Η εταιρεία ασφαλείας modzero AG από την Ελβετία αναφέρει ότι ορισμένες συσκευές HP έχουν εγκατεστημένο ένα keylogger που υπάρχει στα drivers ήχου.
Το keylogger είναι ενσωματωμένο στο driver (οδηγό) καταγράφει όλες τις πληκτρολογήσεις που κάνουν οι χρήστες του συστήματος και τις αποθηκεύει σε ένα log αρχείο που ονομάζει MicTray.log και το αποθηκεύει στη διαδρομή:
C:\Users\Public\
Σημειώστε ότι το αρχείο καταγραφής αποθηκεύεται στον δημόσιο φάκελο και όχι στο συγκεκριμένο φάκελο του χρήστη.
Η δημοσίευση της εταιρείας ασφαλείας φυσικά εγείρει διάφορα ερωτήματα. Πρώτον, γιατί χρειάζεται ένα keylogger είναι στο πρόγραμμα οδήγησης ήχου και, δεύτερο πώς μπορούμε να βεβαιωθούμε ότι δεν τρέχει στις συσκευές HP.
Το πρώτο πράγμα που πρέπει να ξέρετε είναι ότι μόνο οι συσκευές HP φαίνεται να επηρεάζονται από την ανακάλυψη της εταιρείας. Η modzero AG αναφέρει ότι τα μοντέλα HP EliteBook, HP ProBook, HP Elite και HP ZBook με λειτουργικά συστήματα Windows 7 και Windows 10 επηρεάζονται. Μπορείτε να δείτε τον πλήρη κατάλογο των συσκευών που επηρεάζονται στο link που υπάρχει στο τέλος της δημοσίευσης.
Το εταιρεία ασφαλείας αναφέρει ότι αν χρησιμοποιείτε κάποια συσκευή HP (Hewlett-Packard) θα πρέπει να ελέγξετε αν υπάρχουν τα αρχεία
C:\Windows\System32\MicTray64.exe
και
C:\Windows\System32\MicTray.exe
Αν υπάρχουν θα πρέπει να τα διαγράψετε ή να μετονομάσετε για να σταματήσετε το keylogger.
Επιπλέον, θα πρέπει να ελέγξετε για την ύπαρξη του αρχείου
C:\Users\Public\MicTray.log
Αν υπάρχει, διαγράψτε το.
Όλες οι πληκτρολογήσεις σας έχουν καταγραφεί στο συγκεκριμένο αρχείο κειμένου, και ενδέχεται να περιέχουν ευαίσθητες πληροφορίες, όπως δεδομένα ελέγχου ταυτότητας, αριθμούς πιστωτικών καρτών, προσωπικά μηνύματα συνομιλιών ή και μηνύματα ηλεκτρονικού ταχυδρομείου. Σημειώστε, ωστόσο ότι το αρχείο αυτό αντικαθίσταται μετά από κάθε σύνδεση.
Έτσι μπορεί να υπάρχει σε αντίγραφα ασφαλείας, ιστορικό αρχείων ή άλλες υπηρεσίες που δημιουργούν αντίγραφα του αρχείου και ενδέχεται να έχουν αποθηκεύσει προηγούμενες εκδόσεις του. Οπότε θα πρέπει να είστε σίγουροι ότι θα διαγράφετε και αυτά τα αρχεία για να αποφύγετε τυχόν διαρροές.
Το εκτελέσιμο αρχείο MicTray (στην παραλλαγή των 64 ή των 32-bit) εγκαθίσταται με το πρόγραμμα οδήγησης ήχου Conexant. Το πρόγραμμα έχει προγραμματιστεί να εκτελείται αμέσως μετά την είσοδο του χρήστη και έτσι αρχίζει να καταγράφει άμεσα τις πληκτρολογήσεις του.
Η κύρια λειτουργία του είναι να παρέχει λειτουργικότητα μεταξύ των πλήκτρων της συσκευής και ορισμένων λειτουργιών του προγράμματος οδήγησης ήχου, όπως η σίγαση του μικροφώνου.
Η Modzero AG αναφέρει για το keylogging:
Η παρακολούθηση των πλήκτρων προστίθεται με την εφαρμογή ενός low-level keyboard input hook function που είναι εγκατεστημένο και καλεί το SetwindowsHookEx ().
Θα αναρωτιέστε πιθανώς γιατί ο keylogger προστέθηκε στο driver. Η Modzero AG αναφέρει:
Στην πραγματικότητα, ο σκοπός του λογισμικού είναι να αναγνωρίσει εάν έχει πατηθεί ή απελευθερωθεί ένα ειδικό κλειδί. Όμως ο προγραμματιστής έχει εισαγάγει διάφορες διαγνωστικές λειτουργίες και εντοπισμού σφαλμάτων για να εξασφαλίσει ότι όλες οι πληκτρολογήσεις είτε μεταδίδονται μέσω τις διεπαφής εντοπισμού σφαλμάτων είτε εγγράφονται στο αρχείο καταγραφής που βρίσκεται σε δημόσιο φάκελο στον σκληρό δίσκο.
________________________________________________
Οι χρήστες που χειρίζονται συσκευές HP που επηρεάζονται θα πρέπει να βεβαιωθούν ότι το συγκεκριμένο λογισμικό δεν ενημερώνεται. Εάν ενημερωθεί, θα εγκαταστήσει ξανά την εφαρμογή που πραγματοποιεί το keylogging και διαγράψαμε παραπάνω….
https://www.modzero.ch/advisories/MZ-17-01-Conexant-Keylogger.txt
