Newsgroup: it.comp.sicurezza.varie
Titolo: Come si scopre un keylogger?

Buonasera a tutti,
dopo aver cercato (forse male) con Google e nei NG rivolgo a voi la domanda 
in oggetto.
Da quanto ho capito quel che ho trovato servirebbe a impedire una 
installazione del keylogger, non a scoprire se gia' c'e'.
Ringrazio in anticipo.
Matogrosso 

 Ringrazio in anticipo.
Devi mettererti a scrivere lunghe lettere contenenti frasi del 
genere: "domani la bomba scoppierà", "l'attentato è previsto per le 
10.00 caro compagno abdul..", etc.. etc... Se in capo a pochi giorni 
ti ritrovi l'FBI sotto casa vuol dire che hai un keylogger. ;-)
-- 
Proofread carefully to see if you any words out. 
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

č abbastanza semplice; 
1) scrivi 2-3 volte una parola inusuale e vedi che ora segna
l'orologio
2) fai una ricerca con "cerca" sul tuo o i tuoi dischi rigidi dei file
creati o modificati nella giornata e guarda se ce n'č uno o piů che
corrisponde piů o meno a l'ora in cui hai scritto le parole inusuali
3) se c'č tale file vedi se all'interno sempre con "cerca" esiste tali
parole inusuali
4) se si HAI UN KEYLOGGER


Spaccabyte

 []
oppure guarda che processi hai in esecuzione e cerca di capirne il
significato d'essere di ognuno.

 processi in esecuzione
a tal fine, utilizza process explorer di system internals:
http://www.sysinternals.com/Utilities/ProcessExplorer.html
Dopo aver realizzato che non conosci il significato del 70% dei processi,
fai un flood di domande sul newsgroup.
Domanda, soprattutto, a Thorin: e' cortese e paziente.

 4) se si HAI UN KEYLOGGER
Questa è una delle cose più ridicole che ho sentito. Ah, se i keylogger 
fossero così facili da scovare... La quasi totalità dei keylogger non tiene 
nessun file di testo in chiaro, bensì li tiene compressi e crittati. Molti 
usano dei metodi tipo rootkit per non far apparire alcun file associato. Il 
metodo da te descritto è assolutamente inutile ed anzi dannoso (mai sentito 
di "false sense of security"?) 



crittati? rootkit? i keylogger che conosco (sicuramente pochi) creano
file di testo in chiaro anche se con desinenze strane,  cmq. dopo aver
scritto qualcosa un file si sarà pure aggiornato.. e forse questa è
una possibile pista, poi scusa... forse i keylogger di cui parli tu
sono destinati a spiare persone importanti o terroristi, con me chi
mai dovrebbe usare un keylogger così sofisticato? e forse questo vale
anche per Matogrosso, quindi non ne sono a conoscenza.
Cmq. se hai la bontà di spiegarti meglio sono ben felice di saperne di
più... puoi fare qualche nome di software? Se un domani mi servisse...
Spaccabyte

una possibile pista, poi scusa
Anche a me pare abbastanza improbabile che dei keylogger mettano i
dati in chiaro.
Oltre a questo, c'è un punto da migliorare sui tuoi punti uno e due:
il keylogger potrebbe mantenere i dati in memoria e scriverli solo
allo shutdown, per cui è meglio riavviare immediatamente dopo la
scrittura delle parole strane
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

scrittura delle parole strane
Forse non sono stato abbastanza chiaro... io dico solo quello che sň e
evidentemente non ne sň molto, in base alla mia piccola esperienza in
alcuni casi li ho individuati cosě.
Cercavo solo di dare una mano per quel che ne sň....
Spaccabyte

 mai dovrebbe usare un keylogger così sofisticato?
No guarda, prodotti del genere li trovi anche facilmente. Questo, per 
esempio: 
http://www.invisiblekeylogger.com/invisible-keylogger.html
 (non 
l'ho mai provato, ma non pare proprio una bufala, ad es. è apparso su 
SecurityFocus recentemente, 
http://www.securityfocus.com/infocus/1829
). 
Non vedo cosa ci possa essere di così strano in un keylogger che 
periodicamente scrive i dati catturati compressi e crittati... o che lavora 
in "stealth" (ci sono pure spyware che lo fanno, alcune varianti di 
Coolwebsearch, per esempio).
Il metodo da te descritto non funziona per una serie di ragioni, anche 
quella già citata che non è assolutamente detto che i dati vengano scritti 
immediatamente e in qualunque circostanza, vedi ad esempio il discretamente 
famoso keylogger: 
http://research.sunbelt-software.com/Advisory.cfm
Molti keylogger catturano anche snapshot del desktop. E, per quanto 
riguarda l'articolo su SecurityFocus citato prima, c'è da dire che neanche 
il metodo adottato da Citibank funziona, vedi 
http://www.securityfocus.com/archive/1/407472/30/150/threaded
Non credere che chi vuole fare danni abbia risorse tanto limitate.

 corrisponde più o meno a l'ora in cui hai scritto le parole inusuali
E se il keylogger non usasse affatto un file ma un buffer di memoria?
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 significato d'essere di ognuno.
Non se è un modulo del kernel. ;)


 E se il keylogger non usasse affatto un file ma un buffer di memoria?
E se il keylogger fosse ps/2 e collegato alla mainboard?



cazzo (scusate il fracesismo) :) esiste allora un modo "umano"* di
difendersi?
esiste la possibilità che uno lo usi su di me che con il pc: gioca, si
informa, scrive lettere private (senza nessuna importanza), etc?
* umano nel senso comprensibile ad un non laureato in scienze
informatiche con specializzazione in anti keylogger?
Spaccabyte

informa, scrive lettere private (senza nessuna importanza), etc?
In linea di massima, esiste la possibilitą nella misura in cui queste
cose hanno importanza per qualcuno.
Se hai un/una partner geloso/a tali lettere possono anche invogliare a
spiare.


 Non se è un modulo del kernel. ;)
Ah, certo: si puo' fare (ehm... è gia' stata fatta) anche una shell
extension (devil docet) ;-)
In tal caso si tratta di una dll che, come processo, non risulta: il
processo risultante è explorer.

 extension (devil docet) ;-)
Eheheh...è proprio lì che ti volevo far arrivare. ;-P


 Eheheh...è proprio lì che ti volevo far arrivare. ;-P
mi stai portando a spasso?


Secondo me no , non avendo un controllo completo del mezzo non ti puoi
difendere in modo completo, comunque ci sono strumenti che ti possono
dare una sicurezza accettabile.
Io come software uso Deep Freeze , ma per avere una sicurezza adeguata
ad es. per un Conto corrente online sarebbe necessario almeno una token
card con feedback su sms.
Fineco ha attivato gli alert su SMS , ma purtroppo a dimenticato di
inserire tra gli alert gli la modifica del profilo SMS.

 E se il keylogger non usasse affatto un file ma un buffer di memoria?
O un ADS ? Che neanche al riavvio lo trovi, senza tools appositi.
Bye, G.

 mi stai portando a spasso?
dimenticavo:
:-)

inserire tra gli alert gli la modifica del profilo SMS.
Per esempio io ho norton internet security, microsoft antispyware
tutti e due con aggiornamento automatico percui aggiornati e non c'è
la possibilità di avvicinarsi fisicamente al pc....
Come possono inserirmelo?
Esiste un programma che li scova?
Spaccabyte

 ha scritto nel messaggio 
news:wHnNe.64469$2U1.3...@news3.tin.it...

Con un antitrojan, come a-squared o ewido... anche nella versione "demo" 
funzionano molto bene. 

Esiste un programma che li scova ?
Scova cosa ? l punto è che non esiste uno strumento che possa distinguere
senza ambiguità un software corretto da uno scorretto. Per i virus è
semplice perchè il fatto che si propaghino è sufficiente per classificarli
come virus , ma gli altri software possono avere o non avere una firma
digitale che li contraddistingue come sicuri , ma questo non è sufficiente.
Alcuni Dialer pericolosissimi avevano la firma digitale valida.
Deep Freze ragiona diversamente .Il PC praticamente rinasce ogni volta che
viene riacceso per cui se ti installano un dialer o uno spyware al prossimo
reboot si cancella.

 mi stai portando a spasso?
No, pesi troppo. ;)


 :-)
Oh, beh, con me puoi anche non puntualizzare. ;-P


 Come possono inserirmelo?
Domanda pericolosa. <g>


 
http://www.sysinternals.com/Utilities/ProcessExplorer.html
E Security Task Manager (shareware, 
www.neuber.com/taskmanager
)
-- 
Tiziano "Lapalissiano" Marmiroli
Microsoft MVP - Office System

 E Security Task Manager (shareware, 
www.neuber.com/taskmanager
)
bello, non lo conoscevo.
Avast, pero', me lo segnala come virus!
Malware: Win32:Ranky-BW [Trj]
:-)

 :-)
mentre fprot e clamav lo ritengono pulito.
Mi sa che e' la ricerca euristica di avast a toppare perche', in realta',
quel tipo di backdoor (viene classificato cosi') non esiste sul sito di
avast. Mah.


idem nod32 2.5 con euristica avanzata attivata.
Comunque come programma è carino, però mi indica come pericolosi nod32, 
vmware e java...
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Nel futuro ognuno sara' famoso per quindici minuti.
		-- Andy Warhol

 vmware e java...
Quanto pericolosi? Più di 50? A me per NOD32 indica una pericolosità di
40 ("Pericolosità: sembra essere inoffensivo").


 
A me da nod32 a 42 e vmwaretools a 59; vero è che indica "sembra 
inoffensivo", ma quello che balza agli occhi è la barra rossa
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Vedi cara, l'amore e' una cosa, il sesso un'altra.
- E la roba che facciamo noi, come si chiama?
		-- Ellekappa

 Matogrosso
advanced antikeylogger...
usare la tastiera virtuale per digitare password...
io avrei una domanda in pi&#249; : l'uso di distro live immunizza 
automaticamente anche dalla spia-keylogger residente nel sistema 
installato su disco fisso?
oppure esistono keylogger (di tipo software) che si attivano su tutti i 
sistemi operativi installati con il semplice avvio del pc?
-------------------------------
Messaggio inviato da Forumer.it
http://www.Forumer.it
Crea il tuo forum gratis!

 
Reputo problematico per un programma scritto per windows NT riuscire a 
girare sotto linux..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Che se io saprei che mio figlio mi diventerebbe un orecchione,
vivo glielo faccio mangiare il ritratto di Dorian Gray!
		-- Giorgio Faletti

 girare sotto linux..
Reputo ancora piu' problematico scrivere un programma, in qualsiasi S.O.
che si autoavvi all'inserimento di una distro live.
Hmmmm.... Pero', le mother board che uscivano con uno spazio
"semi-firmware" per caricarci un antivirus, ...
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 girare sotto linux..
 beh esistono programmi come openoffice che girano dappertutto...
..e se il sistema installato &#232; lo stesso linux? 
e che mi dite dei keylogger installati in dos? si attivano solo quando si 
attiva il dos? e quando si attiva il 
dos?.......................................
grazie :-)


 girare sotto linux..
 beh esistono programmi come openoffice che girano dappertutto...
..e se il sistema installato &#232; lo stesso linux? 
e che mi dite dei keylogger installati in dos? si attivano solo quando si 
attiva il dos? e quando si attiva il 
dos?.......................................
grazie :-)
-------------------------------


 associato.
E se poi parliamo di O/S windows.. basterebbe loggare le info
in un "alternate data stream" per rendere anche più difficile la
ricerca... sempre ovviamente che il keylogger non sia hardware :-)
eccone uno "facile" da scoprire .. sempre che lo si cerchi :-)
http://www.thinkgeek.com/gadgets/security/5a05/
ce ne sono altri installabili all'interno del case o della tastiera...
Ciao

 dos?.......................................
Ragiona: cosa e' un keylogger?
Un programma. [*]
Come puo' essere eseguito un programma?
1) lanciato dall'utente.
2) attivato in automatico dal sistema operativo.
Ora, dimmi un po': se avvii il pc con una distribuzione live,
a meno che non usi l'opzione uno, bisognerebbe che l'acaro ti
avesse modificato il cd live con l'avvio del keylogger, e mi sembra
piuttosto difficoltoso, non credi?
[*] I keylogger hardware non sono considerati, in questo momento.


> usare la tastiera virtuale per digitare password...
ritiro tutto, l'avevo letto sul sito della difesa italiana! i buoni 
consigli!  e non č vero, ho appena provato con PAL computer surveillance 
system, registra proprio tutto e fa delle fotografie ogni tot secondi allo 
schermo.
ritiro quello che ho detto. Ho appena provato un keylogger 


 [*] I keylogger hardware non sono considerati, in questo momento.
io ho pensato le stesse cose, ma non sono un esperto di informatica e non 
ho idea di quali diavolerie possano fare i programmi. per esempio non 
potrebbe installarsi come un piccolo sistema operativo alla stregua di un 
programma per il "multiboot"? se ho detto una cazzata scusa la mia 
ignoranza :-)


 [*] I keylogger hardware non sono considerati, in questo momento.
premesso che non sono un esperto, come si vede, sto chiedendo se non 
potrebbe installarsi come un programma per il multiboot, ossia capace di 
rilevare piů di un sistema operativo,  e poi sorvegliare la tastiera....


 
no... Esistono dei programmi che esistono in versione windows e in 
versione linux.
Al limite se fosse scritto in java.. (non passerebbe certo inosservato!)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Lei e' bellissima!  Mi vuole sposare?
- Dipende.  Lei russa?
- No, ma potrei imparare.
		-- Dennis O'Neil