Кейлоггер: как перехватывает ввод с клавиатуры и как защититься

Кейлоггер (клавиатурный шпион) фиксирует то, что вы вводите: пароли, сообщения, адреса, реквизиты карты. Помимо клавиш современные варианты снимают скриншоты, следят за буфером обмена и записывают названия окон, чтобы понять, куда относятся введённые символы. Собранное отправляется на сервер злоумышленника или копится локально.

Сама по себе идея не нова: перехват ввода нужен не только преступникам, но и в легальных сценариях мониторинга рабочих станций, что делает технологию двойственной.

Программные кейлоггеры работают внутри операционной системы. Они могут подключаться к системным механизмам получения событий клавиатуры, встраиваться в драйверы, работать как расширения браузера или как часть трояна. Аппаратные представляют собой устройство между клавиатурой и компьютером или встроенное в клавиатуру и требуют физического доступа.

Есть и менее очевидные варианты: вредоносная экранная клавиатура на телефоне, подмена приложения клавиатуры, веб-скрипты, которые читают то, что вы вводите в поле формы, ещё до отправки.

Технически схожие программы применяют и в законных целях. Компании внедряют мониторинг на служебных компьютерах для защиты от утечек и расследования инцидентов, родители используют программы контроля активности детей, разработчики систем доступности записывают события ввода для вспомогательных технологий. Различие проходит по трём признакам: открытость, согласие и цель.

Если сотрудник заранее уведомлён о мониторинге, а политика описана в документах, это легальный контроль. Скрытая установка на устройство другого совершеннолетнего человека без его согласия — нарушение его прав. Для обычного пользователя вывод такой: на рабочем компьютере не вводите личные пароли, потому что администратор может видеть больше, чем вы предполагаете. Личные аккаунты открывайте на своих устройствах.

Клавиатурный шпион видит именно ввод, а не то, что хранится в файлах. Поэтому пароль, вводимый вручную, уязвим, а пароль, подставленный менеджером паролей, либо не проходит через клавиши, либо защищён иначе. Двухфакторные коды из приложения кейлоггер не увидит, пока вы не введёте их сами, но украденный код, введённый сразу, используют мгновенно.

Экранная клавиатура частично защищает от аппаратных решений, но не от шпионов, которые снимают экран. Универсальной защиты, работающей против всего, нет.

Существуют и легальные приложения, которые получают события клавиатуры для полезных функций: сочетаний клавиш, автозамены, голосового ввода. Их отличают запрашиваемые права и прозрачное описание функций.

Главное — не допустить заражения: обновления, официальные источники, осторожность с вложениями. Пользуйтесь менеджером паролей и двухфакторной аутентификацией, а лучше ключами доступа, которые не требуют ввода секрета. Не вводите важные данные на чужих компьютерах, а если приходится, меняйте пароль позже с надёжного устройства.

Осмотрите порты компьютера: в офисах иногда прячут накладки между разъёмом и кабелем. На телефоне проверяйте, какая клавиатура выбрана по умолчанию, и не устанавливайте случайные сторонние.

Практический совет для общих компьютеров: перед вводом пароля осмотрите разъёмы клавиатуры на предмет накладок и незнакомых устройств. В сомнительных ситуациях набирайте часть пароля в другом месте окна, но не рассматривайте это как надёжную защиту. Правильнее вообще не вводить важные данные там, где вы не доверяете устройству.

Признаки скудные: задержка ввода, странная нагрузка, незнакомые процессы, расширения браузера, которых вы не ставили. Антивирус часто определяет известные семейства. Список автозапуска и установленных драйверов даёт дополнительные подсказки.

Если подозрение серьёзное, смените пароли на чистом устройстве, включите второй фактор и проверьте историю входов в аккаунты. Для рабочих компьютеров обратитесь к администратору: возможно, там работает легальное ПО мониторинга, о котором вам не сообщили.

Приложения для безопасного ввода в банках и менеджеры паролей делают экранную клавиатуру со случайным расположением цифр. Это осложняет работу простых перехватчиков, но не заменяет общую гигиену устройства. Если вы работаете с особенно чувствительными данными, выделите для них отдельное устройство или отдельный профиль системы, где не установлено ничего лишнего.