[es] - Keylogger problem!

goran9888

Član broj: 171536
Poruke: 235
*.dynamic.isp.telekom.rs.

+18 Profil

^{04.02.2011. u 19:06 - pre 160 meseci}

Citat:

dava: @gorane9888
Taj fajl ce da radi upravo ono što i keylogger. Vidiš ova funkcija SetWindowsHookExW koju koristi PnkBstrB.exe. To je API f-ja iz user32.dll-a koja omogućava stvaranje programskog hook-a kojeg stavlja u hook chain. Ako joj se kao parametar proslijedi WH_KEYBOARD tada će preko kreiranog pointa ići poruke poslate sa tastature koje je dalje lako preko RegisterShellHookWindow() prosleđivati svom programu, a on dalje logovati u neki fajl i po potrebi kriptovati.

Mene stvarno zanima na koji ti način to analiziraš? Nemoj da se ljutiš, što ti smeta ako pitam? Da li koristiš neki program u koji učitaš ovaj log fajl, pa on na osnovu putanje, veličine itd fajla (iz loga) uporedi sa svojom bazom pa prikaže potencijalno opasne fajlove. Vjerovatno ne znaš napamet veličine fajlova što od windows-a što od raznih programa.

Ta funkcija, koju ces ti promeniti, ja mogu videti u ARK log-u ... a video bi najverovatnije i ARK skener i obavestio me o tome. Nesto blizi odgovor ne mogu da ti dam s'obzirom da nisam programer.

Takodje taj log fajl koji pravis bi bio prikazan u Find3M sekciji DDS log-a. Koristio bi neki drajver? Skriveni ili ne, bio bi prikazan.

Analiziram svaku liniju ponasob manuelno, ne koristim nikakve dodatne aplikacije. Ukoliko za neki fajl nisam siguran, potrazim proverene informacije na internetu, ukoliko pak ne postoje, fajl se salje na Virus Total na proveru nakon cega se trazi na upload i vrse testiranja ukoliko ima potrebe. Windows-ovi fajlovi (i ostali legitimni) su digitalno potpisani fajlovi i informacije o njima mozes naci na net-u, tako da ...

http://en.wikipedia.org/wiki/Digital_signature

Takodje su bitni simptomi koje korisnik ima. Npr konkretno u ovom slucaju, simptomi keylogger-a nisu primeceni (npr usporeni rad tastature tj. odziv bi bio nesto sporiji, jer keylogger mora da presretne i zapamti ono sto je otkucano na tastaturi).

_{[Ovu poruku je menjao goran9888 dana 04.02.2011. u 21:10 GMT+1]}

dado banjaluka
Davor Mandic

Član broj: 271155
Poruke: 93
*.teol.net.

Profil

Re: Keylogger problem!

^{28.09.2012. u 19:31 - pre 140 meseci}

Pozdrav, vidim stara je tema ali da neotvaram drugu, naime pre desetak dana napravim novi mail nalog koji sam koristio par dana i večeras se ubih ali nemogu se setiti lozinke za njega a imam instaliran Keylogger i u njemu nađem stranice koje sam otvarao i između ostalog i taj nalog ali nemogu pronaći šifru za njega, dali tay keylogger uopšte ima tu mogućnost da mi pokaže samu šifru ili samo stranice koje sam otvarao ? U pitanju je Keylogger V3.6.

dado banjaluka
Davor Mandic

Član broj: 271155
Poruke: 93
*.teol.net.

Profil

Re: Keylogger problem!

^{29.09.2012. u 18:15 - pre 140 meseci}

Iko išta ?

Dalibor81
Dalibor Zeljkovic
Vulkanizerski servis - vlasnik
Zrenjanin

Član broj: 38601
Poruke: 1464
109.94.99.*

+26 Profil

Re: Keylogger problem!

^{29.09.2012. u 18:36 - pre 140 meseci}

napravi novi nalog za mail, il ipak zelis neciji tudji mail da vidis? :D

dado banjaluka
Davor Mandic

Član broj: 271155
Poruke: 93
*.teol.net.

Profil

Re: Keylogger problem!

^{30.09.2012. u 15:54 - pre 140 meseci}

Ma ne, stigle su mi na njega neke ponude pa bi da ih pogledam, to mi je računar u servisu koji samo ja koristim, ako iko ima kakvu ideju neka piše.

Windows2
behind the shades

Član broj: 305979
Poruke: 167

+585 Profil

Re: Keylogger problem!

^{05.11.2012. u 15:27 - pre 139 meseci}

Pretrazivao sam forum i mislim da je ovo najbolja tema za ozivljavanje radi mog pitanja. Skinuo sam najnoviju verziju bit defender-a total security, bila je neka promocija za trial od 90 dana. Reaguje na eicar test, ocistio mi je komp od nekoliko gamadi i sve je to ok, ali ne shvatam kako moze da dopusta keylogger programu da potpuno neometano radi i belezi sve sto kucam.
Skinuo sam program refog keylogger i b.d. se uopste nije oglasio prilikom njegove instalacije niti ga je sprecavao da obavlja svoju radnju, a firewall je setovan na "agresivno" a tu i pise da stiti upravo od takvih pokusaja. Kako je ovo moguce za program sa ovakvim zvucnim imenom? I nije on jedini koji ne sprecava, probao sam i dataguard anti keylogger i ni on mu nista ne smeta. Jedini program koji totalno ubije refog je zemana antikeylogger, ali i to se placa naravno.
Postoji li uopste neka pouzdana zastita od takozvanog "remote" instaliranja ovakvih programa i njihovog vrsljanja po kompu i sta bi to bilo?

agasoft
Aleksandar Đurić
Tražim posao...
Beograd

Član broj: 43804
Poruke: 2249
*.com
Via: [es] mailing liste

Jabber: agasoft

+126 Profil

Re: Keylogger problem!

^{05.11.2012. u 16:22 - pre 139 meseci}

Objasniće ti ovo neko sigurno stručnije od kolega, al ajde i ja da probam.
Stvar je prosta.
Taj keylogger je komercijalan softver, koji se takođe plaća.
Kao i jedan drugi keylogger da sad ne imenujem, inače moj omiljeni, koji se takođe plaća, i služi za sasvim druge svrhe od neke zloupotrebe.
Mislim da nema razloga da brineš jer remote niko neće da ti instalira komercijalni keylogge,r to bi malo teže išlo jer bi tu firewall sigurno reagovao.
Keylogger koji sam ja koristio na svom ličnom računaru za praćenje samog sebe i svih ostalih radoznalih osoba je čak imao svakodnevni update za registrovane korisnike, koji će da zaštiti sebe od antivirusa.
Ali to su komercijalni keyloggeri, koji nemaju veze sa tamo nekim remote instalacijama.
Moraš ti da ih instaliraš, ili ako ti neko i instalira remote ti moraš da odobriš tako nešto, ili da računar bude nekom mrežom vezan za osobu koja je pokrenula remote instalaciju.

Windows2
behind the shades

Član broj: 305979
Poruke: 167

+585 Profil

Re: Keylogger problem!

^{05.11.2012. u 16:35 - pre 139 meseci}

Ma koliko vidim to moze i u hardver da se strpa, u samu tastaturu ili negde izmedju, cak i u bios. Moze i bezicno. Ako laze wiki lazem i ja. Sta da ti kazem, paranoja na visokom nivou je kod mene.
Ali ipak mi je mnogo cudno da program bit defender koji je isto komercijalan i koji je pobrao najvece pohvale uopste to ne sprecava? Mozda je ova verzija koju sam skinuo ipak falicna?
Znaci neko moze da dodje i instalira mi na komp taj refog koji se instalira u system 32 i uopste ga nema na listi instaliranih programa i nigde se ne vidi njegova aktivnost. A pomaze li tu ista enkripcija celog diska?
I evo jos nesto interesantno. Skinuo sam trial programa guarded id, i pojavi se prozor sa instalacijom i onda nestane i nista, znaci ne mogu da ga instaliram uopste. Kao da nesto ubije proces?

agasoft
Aleksandar Đurić
Tražim posao...
Beograd

Član broj: 43804
Poruke: 2249
*.com
Via: [es] mailing liste

Jabber: agasoft

+126 Profil

Re: Keylogger problem!

^{05.11.2012. u 16:42 - pre 139 meseci}

Nažalost, neko može da dođe da ti to instalira ako budeš toliko neobazriv.
No, zemana je uvek tu makar i trial da otkloni svaku tvoju sumnju.

kristi1

Član broj: 151211
Poruke: 2012
*.dynamic.isp.telekom.rs.

Sajt: www.mycity.rs/Ambulanta

+88 Profil

Re: Keylogger problem!

^{05.11.2012. u 18:11 - pre 139 meseci}

Avast ima definicije za refog. Prilikom instalacije iskljuci se AV i ceo folder MPK se stavi na ignore, zavrsena prica.
Ne znam na koju foru je kod tebe instaliran, ali kad je u sistemu tu vise ne pomazu antivirusi i njihov scan.

Ne znam napamet listu fajlova ali ovo su neke od lokacija Refog keyloggera

Userinit=c:\windows\system32\userinit.exe,c:\windows\system32\mpk\MPK.exe
c:\documents and settings\all users\application data\MPK
c:\windows\system32\runkgb.lnk

Otprilike, ima jos ali ne znam napamet. Sad kako je instaliran i to je pitanje ako je na klik na link obavezno ide i Backdoor uz njega.

Goran je gore objasnio kako se cisti ne samo keylogger vec bilo koji malware.

Windows2
behind the shades

Član broj: 305979
Poruke: 167

+585 Profil

Re: Keylogger problem!

^{05.11.2012. u 18:38 - pre 139 meseci}

Ma ja sam ga sam instalirao, da vidim kako ce moj av da se ponasa. I samo je zemana upozorila nesto tipa program hoce da kontrolise to i to na kompu i dala opcije tipa "allow" ili "block" A kad sam dozvolio instalaciju i pokrenuo refog posle klika u programu samo je zakucao i ugasio se, znaci ta zemana ga je blokirala. A bit defender apsolutno nista.
U principu imam neki otpor prema besplatnim av programima, ne znam zasto, nekako vise cenim placene, ali ajde mozda i probam avast.
E sad ne znam, recimo ovaj program dataguard koji se isto placa, ali besplatna verzija nudi zastitu samo od obicnog snimanja kucanja u tastaturi, dok placena nudi sve ukljucujuci i zasitu od slikanja ekrana. Recimo on je dozvolio instalaciju refoga, ali kada sam ga pokrenuo izbacio mi je obavestenje da ga je dodao na nekakvu automatsku listu, ali i dalje je program snimao sve sto kucam. A na njihovom sajtu se maltene kunu da stiti od toga.

valjan
Janko Valencik
Software Deployer
Schneider Electric
Novi Sad

Moderator
Član broj: 158605
Poruke: 3531
*.static.sbb.rs.

+553 Profil

Re: Keylogger problem!

^{06.11.2012. u 14:58 - pre 139 meseci}

Pre neke dve nedelje kopirao sam na ovom forumu link do bloga MalwareBytes-a, gde se ukratko objašnjava zašto neki AV program ne prepoznaje neki malware, a drugi da (link). Kao što sam već više puta rekao, često mi neki AV obeleži Putty kao maliciozan, a ja od Puttyja zarađujem redovnu platu, i program je daleko od toga da je maliciozan, samo ako dospe u pogrešne ruke može biti zloupotrebljen. Ali tim rezonom i notepad može biti proglašen za maliciozan, jer u njemu može da se napiše jednostavan batch fajl koji može napraviti džumbus po disku.

Baš zbog ovakvih graničnih situacija proizvođači AV rešenja moraju da balansiraju i odluče na koju stranu da svrstaju nešto. Svet nije crno-beli, ima tu puno nijansi sive, jedini problem je što korisnik često ne ume sam da proceni da li je nešto "tamnije" ili "svetlije" sivo, pa onda vendor na osnovu neke svoje procene prelomi u ime korisnika.

Jer postoje četiri vrste detekcije:

Pravi pozitivni Pravi negativni

Lažni pozitivni Lažni negativni

Logično, gornja dva su poželjna, donja dva nikako. E sad, meni je taj tvoj keylogger možda OK program, jer ga koristim u legalne svrhe, a ti se opet bojiš da ti ga neko krišom instalira i koristi u nelegalne svrhe. Čiji je sad glas jači, odnosno u koju kategoriju će ga AV vendor staviti? Hoće li slušati mene ili tebe ili nekog trećeg? Ako imaju previše lažnih detekcija, to će odbiti klijente, e sad verovatno bit defender ima više onih koji su rekli da im taj keyloger treba u legalne svrhe nego onih koji su se bunili što ga imaju na svom sistemu, pa su prevagnuli na drugu stranu...

Ima, naravno, softvera koji se iz aviona vide da su mailiciozni, i tu nema dvojbe i takvi bivaju odmah uvršteni u opise, ali za ovakve granične slučajeve uvek će biti problematično...

Windows2
behind the shades

Član broj: 305979
Poruke: 167

+585 Profil

Re: Keylogger problem!

^{06.11.2012. u 15:22 - pre 139 meseci}

Evo samo da ispravim nepravdu vezano za ovu besplatnu varijantu dataguard-a. Posle citanja uputstva za program shvatio sam da on dodaje aplikacije na tu automatsku listu i da onda user ima mogucnost da odobri ili totalno zabrani aktivnost tog programa. Znaci doda program na listu i pored njega stoji zelena ili crvena ikona. Crvena znaci da ce totalno blokirati taj softver, a zelena stoji iz dva razloga:
-Ili zato sto je program pokrenut od strane trenutnog korisnika sto je ovde bio slucaj to jest ja sam pokrenuo refog.
-Ili zato sto program ispunjava nekakav digitalni potpis, digital signature?

Kao sto se lepo vidi na ovoj slici:

Samo je bio potreban dvoklik na zelenu ikonicu pored refog-a da bi ona postala crvena i posle toga nije se nista snimalo u programu. Znaci moja greska, ipak obavlja posao.
I jos jedna dobra stvar je da se ne moze ubiti njegov proces iz task menadzera.

A probao sam i keyscrambler i on je isto dobar. Besplatna varijanta radi samo kao addon za firefox ili ie i samo tada je aktivna i sprecava snimanje kucanja u pomenutim pregledacima. Dok placena premium verzija blokira sve zivo u svim mogucim programima gde se nesto moze kucati.

Windows2
behind the shades

Član broj: 305979
Poruke: 167

+585 Profil

Re: Keylogger problem!

^{06.11.2012. u 17:56 - pre 139 meseci}

U nadi da ce neko analizirati moje logove evo ih:

Prikačeni fajlovi

kristi1

Član broj: 151211
Poruke: 2012
*.dynamic.isp.telekom.rs.

Sajt: www.mycity.rs/Ambulanta

+88 Profil

Re: Keylogger problem!

^{07.11.2012. u 12:16 - pre 139 meseci}

Nemas nista problematicno, jedino pokreni AdwCleaner idi na delete ok do restarta i pobrisi toolbare kojih imas
http://general-changelog-team....-outils-de-xplode/2-adwcleaner

Windows2
behind the shades

Član broj: 305979
Poruke: 167

+585 Profil

Re: Keylogger problem!

^{07.11.2012. u 12:49 - pre 139 meseci}

Ok hvala! Ma ti toolbar-i su mi svi iskljuceni to su mozda neki repovi. Tu i tamo skidam neke besplatne programe pa propustim da iskljucim opciju da se instalira i neki toolbar, jesu napast ziva.

kristi1

Član broj: 151211
Poruke: 2012
*.dynamic.isp.telekom.rs.

Sajt: www.mycity.rs/Ambulanta

+88 Profil

Re: Keylogger problem!

^{07.11.2012. u 13:07 - pre 139 meseci}

Uradi ti sta sam ti napisao i sam ces da se uveris sta ce sve da pobrise.

Windows2
behind the shades

Član broj: 305979
Poruke: 167

+585 Profil

Re: Keylogger problem!

^{07.11.2012. u 13:53 - pre 139 meseci}

Uradjeno!

# AdwCleaner v2.007 - Logfile created 11/07/2012 at 14:44:41
# Updated 06/11/2012 by Xplode
# Operating system : Windows 7 Ultimate Service Pack 1 (32 bits)
# User : S - S-PC
# Boot Mode : Normal
# Running from : C:\Users\S\Downloads\AdwCleaner.exe
# Option [Delete]

***** [Services] *****

***** [Files / Folders] *****

File Deleted : C:\user.js
Folder Deleted : C:\Program Files\Mozilla Firefox\Extensions\[email protected]
Folder Deleted : C:\ProgramData\Babylon
Folder Deleted : C:\ProgramData\Trymedia

***** [Registry] *****

Key Deleted : HKCU\Software\AppDataLow\Software\SmartBar
Key Deleted : HKCU\Software\Conduit
Key Deleted : HKCU\Software\Google\Chrome\Extensions\bbjciahceamgodcoidkjpchnokgfpphh
Key Deleted : HKCU\Software\Headlight
Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{B7971660-A1CE-4FDD-B9E0-2C37D77AFB0B}
Key Deleted : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{C99FDC39-A1AE-4B24-8D71-E5274F8D7C54}
Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
Key Deleted : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
Key Deleted : HKCU\Software\Softonic
Key Deleted : HKLM\Software\Babylon
Key Deleted : HKLM\SOFTWARE\Classes\AppID\{960DF771-CFCB-4E53-A5B5-6EF2BBE6E706}
Key Deleted : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Key Deleted : HKLM\SOFTWARE\Classes\AppID\{EA28B360-05E0-4F93-8150-02891F1D8D3C}
Key Deleted : HKLM\SOFTWARE\Classes\AppID\esrv.EXE
Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{2EECD738-5844-4A99-B4B6-146BF802613B}
Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{75A4D144-506D-4BE5-81DB-EC7DA1E7F840}
Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{E46C8196-B634-44A1-AF6E-957C64278AB1}
Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
Key Deleted : HKLM\SOFTWARE\Classes\esrv.funmoodsESrvc
Key Deleted : HKLM\SOFTWARE\Classes\esrv.funmoodsESrvc.1
Key Deleted : HKLM\SOFTWARE\Classes\Interface\{95B92D92-8B7D-4A19-A3F1-43113B4DBCAF}
Key Deleted : HKLM\SOFTWARE\Classes\Prod.cap
Key Deleted : HKLM\SOFTWARE\Classes\TypeLib\{5297E905-1DFB-4A9C-9871-A4F95FD58945}
Key Deleted : HKLM\Software\Conduit
Key Deleted : HKLM\Software\Freeze.com
Key Deleted : HKLM\Software\Funmoods
Key Deleted : HKLM\SOFTWARE\Google\Chrome\Extensions\bbjciahceamgodcoidkjpchnokgfpphh
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{C87FC351-A80D-43E9-9A86-CF1E29DC443A}
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{B7971660-A1CE-4FDD-B9E0-2C37D77AFB0B}
Key Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}

***** [Internet Browsers] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Registry is clean.

-\\ Mozilla Firefox v13.0.1 (en-US)

-\\ Google Chrome v22.0.1229.94

*************************