[Rothes]

Dodam tylko, iż poza najczęsciej spotykanymi formami przesyłania logów (smtp, ftp) zdarzają się czasami naprawdę niestandarowe metody. Przedstawię wam schemat działania keyloggera napisanego przez mojego kolegę (nie był on wykorzystywany do kradzieży kont w Tibii):

a) po uruchomieniu kasował plik z folderu w którym został usunięty, a przekopiowywał się do folderu c:/windows/system32 (program sprawdzał wersję systemu i jeżeli był to win 9x to folderem tym był c:/windows/system)
b) proces w menedżerze zadań był bardzo podobny do jednego z systemowych, ponieważ prócz zabiegu w punkcie a, program zmieniał także nazwę pliku
c) keylogger zaczął zapisywać logi, jedynie gdy uruchomiony był proces określonego wcześniej programu (np. gadu-gadu)
d) podczas tworzenia logów, program uwzględniał wszystkie klawisze typu ctrl, shift, itp. oraz kliknięcia zarówno prawym jak i lewym przyciskiem myszy z uwzględnieniem położenia kursora w momencie klikania, a także w przypadku wciśnięcia kombinacji ctrl+v, ctrl+c, ctrl+x wyświetlał zawartość schowka
e) logi wysyłał co pewną ilość znaków, poprzez uruchomienie internet explorera, wejście na stronę, która z kolei przy pomocy naprawdę prostego skryptu php dopisywała log do bazy (ie uruchamiał się w taki sposób, że dla przeciętnego użytkownika komputera proces ten był nie widoczny)
f) jak już wcześniej wspomniałem logi zapisane przez keyloggera były zapisywane do specjalnej bazy, więc całe podpatrzenie logów ofiary polegało na wejściu na odpowiednią stronę zawierające skrypt php wyświetlający efekty pracy
g) oczywiście jak każdy pisany ręcznie keylogger nie był wykrywalny przez antyvirusy, a ponieważ znaczna część użytkowników w swoich firewallach domyślnie pozwala na dopuszczenie połączenia przez ie, firewalle również były nieskuteczne

Mam nadzieję, iż analiza powyższego schematu działania, wyjaśni jak mniejwięcej działają keyloggery.

Pozdrawiam
Rothes