KEYLOGGER E A SEGURANÇA DA INFORMAÇÃO

Transcrição

1 KEYLOGGER E A SEGURANÇA DA INFORMAÇÃO Segurança e Auditoria de Sistemas Flávia Aparecida Mártis Universidade Federal de Ouro Preto ICEA / João Monlevade 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 01

2 Tópicos que serão abordados Introdução Definição de Keylogger Vertentes de Utilização de um Keylogger Tipos de Keylogger Hardware Keylogger Software Keylogger Kernel Keylogger Exemplo de Keylogger Perfect Keylogger (BPK) Métodos de captura de teclas e cliques Hooks DLL Injection 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 2

3 Tópicos que serão abordados Antikeylogger Hooks DLL Injection Demonstração do Ardamax Keylogger Considerações Finais Referências Bibliográficas 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 3

4 Introdução Ao conectamos a grande rede de forma automática sujeitamos às suas regras e por conseguinte aos riscos de quem vive somente para quebrá-las. Podemos comparar uma rede mal configurada a uma porta entreaberta numa vizinhança perigosa: nada pode acontecer por algum tempo, porém alguém irá notar e tentar usar isso oportunamente. A fim de fazerem isso, essas pessoas utilizam vários meios para ludibriar a rede, captando informações ou apenas abrindo brechas para futuros ataques, colocando assim em risco a segurança e integridade da rede. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 4

5 Introdução Temos diversas ferramentas para explorar as vulnerabilidades do sistema e do usuário, bem como os riscos que a rede é posta com eles. Dessa forma, esse trabalho tem como objetivo a explicação da ferramenta Keylogger, bem como as situações que a ronda, além de enfatizar como a segurança pode trabalhar para que isso não se torna um malefício. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 5

6 Definição de Keylogger Um Keylogger é um tipo de programa capaz de armazenar qualquer tecla digitada pelo usuário [1]. Dessa forma, é possível armazenar dados sobre declaração do imposto de renda, s, conversas e até senhas bancárias, pondo em risco a integridade dessas informações. Tais informações são gravadas em arquivos dentro da própria máquina atingida e enviadas a terceiros. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 6

7 Definição de Keylogger Um Keylogger normalmente é parte de um programa spyware ou de um trojan. Portanto, é necessário que algum programa infectado com algum deles para que o Keylogger se instale na máquina. Geralmente eles vêm anexados em s ou disponíveis (e, obviamente, devidamente camuflados) em sites da Internet. Porém o Keylogger evoluiu e além das teclas digitadas, alguns deste programas conseguem ainda monitorar as atividades do computador. Isto inclui sites visitados, tempo gasto em cada um deles, imagem ao redor do clique do mouse e cópias da área de trabalho [2]. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 7

8 Definição de Keylogger Tipos de loggers Assim no mundo atual, destacam-se três tipos distintos de loggers [3]: Keyloggers tradicionais: que capturam as teclas digitadas no computador e depois repassa as informações. Mouseloggers: são softwares que capturam movimentos e cliques do mouse com o objetivo de contornar os teclados virtuais dos bancos. Videologgers: também conhecidos como screenloggers, consiste em capturar imagens da tela do computador (screenshots) a cada período de tempo, formando, assim, um filme que então é enviado ao atacante. Um videologger não está relacionado aos eventos do mouse ou do teclado. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 8

9 Vertentes de Utilização de um Keylogger Essa ferramenta atinge duas vertentes de utilização, sendo o uso de maneira fraudulenta ou não fraudulenta. De seu modo não fraudulento, o Keylogger é um programa muito utilizado por empresas para monitorar o que seus funcionários fazem em sua máquina, obtendo assim um retorno de seus feitos e navegações diárias. São também usados com a intenção de resguardar o que foi digitado, por exemplo, quando um usuário tem o hábito de digitar textos compridos, como livros, teses e dissertações; caso haja perda de energia elétrica, ao se reiniciar o computador, o usuário tem a oportunidade de recuperar todas as teclas digitadas até quase o exato momento em que o seu computador foi desligado repentinamente. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 9

10 Vertentes de Utilização de um Keylogger Por outro lado, o fraudulento, e com uma realidade mais freqüente, essa ferramenta é utilizada principalmente de forma ilegal ou ilícita. Algumas pessoas, infelizmente, aproveitam das funcionalidades para capturar as informações e enviá-las para algum lugar e posteriormente usar estes dados para fins imorais. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 10

11 Tipos de Keylogger Hardware Keylogger Trata-se de um dispositivo físico posicionado entre o teclado e o computador da vítima. Apesar de serem rápidos (por possuírem um hardware dedicado para executar sua função) e por não serem detectados por mecanismos como anti-vírus e anti-spyware, os mesmos podem ser detectados visualmente por uma pessoa. Além disso, possuem espaço de armazenamento limitado e necessitam de acesso físico a máquina da vítima para serem instalados. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 11

12 Tipos de Keylogger Software Keylogger Usando um mecanismo de hooking: um hook trata-se de uma rotina que tem como objetivo ficar no meio do caminho do tratamento normal da execução de informações do Sistema Operacional (SO). Para isso, os programadores utilizam funções disponibilizadas pela API (Aplication Program Interface) do SO. Essas funções são responsáveis por capturar as mensagens do sistema (assim como as teclas que são pressionadas) antes que as mesmas sejam tratadas pelas devidas rotinas de tratamento. Keyloggers desse tipo normalmente possuem um módulo executável, que dispara a execução do aplicativo, e uma biblioteca que contém as rotinas para a captura das informações desejadas. Esses Keyloggers podem ser instalados remotamente, no entanto, são os mais lentos e facilmente detectáveis por programas como anti-vírus e anti-spywares. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 12

13 Tipos de Keylogger Kernel Keylogger Este tipo de Keylogger trabalha no nível do kernel e usa suas próprias rotinas para receber os dados diretamente dos dispositivos de entrada (no caso, o teclado). É o método mais difícil de ser desenvolvido (por exigir um elevado conhecimento de programação) e também de ser detectado (por substituir as rotinas padrão do SO e serem inicializados como parte do próprio sistema). Pelo fato de trabalharem no núcleo do sistema, não são capazes de capturar informações que são trocadas diretamente no nível de aplicações (ex: operações de copiar e colar e operações de autocompletar). 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 13

14 Exemplo de Keylogger Atualmente, um dos Keyloggers que mais se destaca é o Perfect Keylogger (BPK), da Blazing Tools Software [5]. O BPK trata-se de um Keylogger baseado em hooking que pode ser facilmente instalado em sistemas operacionais Windows. Por possuir um processo de instalação bastante simplificado e uma interface gráfica amigável, qualquer usuário, mesmo sem experiência em segurança de computadores, é capaz de utilizar o programa e monitorar atividades alheias. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 14

15 Exemplo de Keylogger Entre suas principais funcionalidades pode-se citar [6]: Capturar tudo o que for digitado no computador; Trabalhar em modo invisível (ocultando o processo em execução do gerenciador de tarefas, tornando o programa invisível à lista de startup e removendo o programa do menu de inicialização e da lista de desinstalação de programas do Windows); Renomear os arquivos que compõem o aplicativo para que tenham um nome qualquer (dificultando a busca no sistema de arquivos pelo nome original do Keylogger). Possibilitar que os processos de instalação, atualização e desinstalação possam ser realizados remotamente. Registrar em arquivos de log os sites que foram visitados. Enviar as informações capturadas para um determinado . 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 15

16 Exemplo de Keylogger Tela de configurações gerais do Perfect Keylogger. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 16

17 Métodos de captura de teclas e cliques Hooks Hooks (ganchos) do sistema operacional podem ser utilizados tanto para a captura de mouse quanto para a captura de teclado. A comunicação de eventos entre processos do sistema operacional Windows (por exemplo, um clique em um botão, a digitação de uma tecla, o fechamento de uma janela) funciona por meio de troca de mensagens. Quando um usuário clica no botão OK de uma aplicação, o sistema operacional envia uma mensagem e a trata conforme necessário. Assim, o sistema operacional passa a mensagem para o primeiro hook na fila, que por sua vez, deve repassá-lo para o segundo hook, e assim por diante, conforme demonstra a Figura 2, onde se pode verificar que o hook fica alojado entre o sistema operacional e a aplicação final que receberá a tela. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 17

18 Métodos de captura de teclas e cliques Hooks: caminho percorrido por uma tecla 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 18

19 Métodos de captura de teclas e cliques Hooks Dentro de uma rotina de hook, o sistema operacional repassa alguns parâmetros importantes, como as coordenadas do clique do mouse. Nesse instante, a captura é de simples realização. Por exemplo, caso o usuário esteja clicando em um teclado virtual para a entrada de sua senha no banco, a rotina de hook poderia utilizar as coordenadas do clique para tirar uma foto do pedaço da tela onde ocorreu o clique, roubando assim a senha do usuário, conforme Figura 3 (teclado virtual extraído de [8]). 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 19

20 Métodos de captura de teclas e cliques Exemplo de captura de clique de mouse utilizando hooks À partir da figura é interessante notar que nesse momento a janela final que efetivamente recebeu o clique do mouse ainda não está a par desse clique, pois a rotina de hook recebe a mensagem antes de essa ser processada. Portanto, métodos de proteção amplamente utilizados, como, por exemplo, sumir com os números do teclado virtual no momento do clique, não protegem contra esse método de captura. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 20

21 Métodos de captura de teclas e cliques DLL Injection A técnica de DLL Injection pode ser utilizada para diversos fins, benigna ou maligna. A idéia dessa técnica é conseguir carregar uma DLL (Dymamic Link Library) dentro do processo alvo. O objetivo é conseguir obter acesso à memória do processo vítima, algo que um programa externo não conseguiria. Caso por exemplo, um trojan tentasse ler algum valor residente na memória de um outro processo, o sistema operacional detectaria uma violação de memória e finalizaria o trojan. Por essa razão se faz necessário carregar a DLL atacante dentro da memória do próprio processo vítima. Se isso for realizado com sucesso, essa DLL terá acesso a toda memória do processo. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 21

22 Métodos de captura de teclas e cliques DLL Injection A partir do ponto em que o trojan tenha conseguido injetar uma DLL dentro de um processo-alvo, ele pode agora ler toda a memória do processo, pode acessar as variáveis internas, sobrescrever funções e muito mais. Para manter o funcionamento da janela intacto, o trojan pode ainda repassar as mensagens para a rotina de tratamento original após o seu processamento. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 22

23 Antikeyloggers Hooks A técnica de proteção contra hooks é bem semelhante à técnica de captura de teclas utilizando hooks. Uma possível proteção que o módulo de segurança pode utilizar para prevenir esse método de captura é o seguinte: o módulo obteria um hook do sistema operacional. Quando uma mensagem de teclado ou de mouse for enviada para esse hook, o módulo não repassa essa mensagem para os outros hooks instalados, redirecionando-a diretamente para a janela destino. Esse mecanismo está exemplificado na Figura 4. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 23

24 Antikeyloggers Proteção contra captura utilizando hooks 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 24

25 Antikeyloggers Hooks Utilizando esse método, o módulo de proteção consegue efetivamente enganar os outros hooks registrados no sistema. Porém, existem alguns problemas inerentes a esse tipo de proteção: O módulo de proteção deve garantir que seu hook seja o primeiro na cadeia, conforme representado na Figura 4: para realizar essa tarefa, o módulo de segurança deve voltar constantemente a se registrar como um hook. Caso ele faça isso muito lentamente, é possível que algum trojan consiga se registrar no meio do caminho e seja então bem-sucedido na captura de algumas teclas; caso ele realize isso muito rapidamente, esse processo pode vir a consumir grandes quantidades de processamento da máquina do usuário, deixando todo o sistema lento. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 25

26 Antikeyloggers Hooks O módulo de proteção estará bloqueando não apenas os trojans que tenham instalado hooks, mas também todos os outros aplicativos que porventura possam utilizar hooks: os hooks foram criados como ferramentas para tornar o desenvolvimento de alguns tipos de aplicações mais simples. Alguns exemplos de aplicativos que podem utilizar hooks são: aplicações de auxílio a deficientes visuais ou aplicações de leitores de códigos de barras. Nesse caso, essas aplicações passariam a não funcionar corretamente enquanto a proteção de hooks estivesse ativa. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 26

27 Antikeyloggers DLL Injection A técnica de DLL Injection pode também ser utilizada para prevenir a captura de teclas. A idéia é injetar uma DLL dentro dos trojans e bloquear o uso das funções do sistema operacional que poderiam ser utilizadas para a captura (como por exemplo as funções de hook). Como nem sempre é possível identificar qual processo em execução é o trojan, esse método acaba tendo que injetar a DLL de proteção em todos os processos na máquina. Isso acaba sendo muito perigoso, pois estaremos interferindo nos processos de sistemas e poderemos assim estar afetando todo o comportamento da máquina. Além disso, o processo de injeção de DLL e de redirecionamento de API é extremamente agressivo e pode comprometer a estabilidade da máquina. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 27

28 Antikeyloggers DLL Injection De qualquer maneira, esse método pode ser muito eficaz na prevenção da captura de teclas. Mas é necessário cuidado para utilizá-lo da maneira mais correta possível. No aspecto privacidade do usuário, a técnica de DLL Injection é extremamente intrusiva. Ao injetar uma DLL em cada processo do sistema, pode-se em teoria monitorar o comportamento de todas as aplicações sendo executadas. É possível registrar de modo completo todas as interações do usuário com o sistema, clique por clique e tecla por tecla. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 28

29 Demonstração do Ardamax Keylogger Nesse tópico será apresentado a demonstração do software Ardamax Keylogger, o qual é de fácil aquisição através da internet. Esse Keylogger possui diversas funcionalidades, porém o seu nível de segurança é limitado. Isso significa que a maioria dos anti-vírus o identifica e o desabilita seu funcionamento. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 29

30 Considerações Finais Por mais complicada que possa parecer a tarefa de manter uma rede segura e íntegra, o valor da informação nela contida chega a tal ponto de se tornar quase obrigatório que qualquer sistema possua uma boa política de segurança. O que foi demonstrado nesse artigo pode contribuir para uma instituição transacional na batalha contra fraudes. Porém a solução definitiva para o problema só virá após a conscientização e compartilhamento da responsabilidade da segurança do sistema com seus usuários. 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 30

31 Dúvidas 16/11/2011 Segurança e Auditoria de Sistemas - Keylogger 31

32 Referências Bibliográficas [1] WIKIPEDIA. Keylogger. Disponível em: Acessado em: 18 de outubro de [2] - THOMPSON, MARCO A. Invasão.BR. Volume I, pág. 71. Disponível em: eylogger&hl=pt-br&ei= dsmztvi8eujt0gh19tdfba&sa=x&oi=book_result&ct=result&resnum=1 &ved=0cdsq6aewaa#v=onepage&q=keylogger&f=false. Acessado em: 17 de outubro de [3] - OKUMURA, DANIEL TAKASHI. Teclados Virtuais Seguros. Disponível em: Acessado em: 17 de outubro de /11/2011 Segurança e Auditoria de Sistemas - Keylogger 32

33 Referências Bibliográficas [4] - SECURITYFOCUS (2007). Securityfocus website. Disponível em: Acessado em: 17 de outubro de 2011.[ 5] - BLAZINGTOOLS (2007). Perfect keylogger - easy to use stealth solution for pc and internet surveillance. discover the truth now! Disponível em: Acessado em: 17 de outubro de [6] - PEREIRA, EVANDRO; FAGUNDES, LEONARDO; NEUKAMP, PAULO; LUDWIG, GLAUCO; KONRAT, MARLOM. Forense Computacional: fundamentos, tecnologias e desafios atuais - heurísticas para o problema de partição de números. Disponível em: p1-forense.pdf. Acessado em: 17 de outubro de /11/2011 Segurança e Auditoria de Sistemas - Keylogger 33

34 Referências Bibliográficas [7] - WONGTSCHOWSKI, ARTHUR. Segurança em aplicações transacionais na Internet: O elo mais fraco. Disponível em: Acessado em: 17 de outubro de [8] - SMARTLINK. Virtual Keaboard Example Disponível em: Acessado em: 17 de outubro de /11/2011 Segurança e Auditoria de Sistemas - Keylogger 34