Tastatur eingegebenenvertraulichen Informationen.► Antiviren-Hersteller müssen ihre Kunden unbedingtvor den Bedrohungen schützen, die von Keyloggernin den Händen von Kriminellen ausgehen können.Da die Schutzmechanismen immer ausgereifter werden,sind die Keylogger-Autoren gezwungen, sich mitder Umsetzung immer komplizierterer Tastaturspione– unter anderem solcher, die die Kernel-Treiber desBetriebssystems Windows nutzen – auseinanderzusetzen.In diesem Bereich eröffnet sich ihnen noch eineVielzahl von Möglichkeiten.Nikolay GrebennikovStellvertretender Direktor der Abteilung fürinnovative Technologien, Kaspersky LabFazitIn der vorliegenden Analyse wurde der Algorithmusder Datenübertragung vom Drücken einer Taste aufder Tastatur durch den Anwender bis zum Erscheineneines Zeichens auf dem Bildschirm dargestellt. Desweiteren wurden die einzelnen Glieder der Signal-Bearbeitungsketteanalysiert und die verschiedenen Umsetzungenvon Keyloggern, die auf dem Abfangen vonTastatureingabe auf bestimmten Etappen des beschriebenenAlgorithmus basieren, genauer beschrieben.► Das hier untersuchte Schema der Tastatureingabeim Betriebssystem Windows ist hinreichend kompliziert,und in praktisch jedem Schritt könnte ein Keyloggerinstalliert werden.► Es besteht eindeutig ein Verhältnis zwischen demVerbreitungsgrad von Keyloggern und der Komplexitätihrer Entwicklung. Daher gehören die am weitestenverbreiteten Realisierungs-Methoden vonKeyloggern – nämlich die Installation von Hooksauf Eingabeereignisse und die zyklische Abfrageder Tastaturzustände – auch gleichzeitig zu den ameinfachsten umsetzbaren Keylogger-Typen. Ein derartigerTastaturspion kann selbst von jemandem geschriebenwerden, der erst vor einer Woche mit demProgrammieren angefangen hat.Keylogger18