Как я могу обнаружить кейлоггер в моей системе?

Как я могу узнать, есть ли в моей системе кейлоггер или, по крайней мере, активен ли он сейчас?

Кейлоггер работает прямо сейчас?

• Во-первых, мы предполагаем, что вы используете стандартную систему Ubuntu, которую установил X и которая всегда была под контролем X - где X - это вы сами или кто-то, кому вы абсолютно доверяете.

• Поскольку это стандартная система, и все программное обеспечение установлено из официальных репозиториев, вы можете быть уверены, что там нет скрытого кейлоггера , например, кто-то специально модифицирует ядро, чтобы шпионить за вами так, что его очень трудно обнаружить.

• Затем, если кейлоггер работает, его процесс (ы) будет виден. Все, что вам нужно сделать, это использовать ps -auxили htopпросмотреть список всех запущенных процессов и выяснить, есть ли что-то подозрительное.

  • Наиболее распространенными «законными» кейлоггерами Linux являются lkl, uberkey, THC-vlogger, PyKeylogger, logkeys. logkeys - единственный доступный в репозиториях Ubuntu.

Я случайно загрузил троян / вирусный кейлоггер?

• Обычно этот риск очень минимален в Ubuntu / Linux из-за необходимых привилегий ( su).
• Вы можете попробовать использовать детектор «руткитов», как отметил Митч в своем ответе .
• В противном случае все сводится к судебному анализу, такому как процессы трассировки / отладки, поиск изменений / временных меток файлов между загрузками, анализ сетевой активности и т. Д.

Что если я нахожусь в "ненадежной" системе Ubuntu?

Так что, если вы находитесь в интернет / интернет-кафе, в библиотеке, на работе и т. Д.? Или даже домашний компьютер, которым пользуются многие члены семьи?

Ну, в этом случае все ставки выключены. Довольно легко шпионить за вашими нажатиями клавиш, если у кого-то достаточно навыков / денег / решимости:

• Те изменяющие ядро ​​скрытые кейлоггеры, которые практически невозможно внедрить в чужую систему, гораздо проще внедрить, когда вы являетесь администратором общедоступной компьютерной лаборатории и размещаете их в своих собственных системах.
• Между клавиатурой и компьютером располагаются аппаратные кейлоггеры USB или PS / 2, записывающие каждое нажатие клавиши во встроенную память; они могут быть спрятаны внутри клавиатуры или даже внутри корпуса компьютера.
• Камеры можно расположить так, чтобы нажатия клавиш были видны или их можно было понять.
• Если ничего не помогает, полицейское государство всегда может послать своих дураков за вами, чтобы заставить вас сказать им, что вы печатали под дулом пистолета: /

Таким образом, лучшее, что вы можете сделать с ненадежной системой, это взять свой собственный Live-CD / Live-USB и использовать его, взять собственную беспроводную клавиатуру и подключить ее к USB-порту, отличному от того, на котором работает собственная клавиатура системы ( устраняя аппаратные регистраторы, спрятанные как в клавиатуре, так и те, которые на этом порту скрыты в компьютере, в надежде, что они не использовали аппаратный регистратор для каждого порта во всей системе), научитесь определять камеры (включая вероятные точки для скрытых) и если вы находитесь в полицейском государстве, закончите то, что вы делаете, и окажитесь в другом месте за меньшее время, чем время реагирования местной полиции.

Я просто хочу добавить что-то, что я не знал, существовало в Linux: безопасный ввод текста.

На xterm Ctrlнажмите + -> «Безопасная клавиатура». Это делает запрос изолировать нажатия клавиш xterm от других приложений x11. Это не мешает регистраторам ядра, но является лишь одним уровнем защиты.

Да, Ubuntu может иметь регистратор ключей. Его надуманно, но это может случиться. Его можно использовать через браузер, и злоумышленник может запустить код с вашими правами пользователя. Он может использовать службы автозапуска, которые запускают программы при входе в систему. Любая программа может получить коды сканирования нажатых клавиш в X Window System. Это легко продемонстрировать с помощью xinputкоманды. Смотрите GUI изоляцию для более подробной информации. ¹

Регистраторы клавиш linux должны иметь root-доступ, прежде чем они смогут контролировать клавиатуру. если они не получат эту привилегию, они не смогут запустить регистратор ключей. Единственное, что вы можете сделать, это проверить наличие руткитов. Для этого вы можете использовать CHKROOTKIT

^{1 Источник: superuser.com}

Кейлоггеры Linux могут быть сделаны из языков, которые совместимы с системой, и для записи этих данных потребуется использование локального хранилища файлов, и, если это запрограммировано, если у вас есть кейлоггер, который был запрограммирован вручную или загружен для работы с этим операционной системы, то это может быть файл, переименованный в системный файл, где угодно в системе.

В прошлый раз, когда я создал / имел кейлоггер в моей системе, это была ситуация, и ее было легко обнаружить и удалить, но это включало ручной поиск источника, и это заняло немного времени.

Если у вас есть кейлоггер такого типа, я бы попытался найти и удалить его, но если он действительно был загружен или установлен, я бы посчитал это крайне маловероятным, поскольку Linux - это безопасная операционная система, которая обычно не подозревает формы вирусов, которые вы обычно находите в системах Windows.