Keylogger: Funktionen und Erkennungsmethoden ... - B4B Schwaben

Entdecken mit Hilfe von Signatur-DatenbankenWie schon erwähnt, ist die Signatur des vorliegendenKeyloggers bereits in den Antivirus-Datenbanken vonKaspersky Lab vorhanden. Da dieser Keylogger allerdingsals legales Programm positioniert wird, das zuvöllig legalen Zwecken genutzt werden kann, befindetsich dessen Signatur in der Kategorie riskware (potentiellgefährliche Software). Das Entdecken von Programmendieser Kategorie ist in der Standardkonfigurationnicht vorgesehen. Um diese Funktion zu aktivieren,muss unter Einstellungen/Schutz das Kästchen vordem Punkt Potentiell gefährliche Software; Remoteverwaltungsprogramme,Scherzprogramme unter Kategorienfür schädliche Software angeklickt werden:In der Grundeinstellung startet Kaspersky InternetSecurity die Überprüfung von Autostart-Objekten mitHilfe einer speziellen Systemfunktion. Diese Methodeermöglicht auch das Entdecken der verborgenen Dateiendes Spy Lantern Keyloggers (in diesem Fall mitdem Präfix ketaf), die für alle ande ren Anwendungendes Betriebssystems unsichtbar sind.Schließlich erscheint ein Dialogfenster, analog zu demoben dargestellten. Entscheidet sich der Anwender dafür,den Keylogger zu löschen, so schlägt KasperskyInternet Security die Desinfizierung der aktiven Infizierungvor – da der Keylogger-Prozess zum entsprechendenZeitpunkt aktiv ist (wenn auch mit Hilfe desRootkit-Treibers nicht sichtbar).Wurde die Funktion zum Aufspüren potentiell gefährlicherSoftware aktiviert, erscheint bei der Installationdes Keyloggers der folgende Warnhinweis:KeyloggerDer Keylogger wird daraufhin blockiert, und der Anwenderhat nun die Möglichkeit, die installierte Datei durchAnklicken der entsprechenden Schaltfläche zu löschen.Lässt der Anwender die Installation zu, wird nach abgeschlossenerInstallation des Keyloggers ein Neustartdes Computers durchgeführt und der Keylogger wirddaraufhin im verborgenen Modus aktiv. Unabhängigvom Modus ermöglicht Kaspersky Internet Security dieEntdeckung und Neutralisierung des Keyloggers.Bei der Desinfektion einer aktiven Infizierung handelt essich um eine von den Kaspersky Lab-Spezialisten entwickelteProzedur, die die Neutralisierung schädlicherSoftware ermöglicht, unabhängig davon, wie „tief“ dieseim Betriebssystem verankert ist. Diese Prozedurwird immer dann aktiviert, wenn Kaspersky InternetSecurity einen schädlichen Prozess im Arbeitsspeicheroder unter den Autostart-Objekten entdeckt.Am Ende dieser Prozedur steht das Löschen des Keyloggers,woraufhin ein Neustart des Computers gefordertwird. Dieser ist unbedingt erforderlich, damit sichder aktive Schadcode nicht auf dem Computer des Anwendersverankern kann.24