Keylogger

tossit

(w)Altmeister
Dabei seit
23 Mrz 2002
Beiträge
3.161
Reaktionen
217
Ort
Praha, CZ
Da sich hier einige Experten rumtummeln, kann mir vielleicht einer mal weiterhelfen. Es stellt sich volgendes Problem dar:

Der Ex-Freund einer guten Freundin von mir hat auf deren Computer ein verdächtiges Programm installiert was nach meinem Beurteilen ein Keylogger war/ist. Der Ex-Freund ist Programmierer, aber hielt sie wohl für so technisch unversiert, dass er wahrscheinlich ein Standart-programm genommen hat ohne Änderungen vor zu nehmen.

Leider hat die Gute bereits diverse Dinge gelöscht sodass ich nur noch Reste vorfand, unter anderem einen Passwort-geschützten .rar Bestand mit dem Namen "KeyL.rar", den extrahierten Folder mit 3 Dateien namens KeyL (darin enthalten "action.log", "alertlog.dat", "KeyLog.txt" und den leeren Folder "HomeKeylogger"). Sowohl Dos mode als der USB-Backup auf dem Mac gelesen sieht keine versteckten Dateien dort.

Im action.log wurde 2 Monate lang die Ein und Ausbewegungen vom IE geloggt mit IP (auch angezeigt in F-Secure, ich nehme an dass F-Secure dort einfach nur loggt und das action.log als eine Art Kontrolle diente um anzuzeigen wo sie hin surfte), im Keylog.txt ist nur ein typisches Keylogger Fragment von Actionen im Juli enthalten (also Zeit, eingeloggter User, benutztes Programm, Eingaben).

Geloggt wird wohl nichts mehr, da ich auch keine Änderungen feststellen konnte und, soweit ich das Beurteilen kann, alle kritischen Programm-Komponenten bereits entfernt wurden (wie z.B. keylogger.exe (ist nur noch als unvollständige Datei im Prefetch-cache zu sehen).

Die Frage ist, wie kann man das überprüfen? Kann man "einigermassen" sicherstellen, dass dort nichts mehr vorhanden ist?
Wie gesagt, ich traue dem Jungen zu, zu faul zu sein um Modifikationen am Programm vorzunehmen oder das Programm samt Folder besser zu verstecken, begleitet mit der Annahme dass seine Freundin nicht so technisch versiert ist/war um festzustellen dass er einen Keylogger benutzte.

Alle Programm Komponenten sind von mir komplett gelöscht worden, in der Registry ist kein Eintrag a la Keylogger zu finden.

Trotzdem gerne ein paar Tipps. Hijack this logfile kann geliefert werden, sowie das USB backup der verdächtigen Folder.

Danke schonmal im Vorraus, ich hab's nicht gerne wenn kontrollwütige Boyfriends ihre Freundinnnen ausspionieren.
 
Sorry Tobi,
aber die einzige Chance wirklich sicher zu gehen heisst format c:
Will sagen, Daten sichern, Kiste plattmachen und neu installieren.

Alles andere ist meiner Meinung nach sinnlos. Wer soviel kriminelle Energie verwendet, jemandem einen Keylogger unterzujubeln, der hat auf dem Rechner möglicherweise auch sonst noch Dinge geändert, die Du nicht siehst und auch nicht findest.

Kannst Du nachweisen, woher der Mist kommt? Da wäre nämlich eine Anzeige angebracht.


Grüße, G
 
Was für ein Betriebssystem wird denn genutzt? Falls Windows, würde ich mal CCleaner draufknallen, der löscht dann auch wirklich komplett alles!
 
ich hätte zunächst anzeige erstattet, aber das nun fast alles weg ist, wird der ganze vorgang wohl schwer nach zuweisen sein.

was das riskio eine "restinfektion" angeht mache ich einmal kompromittierte systeme immer komplett platt. spart nerven und im zweifelsfall auch zeit, denn man kann nie ausschliessen, das sich nicht irgenwo irgenwas tarnt oder versteckt.
wenn nicht platt, dann die frage: hast du das hijackthislog mal durch die automatische auswertung laufen lassen?

edit: argon war schneller
 
Komplett neu-installieren ist auch meine erste Reaktion gewesen. Das grosse Problem dabei ist, dass der Junge unseren Webshop programmiert hat und sich der Keylogger in einem der Verzeichnisse davon befand. Zum Webshop gehört ein komplettes Backend (Rechnungsprogramm, Wartung & Pflege, Kundendaten, etc..) welches sich auch auf dem Computer befindet. Das Backup auf dem Server ist ihm auch zugänglich und nur 2 weiteren Personen (mir und ihr eben). Das Backend ist IP-geschützt, d.h. nur unsere 3 Computer haben darauf Zugang. Das heisst zum einen, dass ein Mirror Backup u.U. auch irgendwelche versteckten Dateien mit speichern würde und eine original Installation aus verständlichen Gründen erschwert ist da der Junge eben das Original hat und man nicht weiss was er einem da alles unterjubelt.

Nachweisen kann man leider nichts, ihre Aussage würde gegen seine stehen und ein Grossteil des Programms ist ja bereits leider futsch. So kann ich noch nichtmal herausfinden welches Keylogger Programm das überhaupt war.
Und es ist ja "noch" kein realer Schaden entstanden weshalb eine Anzeige auch wenig Sinn macht.

Automatische Log-Auswertung? Im Programm selber oder geht das auch irgendwo online?
 
Der Keylogger im Webshop?
Seltsam.
Nun weiss ich ja nicht, was Ihr für einen Webshop habt, aber bei allen Shops die ich so kenne ist auch das Backend serverseitig realisiert und per Browser zu bedienen.

Anyway, der Kelogger dürfte wohl der hier gewesen sein:
http://http://www.fbmsoftware.com/spyware-net/process/homekeylogger-setup_exe/121/

http://http://www.symantec.com/security_response/writeup.jsp?docid=2004-050617-0944-99&tabid=3

(jaja, symantec aber was anderes hab ich jetzt so schnell nicht gefunden)

Auswertung von Hijackthis gibt es da: http://http://www.hijackthis.de/de

Viel Glück!
 
hat der ex ihr nachspioniert?????

Sieht ganz so aus... ;)

Danke schön @ Argon & Livingstone. Uninstall instructions habe ich auch schon bereits gefunden und wie gesagt, soweit ich das Beurteilen kann, ist das System sauber. Inklusive registry.

Hijackthis macht auch keine Probleme, ausser bei:

R3 - URLSearchHook: (no name) - - (no file)

wo es von Hijackthis ein "Neutral Neutral Schädlich (2.57 / 5.00)" gibt. Das hängt aber weniger mit dem Logger zusammen glaube ich.

Zum Webshop: Der Shop ist komplett custom made programmiert, der Junge macht das proffessionel. Das Backend kann man auch serverseitig bedienen, aber auch eben offline und getrennt vom Browser.

Man kann zwar nicht sicher sein, aber ich traue dem Kerl wirklich nicht zu dass er so "fintig" war um an dem Logger gross was rumzubasteln. Er hielt seine Freundin eben für ein kleines blondes Dummchen, zumal er auch nie viel Zeit alleine vorm Computer hatte. Soweit ich weiss, nur vereinzelt 10-15 Minuten als sie kurz mit dem Hund draussen war. In den letzten Monaten hat's eh gekracht, weshalb sie sich auch nicht oft sahen. Es gab sogar ein Icon vom Logger im Taskbalken worauf sie das Ding normal deinstalliert hat (wie auf Symantec angegeben).

Ich habe auch die Firewall neu eingestellt dass erstmal alles was raus und rein geht erstmal per Hand überprüft werden muss und detailliert geloggt wird.

Zwar bin ich noch nicht ganz beruhigt, aber für sie dürfte das erstmal reichen. Für den Shop suche ich eh gerade eine neue Lösung die ich selber anpassen kann. Gibt ja genug im Netz.

Thanks for all! :)
 
Sieht erstmal ganz ordentlich aus. Ich würde vielleicht noch einen rootkit scanner drüber laufen lassen (gibts von avg)

Und ganz schnell weg von dem typen und seinem shop.
oscommerce oder Virtuemart wären meine ersten anlaufstellen.
 
oscommerce ist auch meine erste Wahl.

Rootkit scanner mach ich noch zur Sicherheit bei allernächster Gelegenheit, jedoch gehe ich nicht davon aus dass der noch gross fündig wird.

Cheerio ;)
 
http://www.prestashop.com/ ist auch verdammt gut, hat der Rootkit-Scan noch irgendetwas gefunden? ggf. auch einfach mal den Traffic vom Rechner überprüfen, wenn da was komisch ist fällt das auch direkt auf.
 

Neue Themen


Zurück
Oben