Phân tích keylogger
Trong bài viết này mình sẽ hướng dẫn phân tích mẫu keylogger, qua bài viết các bạn có thể nắm được thêm kỹ năng phân tích virus malware và cách xử lý chúng.
Giới thiệu về keylogger:
Keylogger là một chương trình máy tính được viết nhằm mục đích theo dõi và ghi lại các thao tác thực hiện trên bàn phím vào một tập tin nhật ký (log) để cho người cài đặt nó sử dụng.
Để hiểu được cách thức hoạt động của keylogger, chúng ta sẽ sử dụng một mẫu keylogger thực tế.
Cơ chế xâm nhập vào máy victim của mẫu:
Mẫu Keylogger này là một file .dll được tạo ra trong quá trình ta cài đặt một ứng dụng giả mạo Abode Flash.
Đây là kết quả nhận diện trên VirusTotal của mẫu sinh ra file keylogger này:
Hình 1: Kết quả nhận diện trên VirusTotal của mẫu giả mạo AbodeFlash
Đây là kết quả nhận diên trên virusTotal của mẫu keylogger:
Hình 2: kết quả nhận diện của mẫu keylogger trên VirusTotal
Cơ chế hoạt động:
Đây là mẫu malware thực hiện khá nhiều hành vi khác nhau, tuy nhiên trong khuôn khổ bài viết, mình chỉ đi phân tích hành vi keylogger của mẫu này.
Cơ chế để ghi nhận trạng thái bàn phím:
· Đăng ký cửa số để nhận windows massage.
· Khi người dùng thực hiện thao tác với bàn phím thì sẽ có windows masage gửi về và hàm xử lý trong cửa số đã đăng ký sẽ thực hiện ghi lại phím mà người dùng đã thao tác và cửa sổ đang thao tác.
· Sử dụng hàm GetKeyState() ghi nhận trạng thái bàn phím khi người dùng thao tác.
· Thực hiện ghi Log vào file: %Appdata%MicrosoftWindowsRingTonesStart.wav
Chi tiết các hành vi:
Tạo file %Appdata%MicrosoftWindowsRingTonesStart.wav để ghi Log:
Hình 3: Tạo File để ghi Log
Đăng ký cửa số để nhận windows massage:
Hình 4: Đăng ký cửa sổ với hàm xử lý Funtion_Keylogger
Quá trình xử lý các massage:
Hình 5: Xử lý các windows massage
Lấy trạng thái bàn phím và ghi Log:
Hình 6: Lấy trạng thái bàn phím và ghi Log
Trên đây là bài viết sơ lược về hành vi của một mẫu keylogger thực tế để mọi người có thể hình dung được cơ chế hoạt động của một keylogger điển hình. Từ đó có thể phát hiện và xử lý nếu gặp phải.
Chỉnh sửa lần cuối bởi người điều hành:
. Để keylogger thì có nhiều cách để keylogger. trong đó SetWindowHook là các đơn giản nhất.
