Anti-Keylogger Portable

[MusX]

jak w topicu, szukam czegos takiego. przeszukalem sourceforge, google i nic :whoeva:

 

[fl3a]

Bo nie ma idealnego AntiKeyloggera! Jest kilka programowa ale nie polecami ich nikomu...

 

[FDJ]

Originally posted by fl3a
Bo nie ma idealnego AntiKeyloggera! Jest kilka programowa ale nie polecami ich nikomu...

fl3a jestes przeciwnikiem keyloggerow i calego tego trojangowna moze napiszesz jakiego antykeyloggera i ten post nie jest skierowany tylko do Ciebie ale tagze do innych ludzi potrafiacych programowac ,a nie lubiacych trojanow/keyloggerow ? Gotowi na wyzwanie ?

 

[rafal]

anty na polskie keyloggi to raczej nei problem

 

[M1ch00]

Dobry antykeylogger powinien być wbudowany do aplikacji. Bo niestety jak ktoś napisze aplikację która pozwala na wstawianie tekstu bezpośrednio do kontrolek(może zrobię jak skończę aktualną pracę) to zostanie przygotowany program który z nich czyta, albo ktoś zrobi app robiącą screeny po kliknięciu myszą...

 

[fl3a]

Nie zapisalem nigdzie rezultatow analizy dostepnych AntiKeyloggerow poniewaz stwierdzilem ze umieszczanie oczywistych wynikow nie ma sensu. Tylko jeden lub dwa programy przechwytywaly usluge NtUserSetWindowsHook - ale nie jestem tego pewien. Reaszta programow zapewnie uzywala SetWindowsHookEx z flaga Debug pozwalajaca monitorowac inne hooki. Z posrod wielu mozliwych sposobow z ktorych moga skorzystac keyloggery dwa sa najpopularniejsze: SetWindowsHookEx oraz GetAsyncKeyState. Tworzac AntiKeylogger nie mozna zapominac o innych metodach. Prawidlowe dzialanie polega na wczesnym wykryciu podejrzanego procesu i zabiciu go zanim system stworzy i "ozywi" glowny watek.

anty na polskie keyloggi to raczej nei problem[/b]

Podchodzac do tego w sposob w jaki podchodza tworcy tego typu programow - faktycznie minimalnym nakladem mozna by bylo je poblokowac... Tylko czy publikacja czegos co dziala gdy spelniony jest warunek x ma sens?

[ Dodano: 16-12-2006, 13:22 ]
Przyklejcie temat jesli mozna... Oraz jak ktos zna jakies narzedzia typu AntiKeylogger ktore nie zostaly podane na liscie niech poda linki. Moze komus wystarczy taka "ochrona" jaka zapewniaja tego typu produkty:
- Advanced Anti Keylogger
- PrivacyKeyboard
- Keylogger Hunter
- Anti-Keylogger
- Anti-Keylogger Elite
- UnLogger
- KeyScrambler
- Keylogger Stopper
- Elite Anti Keylogger

 

[MusX]

dzieki za odpowiedz

moglibyscie dopisac jeszcze czy ktorys z wymienionych programow jest freeware? obecnie uzywam Adwatch zalaczonego do Ad-aware

 

[fl3a]

Nie powinienes kierowac sie przy wyborze programu jego licencja. Jak znajde czas to przedstawie test wyzej wymienionego oprogramowania...

Anti-Keylogger 7.4 sklada sie z dwoch komponentow - programu user mode i driver'a. Oba pliki sa zabezpieczone. Anti-Keylogger 7.4 bez problemu wykryl testowy keylogger operujacy na syscall'ach - czyli najnizszym poziomie user mode. W rezultacie wykrycia keyloggera program pokazal komunikat ale nie zapytal uzytkownika o decyzje co z danym procesem czy modulem zrobic.

PrivacyKeyboard 7.4 to nic innago jak Anti-Keylogger 7.4! Dlatego tez by zainstalowac ten program trzeba usunac poprzedni! Tak jak w poprzednim przypadku plik keyloggera zostaje dodany do listy zas proces dalej dziala...

UnLogger stosuje prosta metode. Zaklada hook'a (SetWindowsHookA) z flaga Debug - #define WH_DEBUG 9. Co widac na przedstawionym fragmencie biblioteki dll:

CODE:00407DAC                 public RunStopHook

CODE:00407DAC RunStopHook     proc near

CODE:00407DAC

CODE:00407DAC arg_0           = byte ptr  8

CODE:00407DAC arg_4           = dword ptr  0Ch

CODE:00407DAC

CODE:00407DAC                 push    ebp

CODE:00407DAD                 mov     ebp, esp

CODE:00407DAF                 cmp     [ebp+arg_0], 1

CODE:00407DB3                 jnz     short loc_407DE0

CODE:00407DB5                 mov     eax, ds:lpBaseAddress

CODE:00407DBA                 mov     edx, [ebp+arg_4]

CODE:00407DBD                 mov     [eax+8], edx

CODE:00407DC0                 push    0              ; dwThreadId

CODE:00407DC2                 mov     eax, ds:hmod

CODE:00407DC7                 push    eax            ; hmod

CODE:00407DC8                 mov     eax, offset fn

CODE:00407DCD                 push    eax            ; lpfn

CODE:00407DCE                 push    9              ; idHook

CODE:00407DD0                 call    SetWindowsHookExA

KeyloggerHunter jak poprzednik czuwa na najnizszym z mozliwych poziomow. Dzieki czemu keylogger testowy zostaje niezauwazony. Oto fragment kodu biblioteki dll:

CODE:004035B8 Hook            proc near

CODE:004035B8

CODE:004035B8 arg_8           = dword ptr  10h

CODE:004035B8

CODE:004035B8                 push    ebp

CODE:004035B9                 mov     ebp, esp

CODE:004035BB                 mov     eax, ds:lpBaseAddress

CODE:004035C0                 cmp     dword ptr [eax], 0

CODE:004035C3                 jz      short loc_4035C9

CODE:004035C5                 xor     eax, eax

CODE:004035C7                 jmp     short loc_4035EF

CODE:004035C9 loc_4035C9:                            ; CODE XREF: Hook+Bj

CODE:004035C9                 push    0              ; dwThreadId

CODE:004035CB                 mov     eax, ds:hmod

CODE:004035D0                 push    eax            ; hmod

CODE:004035D1                 mov     eax, offset fn

CODE:004035D6                 push    eax            ; lpfn

CODE:004035D7                 mov     eax, [ebp+arg_8]

CODE:004035DA                 add     eax, 3

CODE:004035DD                 push    eax            ; idHook

CODE:004035DE                 call    SetWindowsHookExA

Keylogger Stopper kolejny nieprzydatny program...

Elite Antikeylogger zostal zainsalowany razem z Advanced AntiKeyloggerem - oba programy wymagaly restartu. Po restarcie Elite Antikeylogger wystosowal komunikat o znalezionej bibliotece bedacej komponentem Advanced AntiKeyloggera przechwytujacej "Debug info capturing". Komunikat zostal pokazany w przystepnej formie dzieki ktorej uzytkownik moze podjac stosowna decyzje. Program bez problemu wykryl testowy keylogger - czyli zadzialal filtr kernel mode. Keylogger zostaje zatrzymany - "zatrzymanie watkow" lecz proces nie jest zabijany.

KeyScramble zgodnie z opisem posiada fragment kernel mode w ktorym mozna znalezc ciekawe stringi potwierdzajace dzialanie programu - "e:qzwangworkspaceinputsafewinsrccryptolibrsa_gen.c". Troche duzo tych stringow... Program pozwala zainstalowac plugin dla IE i FF. Program zamieszczony jako ciekawostka.

Advanced AntiKeylogger dziala na podobnej zasadzie co Elite Antikeylogger czyli posiada filtr kernel mode ale jedyne informacje jakich dostarcza uzytkownikowi to sciezka dostepu do podejrzanego pliku. Uzytkownik nie ma mozliwosci podjecia jakiej kolwiek decyzji - proces zostaje zatrzymany i na tym koniec.

Jeden program nie zostal przetestowany poniewaz wymagal min Windows 2000 SP4 zas test przeprowadzalem na 2000 SP2.

Krotkie podsumowanie.
Z powyzej przetestowanych programow jedynie Elite Antikeylogger zasluguje na uwage. Program ma swietny wyglad i ciekawe opcje. Dziala prawie idealnie poniewaz przechwytuje i zatrzymuje proces w momencie wywolania hook'a a nie w momencie przygotowywania procesu. Dzieki czemu aplikacja moze swobodnie wykonac pewien kod i dopiero uruchomic kod keyloggera. Do testow uzylem native keylogger napisany w Assemblerze. Nie testowalem kilku innych mozliwosci przechwytywania klawiszy w tym kodu dzialajacego w trybie jadra. Niestety Elite Antikeylogger w wersji testowej dziala tylko 7 dni! Aczkolwiek warto przetestowac ten program.

Elite Antikeylogger posiada tez filtr na kod kernel mode. Dlatego komunikowal o dzialaniu drivera KeyScramble. Interesujacy program

 

[AT]

hmm

Ja polecam program antywirusowy o nazwie: "Kaspersky Internet Security 6.0"
Na moim komputerze zastępuje 3antywirusy :] bardzo popularne wdodatku
Kaspersky ma więcej zbadanych wirusów i mniej ich dopuszcza ja skanowałem komputer 3 bardzo znanymi i publicznie dobrymi programami i miałem niby czysty komputer. a Kaspersky wyczaił 8 koni trojańskich i 3wiry ;] a po zatym blokuje banery jak chcesz spamery itd. cały antywir jest po polsku :]

 

[Jestem Michał]

z kasperskym fakt, też go używam jest dobry ale nie raz blokuje mocno gg. Ale ja polecam spyware doctor trzeba się zarejestrować to antivir który ma ochronę On-guard np. File guard i keylogger guard

 

[Kanciastoporty]

ale nie raz blokuje mocno gg[/b]

u mnie opcja "dodaj do zaufanej strefy" jest aktywna, nie wiem jak u was

 

[maciek_]

Kaspersky dobry z jednego powodu, informuje mnie o wszystkim, że 'coś' chce się dostać do rejestru i zmienić wartość/dodać klucz, że 'coś' chce wyjść na zewnątrz i, że 'coś' się kopiuje tam gdzie nie trzeba ;p

 

[Mesmeroo]

..

Nie wiem czy ktoś o tym napisał... ale moim zdaniem najlepiej jeśli to możliwe zablokować IE... Kiedyś o tym czytałem i miałem łatkę do Windowsa... ale szczerze to nie wiem czy to działało.. Pozdro

 

[grzonu]

co ma wspólnego blokada IE z anty-keyloggerem???

 

[Mesmeroo]

..

No ja czytałem kiedyś... ze Keyloggery jeśli wysyłają logi to korzystają z IE... więc myślałem, ze najprostszym wyjściem zabrać im (keylogerom) dostęp do neta (czyli zablokować IE)


źle myślę?

 

[grzonu]

nie nie kozystają z IE powiem ci ze wiem cos o tym jak wysyłają

 

[Mesmeroo]

Oke w porzadku to była tylko sugestia