Запись клавиатуры на Андроиде: обзор 5 лучших кейлоггеров

В последние годы мобильные трояны активно вытесняют трояны для персональных компьютеров, поэтому появление новых вредоносных программ под старые добрые «тачки» и их активное использование киберпреступниками, хотя и неприятное, но все-таки событие. Недавно центр круглосуточного реагирования на инциденты информационной безопасности CERT Group-IB зафиксировал необычную фишинговую рассылку, за которой скрывалась новая вредоносная программа для ПК, сочетающая в себе функции Keylogger и PasswordStealer. Внимание аналитиков привлекло то, каким образом шпионская программа попадала на машину пользователя — с помощью популярного голосового мессенджера. Илья Померанцев
, специалист по анализу вредоносного кода CERT Group-IB рассказал, как работает вредоносная программа, чем она опасна, и даже нашел ее создателя — в далеком Ираке.

Итак, пойдем по порядку. Под видом вложения в таком вот письме содержалась картинка, при клике на которую пользователь попадал на сайт
cdn.discordapp.com
, и оттуда загружался вредоносный файл.

Использование Discord, бесплатного голосового и текстового мессенджера, достаточно нестандартно. Обычно для этих целей используются другие мессенджеры или социальные сети.

В процессе более детального анализа было установлено семейство ВПО. Им оказался новичок на рынке вредоносных программ —
404 Keylogger
.

Первое объявление о продаже кейлоггера было размещено на hackforums

пользователем под ником «404 Coder» 8 августа.

Домен магазина был зарегистрирован совсем недавно — 7 сентября 2019 года.

Как уверяют разработчики на сайте
404projects[.]xyz
,
404
— это инструмент, созданный, чтобы помочь компаниям узнавать о действиях своих клиентов (с их разрешения) или он нужен тем, кто желает защитить свой бинарный файл от реверс-инжиниринга. Забегая вперед, скажем, что с последней задачей
404
точно не справляется.

Мы решили разреверсить один из файлов и проверить, что из себя представляет «BEST SMART KEYLOGGER».

Экосистема ВПО

Загрузчик 1 (AtillaCrypter)

Исходный файл защищен при помощи EaxObfuscator
и осуществляет двухэтапную загрузку
AtProtect
из секции ресурсов. В ходе анализа других сэмплов, найденных на VirusTotal, стало понятно, что эта стадия не предусматривалась самим разработчиком, а была добавлена его клиентом. В дальнейшем было установлено, что этим загрузчиком является AtillaCrypter.

Загрузчик 2 (AtProtect)

По факту этот загрузчик является неотъемлемой частью ВПО и, по замыслу разработчика, должен брать на себя функционал по противодействию анализу.

Однако на практике механизмы защиты крайне примитивны, и наши системы успешно детектят это ВПО.
Загрузка основного модуля осуществляется при помощи Franchy ShellCode

различных версий. Однако мы не исключаем, что могли использоваться и другие варианты, например,
RunPE
.

Закрепление в системе

Закрепление в системе обеспечивается загрузчиком AtProtect
, если установлен соответствующий флаг.

• Файл копируется по пути %AppData%\\GFqaak\\Zpzwm.exe
  .
• Создается файл %AppData%\\GFqaak\\WinDriv.url
  , запускающий
  Zpzwm.exe
  .
• В ветке HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
  создается ключ на запуск
  WinDriv.url
  .

Взаимодействие с C&C

Загрузчик AtProtect

При наличии соответствующего флага ВПО может запустить скрытый процесс iexplorer
и перейти по указанной ссылке, чтобы уведомить сервер об успешном заражении.

DataStealer

Вне зависимости от используемого метода сетевое взаимодействие начинается с получения внешнего IP жертвы с помощью ресурса [http]://checkip[.]dyndns[.]org/
.

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; .NET CLR1.0.3705;)

Одинакова и общая структура сообщения. Присутствует заголовок
|——- 404 Keylogger — {Type} ——-|
, где
{type}
соответствует типу передаваемой информации.

Далее следует информация о системе:
_______ + VICTIM INFO + _______

IP: {Внешний IP} Owner Name: {Имя компьютера} OS Name: {Название ОС} OS Version: {Версия ОС} OS PlatForm: {Платформа} RAM Size: {Размер ОЗУ} ______________________________

И, наконец, — передаваемые данные.

SMTP

Тема письма имеет следующий вид: 404 K | {Тип сообщения} | Client Name: {Имя пользователя}
.

Интересно, что для доставки писем клиенту 404 Keylogger

используется SMTP-сервер разработчиков.
Это позволило выявить некоторых клиентов, а также почту одного из разработчиков.

FTP

При использовании этого метода собираемая информация сохраняется в файл и сразу же оттуда читается.

Логика этого действия не совсем понятна, однако это создает дополнительный артефакт для написания поведенческих правил.
%HOMEDRIVE%%HOMEPATH%\\Documents\\A{Произвольное число}.txt

Pastebin

На момент анализа этот метод применяется только для передачи украденных паролей. Причем он используется не как альтернатива первым двум, а параллельно. Условием является значение константы, равное «Vavaa». Предположительно, это имя клиента.

Взаимодействие происходит по https-протоколу через API pastebin
. Значение
api_paste_private
равно
PASTE_UNLISTED
, что запрещает поиск таких страниц в
pastebin
.

Как удалить кейлоггер

Фишинг: как обнаружить и защититься от мошенничества в Интернете

Комплексный анти-кейлоггер должен проверять все процессы, запущенные на вашем компьютере: BIOS, операционную систему, фоновые службы. А также сетевые настройки, плагины и настройки браузера.

Чтобы избавиться от кейлоггера, возможно, придется переустановить операционную систему.

Многие клавиатурные шпионы являются руткитами. Поэтому также может потребоваться специализированная утилита против данного типа вирусов. Ниже приводится список программ, которые помогают удалить кейлоггеры.

SpyShelter

Утилита имеет несколько уровней противодействия клавиатурным шпионам. После инсталляции данная программа будет работать постоянно. Таким образом, она сможет блокировать установку кейлоггеров на ПК.

Вторая линия обороны SpyShelter заключается в проверке наличия подозрительных операций. При обнаружении вредоносной программы SpyShelter попытается удалить ее.

Для полной защиты компьютера SpyShelter будет шифровать все нажатия клавиш, чтобы сделать их считывание бессмысленным для клавиатурных шпионов.

Zemana

Zemana предоставляет целый пакет средств защиты от вредоносных программ. Но они хуже справляются с идентификацией кейлоггеров, по сравнению с предыдущей утилитой.

Zemana также включает в себя средство шифрования передаваемых данных, блокировщик рекламы и сканер вредоносных программ.

Данная утилита постоянно работает в фоновом режиме, отслеживая активность и сканируя загрузки на наличие вредоносного программного обеспечения.

Malwarebytes Anti-Rootkit

Как можно обнаружить скрытые камеры без специального оборудования

Приложение сканирует операционную систему на наличие целого ряда руткит-вирусов, а не только клавиатурных шпионов.

Утилита выполняет сканирование системы по требованию, а не работает в постоянном режиме. Если операция очистки не сможет решить все проблемы, можно воспользоваться инструментом fixdamage. Он поможет эффективно настроить брандмауэр.

Norton Power Eraser

Norton Power Eraser проверяет компьютер более глубоко, чем обычные антивирусные программы. При обнаружении подозрительных программа утилита сразу удаляет их. Такой подход может привести к неожиданной потере нужных приложений. Поэтому при использовании Norton Power Eraser вам придется переустанавливать необходимое программное обеспечение.

Bitdefender Rootkit Remover

Bitdefender обнаруживает новые руткиты раньше своих конкурентов. Как только его сканеры обнаруживают новый вирус, он попадает в базу шпионских программ.

aswMBR Rootkit Scanner

Грубая сила – силища страшная!

Этот сканер руткитов является продуктом компании Avast. Вы можете использовать его совершенно бесплатно.

GMER

GMER является альтернативой aswMBR.

Sophos Rootkit Removal

Эта программа выполняет сканирование операционной системы по требованию и удаляет любые руткиты, включая клавиатурные шпионы.

Kaspersky Security Scan

Бесплатная версия Kaspersky Security Scan сканирует компьютер на наличие вредоносных программ. Платные программные продукты от этого разработчика включают в себя модули защиты личных данных.

McAfee Rootkit Remover

Еще один бесплатный инструмент для удаления руткитов, разработанный одним из лидеров отрасли. Утилита, работающая по требованию, просканирует систему и удалит все обнаруженные в ней вирусы.

Алгоритмы шифрования

Извлечение файла из ресурсов

Полезная нагрузка хранится в ресурсах загрузчика AtProtect
в виде Bitmap-картинок. Извлечение осуществляется в несколько стадий:

• Из картинки извлекается массив байтов. Каждый пиксель трактуется как последовательность из 3 байтов в порядке BGR. После извлечения первые 4 байта массива хранят длину сообщения, последующие — само сообщение.
• Вычисляется ключ. Для этого высчитывается MD5 от значения «ZpzwmjMJyfTNiRalKVrcSkxCN», указанного в качестве пароля. Полученный хеш записывается дважды.
• Выполняется расшифровка алгоритмом AES в режиме ECB.

Кейлоггер Free keylogger.

Может перехватывать символы с клавиатуры, данные, содержащиеся в буфере обмена и сетевые адреса из адресной строки браузера. Есть парочка незаметных функций, например, скрытый режим работы (Ctrl+Shift+Alt+U), удаление ярлыков программы и сокрытие из списка установленных и удаляемых программ. Минус программы: в бесплатной её версии самую важную функцию – сокрытие от глаз пользователя – включить не удастся. Автозапуск в Windows возможен, однако запущенная программа будет предательски помигивать из трея. Скрыть от глаз не получится – выскакивает окно с уведомлением о том, что функция доступна в платной версии. Как и некоторые другие.

Единственное окно программы, где:

1. Позволит программе запуститься сразу со стартом системы
2. Спрячет программу в меню Пуск
3. Позволит перехватывать ещё и адреса в браузере и (правее) названия запущенных программ
4. Ежедневно буде оповещать по указанному в поле почтовому адресу

При установке несколько минут придётся побороться с антивирусом, ибо от него ни настройка, ни запуски утилиты не ускользнут.

Вредоносный функционал

Downloader

Реализуется в загрузчике AtProtect
.

• Обращением по [activelink-repalce]
  запрашивается статус сервера о готовности отдать файл. Сервер должен вернуть
  “ON”
  .
• По ссылке [downloadlink-replace]
  скачивается полезная нагрузка.
• С помощью FranchyShellcode
  осуществляется инжект полезной нагрузки в процесс
  [inj-replace]
  .

В ходе анализа домена 404projects[.]xyz
на VirusTotal были выявлены дополнительные экземпляры
404 Keylogger
, а также несколько видов загрузчиков.

Условно они делятся на два типа:

1. Загрузка осуществляется с ресурса 404projects[.]xyz
   .

   Данные закодированы Base64 и зашифрованы AES.

2. Этот вариант состоит из нескольких этапов и, вероятнее всего, используется в связке с загрузчиком AtProtect
   .

• На первой стадии данные загружаются с pastebin
  и декодируются при помощи функции
  HexToByte
  .
• На второй стадии источником загрузки служит сам 404projects[.]xyz
  . При этом функции декомпрессии и декодирования аналогичны найденным в DataStealer. Вероятно, изначально планировалось реализовать функционал загрузчика в основном модуле.
• На этом этапе полезная нагрузка уже находится в ресурс-манифесте в сжатом виде. Аналогичные функции извлечения также были найдены в основном модуле.

Среди проанализированных файлов были найдены загрузчики njRat
,
SpyGate
и других RAT.

Keylogger

Период отправки лога: 30 минут.
Поддерживаются все символы. Спецсимволы экранируются. Есть обработка клавиш BackSpace и Delete. Учитывается регистр.

ClipboardLogger

Период отправки лога: 30 минут.
Период опроса буфера: 0,1 секунды.

Реализовано экранирование ссылок.

ScreenLogger

Период отправки лога: 60 минут.
Скриншоты сохраняются в %HOMEDRIVE%%HOMEPATH%\\Documents\\404k\\404pic.png

.

После отправки папка 404k

удаляется.

PasswordStealer

Противодействие динамическому анализу

• Проверка нахождения процесса под анализом
  Осуществляется с помощью поиска процессов taskmgr

  ,
  ProcessHacker
  ,
  procexp64
  ,
  procexp
  ,
  procmon
  . Если найден хотя бы один, ВПО завершает работу.

• Проверка нахождения в виртуальной среде
  Осуществляется с помощью поиска процессов vmtoolsd

  ,
  VGAuthService
  ,
  vmacthlp
  ,
  VBoxService
  ,
  VBoxTray
  . Если найден хотя бы один, ВПО завершает работу.

• Засыпание на 5 секунд
• Демонстрация диалоговых окон различных типов
  Может быть использовано для обхода некоторых песочниц.
• Обход UAC
  Выполняется через редактирование ключа реестра EnableLUA

  в настройках групповой политики.

• Применение атрибута «Скрытный» для текущего файла.
• Возможность выполнить удаление текущего файла.

Кейлоггер KidLogger

Бесплатный, с открытым кодом. Это уже умеет работать с USB устройствами. Записывает звук с микрофона, работает со Skype. Лог-файлы можно просматривать локально и удалённо с помощью специально созданного аккаунта в сети. Работает в скрытом режиме, однако наблюдается из Диспетчера задач. Можно защитить паролем, но запускать придётся с ярлыка, что в принципе не проблема, прописав запуск в автозагрузке с windows. Скачать можно по ссылке и там же выбрать нужную операционную систему (у меня в архиве windows-версия):

Неактивные возможности

В ходе анализа загрузчика и основного модуля были найдены функции, отвечающие за дополнительный функционал, однако они нигде не используются. Вероятно, это связано с тем, что ВПО все еще в разработке, и вскоре функциональность будет расширена.

Загрузчик AtProtect

Была найдена функция, отвечающая за подгрузку и инжект в процесс msiexec.exe
произвольного модуля.

DataStealer

• Закрепление в системе
• Функции декомпрессии и дешифровки

  Вероятно, скоро будет реализовано шифрование данных при сетевом взаимодействии.

• Завершение процессов антивирусов

• Самоуничтожение
• Загрузка данных из указанного ресурс-манифеста
• Копирование файла по пути %Temp%\\tmpG\\[Текущая дата и время в миллисекундах].tmp
  Интересно, что идентичная функция присутствует в ВПО AgentTesla.
• Функционал червя
  ВПО получает список съемных носителей. В корне файловой системы носителя создается копия ВПО с именем Sys.exe

  . Автозапуск реализован при помощи файла
  autorun.inf
  .

Профиль злоумышленника

В ходе анализа командного центра удалось установить почту и ник разработчика — Razer, он же Brwa, Brwa65, HiDDen PerSOn, 404 Coder. Далее было найдено любопытное видео на YouTube, где демонстрируется работа с билдером. Это позволило найти оригинальный канал разработчика.

Стало ясно, что опыт в написании крипторов у него имеется. Там же есть ссылки на страницы в социальных сетях, а также настоящее имя автора. Им оказался житель Ирака.

Вот так, предположительно, выглядит разработчик 404 Keylogger. Фото из его личного профиля в Facebook.

CERT Group-IB оповестил о новой угрозе — 404 Keylogger — круглосуточный центр мониторинга и реагирования на киберугрозы (SOC) в Бахрейне.

Запись клавиатуры на Андроиде: обзор 5 лучших кейлоггеров

Одним из самых надежных и простых способов следить за телефоном – это установить на него специализированное приложение Keylogger Android (клавиатурный шпион для Андроид). Он позволит, без вмешательства извне, вести запись клавиатуры даже на современных Андроидах с сенсорным экраном.

Такие программы необходимо 1 раз вручную установить на аппарат. После установки, они сразу же начинают автоматическую запись действий на клавиатуре и фиксируют всё, куда прикасается ваш пальчик во время переписки, ввода логина, игр, расчетов на калькуляторе и многое другое. Однако далеко не все кейлоггеры работают безукоризненно. Чтобы сократить Ваше время на поиски реально работающего, мы собрали пятерку лучших программ для записи нажатий на клавиатуру – проверенные временем и пользователями.

Положительные и отрицательные стороны кейлоггеров для Android

Плюсы программы для записи клавиатуры

Архивация данных. Программа для записи клавиатуры позволит сохранять буквально каждое нажатие клавиш. Поэтому у Вас будут сохранены все ваши действия, по которым Вы сможете восстановить удаленную переписку или расчеты.

Судебные разбирательства. На нашей практике были не единичные случаи, когда программа, записывающая нажатие клавиш клавиатуры помогала получить доступ к тексту, который набирал подозреваемый на своем телефоне. Особенно это касается бухгалтерских расчетов, которые просто невозможно перехватить никаким другим способом. Здесь приходят скриншоты экрана и запись нажатий клавиш на клавиатуре.

Корпоративный контроль сотрудников. Выявление «не чистых на руку» сотрудников, слив конфиденциальной информации, подбор логина и пароля (работник много раз вводит различные варианты), поиск работы, бесполезное времяпровождение во время работы – это далеко не все проблемы, которые поможет выявить мониторинг нажатия клавиш.

Родительский контроль за детьми. Здесь программа для записи клавиатурных нажатий просто необходима. Полноценные программы для родительского контроля (мы не берем в расчет обычные трекеры), смогут отследить местоположение ребенка, показать его переписку в соцсетях и фотографии, которые он получает или делает сам, удаляет после просмотра или же сохраняет в галерее. Однако опция клавиатурного шпиона предоставит Вам несомненно большее – переписку в играх, которую ребенок ведет на своем телефоне или планшете. Это действительно бесценно! Это на 100% позволит узнать реальный характер ребенка и его уровень общения (см. Какой родительский контроль на телефоне лучше).

Восстановление удаленных переписок. Так как запись нажатий клавиатуры идет сразу же после того, как человек нажал на кнопку на экране своего телефона или планшета, то потом уже становится на важным, удалил ли он это сообщение из чата или нет.

Отслеживание без Root прав. Как известно, рутировать телефон на последних версиях Андроида становится все сложнее и сложнее. Поэтому разработчики специализированных программа внедряют запись клавиш клавиатуры – это уникальная возможность увидеть все переписки человека без рут прав.

Минусы программы для записи клавиш

Скрытая незаметная работа. В подавляющем своем большинстве, запоминание нажатых клавиш на клавиатуре происходит незаметно и программы с этой опцией работают в фоновом (скрытом) режиме. Именно этот факт и может стать основным минусом использования данной программы.

Последствия установки. Если Вы неправильно установите программу, и человек, за которым вы хотели установить запоминание клавиш на клавиатуре, каким-либо образом ее обнаружит, будет самое меньшее скандал. Поэтому обязательно сообщите человеку, что на его телефоне установлена программа, позволяющая записывать все нажатия клавиш на сенсорном экране, и что все его действия архивируются. Что в случае надобности он может увидеть все свои расчеты, удаленные переписки и другие действия.

Топ 5 лучших кейлоггеров для Android на 2020 год

FlexiSPY. Базовая ограниченная версия и премиальный тариф

Эта программа, которая записывает все нажатия клавиш, является прекрасным мониторингом абсолютно всех действий на телефоне. Имеет многоязыковый интерфейс. Легка в установке. Миллионы пользователей по всему миру. Изначально предлагается бесплатная демо-версия, сильно урезанная в функционале. Потом Вы можете оплатить «базовую», но она будет также ограничена в возможностях. Если же Вы хотите использовать программу по полной, тогда Вам нужно будет оплатить $68 в месяц или $199 за 3 месяца, в зависимости от выбранного тарифа.

Spyzie. Дорого, да мило

Эта программа записи нажатия клавиш на клавиатуре, работает в фоновом режиме и ничем не проявляет своей деятельности на телефоне. Root не нужен, так как перехват клавиатуры осуществляется и на нерутированном телефоне тоже. Устанавливается на всех Андроидах выше 4 версии. Интересное приложение с большим количеством поклонников. Довольно дорогое в использование ($40 в месяц и $50 за 3 месяца), но надежное и простое в использовании.

Cocospy. Слежение, которого не видно

Современное приложение с высокоэффективной функцией записи кнопок на клавиатуре смартфона Android. Сохраняет все набранные на клавиатуре символы и передает их в журнале регистрации. Вы сможете узнать все что пишется в чатах, в играх, в приватных беседах, а также узнать логины и пароли от соцсетей и других приложений. Скачать программу для записи клавиатуры бесплатно можно на сайте. Есть бесплатный тестовый период. Позиционируется как эффективный инструмент слежения за детскими телефонами.

Spyic. Следить за переписками просто

Доступный кейлоггер для всех. Простая установка, быстрая настройка. Данная программа запоминания нажатых клавиш позволит увидеть каждую букву и каждый символ, напечатанный ребенком, сотрудником, супругами или родными людьми на своих телефонах. Вы сможете перехватить логины и пароли. Кроме того Вы сможете получать детализацию звонков, координаты аппарата, историю браузера и фотографии.

Reptilicus. Более 50 функций. Универсальный шпион.

Лучший кейлоггер для Android, который работает без Root. Эта программа для записи клавиатуры является универсальным многофункциональным приложением, позволяющим вести полноценный контроль за телефонами Андроид, на которых оно будет установлено. Это чтение переписок и смс-сообщений, мониторинг фото, определение местоположения, автоматические скришоты, запись телефонных разговоров и голосовых сообщений и, конечно же, запоминание клавиш на клавиатуре. Программа Reptilicus – это:

1. Возможность для записи клавиатуры бесплатно.
2. Лояльные цены и солидные скидки (до 60%) на оплату больше 6 месяцев.
3. Можно следить сразу за 10 телефонами по цене 1 аккаунта.
4. Бесплатный тестовый период.
5. Подробное руководство на русском языке.
6. Круглосуточная техподдержка и онлайн-консультация.

Полный родительский контроль с историей посещения страниц в интернете, блокировкой определенных приложений, включением тревоги на телефоне, включением микрофона для записи и многое другое. Можно организовать запись клавиатуры на компьютере, для этого пройдите на страницу Reptilicus Windows или обратитесь к консультантам.

Топ 5 основных вопросов

1. А программа для запоминания клавиш работает на любом Андроиде? – На современных телефонах она работает прекрасно, а вот на Андроид 3, 2 и 1 версии она работать не будет.

2. Чем отличается программа для записи нажатых клавиш на клавиатуре от программы шпиона? – Практически ничем. Есть, конечно, такие программы для запоминания клавиш, которые подменяют клавиатуру на «свою» и таким образом фиксируют все нажатия. Но в подавляющем своем большинстве это одно и то же.

3. Программа для записи нажатий на клавиатуре вычисляется антивирусами? — Да, некоторые антивирусы могут обнаружить установленный на телефоне софт, так как расцениваю его как шпионское ПО. Но, в качественных сервисах, таких как Reptilicus, эта уязвимость закрыта и антивирь прекрасно с ним уживается.

4. Программа запоминания нажатых клавиш устанавливается дистанционно? – Нет, установка только вручную. Она быстрая и не займет много времени.

5. Можно ли записать нажатие клавиш незаметно? – Да, можно. Программа для записи клавиатуры работает незаметно, внешне ничем не проявляя своей деятельности. Обнаружить ее на телефоне практически невозможно. Она сама запишет и перешлет данные к Вам.

6. Где можно найти программу, которая записывает все нажатия клавиш бесплатно? – Нигде или только у мошенников. Разработка подобных программ, а тем более подгонка их к постоянно обновляющимся версиям Андроида – это сложное и кропотливое дело и оно неоплаченным быть просто не может. И поэтому отнеситесь с особой осторожностью, а лучше немедленно покиньте тот сайт, который будет рекламировать абсолютно бесплатную программу для записи клавиатуры.

Заключение

Подводя итог всему вышесказанному, хочется отметить основные аспекты:

• в данном топе предоставлены программы только для Андроид;
• все они действительно работают;
• запись клавиатуры работает незаметно в автоматическом режиме;
• устанавливать софт нужно обязательно вручную;
• регистрация, установка и тестовый период – бесплатные;
• если Вы нашли полностью бесплатный кейлоггер для Андроид, значит Вы попали к мошенникам.

И запомните, пожалуйста: чтобы записать нажатие клавиш законно, необходимо обязательно делать это с обоюдного согласия! Тайная слежка за человеком без его ведома, нарушает закон о тайне личной переписки и конфиденциальных данных.