Como posso detectar um keylogger no meu sistema?

Como eu poderia saber se existe um keylogger no meu sistema ou pelo menos se um está ativo no momento?

Um keylogger está sendo executado agora?

• Primeiro, vamos assumir que você está usando um sistema Ubuntu padrão que o X instalou e que sempre esteve sob o controle do X - onde o X é você ou alguém em quem você confia absolutamente.

• Como este é um sistema de estoque e todo o software foi instalado a partir dos repositórios oficiais, você pode ter certeza de que não existe um keylogger oculto , por exemplo, alguém modifica o kernel especialmente para espioná-lo, tornando-o muito difícil de detectar.

• Então, se um keylogger estiver em execução, seus processos estarão visíveis. Tudo o que você precisa fazer é usar ps -auxou htopexaminar a lista de todos os processos em execução e descobrir se há alguma suspeita.

  • Os keyloggers Linux "legítimos" mais comuns são lkl, uberkey, THC-vlogger, PyKeylogger, logkeys. logkeys é o único disponível nos repositórios do Ubuntu.

Baixei acidentalmente um keylogger de Trojan / vírus ?

• Geralmente esse risco é muito mínimo no Ubuntu / Linux devido aos privilégios ( su) necessários.
• Você pode tentar usar um detector "rootkit", como Mitch observou em sua resposta .
• Caso contrário, tudo se resume à análise forense, como processos de rastreamento / depuração, verificação de modificações / registros de data e hora entre inicializações, detecção de atividade de rede etc.

E se eu estiver em um sistema Ubuntu "não confiável"?

E daí se você estiver em um cybercafé / internet, na biblioteca, no trabalho etc.? Ou mesmo um computador doméstico usado por muitos membros da família?

Bem, todas as apostas estão desativadas nesse caso. É bastante fácil espionar suas teclas se alguém tiver habilidade / dinheiro / determinação suficientes:

• Esses keyloggers ocultos que modificam o kernel e são quase impossíveis de serem introduzidos no sistema de outra pessoa são muito mais fáceis de serem introduzidos quando você é administrador de um laboratório público de computadores e os coloca em seus próprios sistemas.
• Existem keyloggers de hardware USB ou PS / 2 que ficam entre o teclado e o computador, registrando cada pressionamento de tecla na memória interna; eles podem estar ocultos dentro do teclado ou até dentro da caixa do computador.
• As câmeras podem ser posicionadas de modo que as teclas sejam visíveis ou possam ser descobertas.
• Se tudo mais falhar, um estado policial sempre pode enviar seus capangas atrás de você para forçá-lo a dizer o que estava digitando com uma arma: /

Portanto, o melhor que você pode fazer com um sistema não confiável é pegar seu próprio Live-CD / Live-USB e usá-lo, pegar seu próprio teclado sem fio e conectá-lo a uma porta USB diferente daquela em que o teclado do sistema está ( eliminando os registradores de hardware ocultos no teclado e os da porta oculta do computador, na esperança de não usar um registrador de hardware para cada porta de todo o sistema), aprendam a identificar câmeras (incluindo pontos prováveis ​​para os ocultos) , e se você estiver em um estado policial, termine o que está fazendo e esteja em outro lugar em menos tempo que o tempo de resposta da polícia local.

Eu só quero inserir algo que eu não sabia que existia no Linux: Secure Text Input.

No xterm, Ctrl+ clique em -> "Teclado seguro". Isso faz uma solicitação para isolar pressionamentos de tecla xterm de outros aplicativos x11. Isso não impede os registradores do kernel, mas é apenas um nível de proteção.

Sim, o Ubuntu pode ter um key-logger. É muito buscado, mas pode acontecer. Ele pode ser explorado por meio de um navegador e um invasor pode executar código com seus privilégios de usuário. Ele pode usar serviços de inicialização automática que executam programas no login. Qualquer programa pode obter códigos de varredura de teclas pressionadas no X Window System. É facilmente demonstrado com xinputcomando. Consulte Isolamento da GUI para obter mais detalhes. ¹

Os registradores de teclas do linux precisam ter acesso root antes de poderem monitorar o teclado. a menos que não obtenham esse privilégio, não poderão executar um key logger. A única coisa que você pode fazer é verificar os rootkits. Para fazer isso, você pode usar o CHKROOTKIT

^{1 Fonte: superuser.com}

Os keyloggers do Linux podem ser criados a partir de idiomas compatíveis com o sistema e exigiriam o uso de armazenamento de arquivos local para registrar esses dados e, se programados para isso, se você tiver um keylogger que foi programado manualmente ou baixado para funcionar com este sistema operacional, ele pode realmente ser um arquivo, possivelmente renomeado para se parecer com um arquivo do sistema, em qualquer lugar do sistema.

A última vez que criei / tive um keylogger no meu sistema, essa era a situação e era fácil de detectar e remover, mas incluía encontrar manualmente a fonte e isso levava um tempo.

Se você possui um keylogger desse tipo, eu tentaria encontrá-lo e removê-lo, mas se é realmente algo que foi baixado ou instalado, consideraria isso altamente improvável, pois o Linux é um sistema operacional seguro que geralmente não é suspeito de formas de vírus que você normalmente encontraria nos sistemas Windows.