键盘记录器

本文约需 2 分钟阅读

键盘记录器 (Keylogger) 是一种秘密记录键盘输入内容的恶意软件。它分为软件型和硬件型，软件型常被植入特洛伊木马等程序中进行传播。记录下来的数据会被发送给攻击者，从而窃取密码、信用卡号等机密信息。 2024 年以来，将键盘记录功能作为信息窃取型恶意软件 (Infostealer) 的一部分加以植入的案例不断增加。

键盘记录器的原理

软件型键盘记录器会挂钩操作系统的键盘输入 API，记录所有按键输入。高级的还会截取屏幕截图并监视剪贴板。硬件型则是物理插入到 USB 接口与键盘之间的小型设备，由于软件无法检测，因此尤其危险。

为什么发现键盘记录器后仅靠清除并不算了结

键盘记录器造成的受害有一个特点：在被发现的那一刻，受害范围已经在过去被确定下来。从感染到被发现的整个期间，记录一直在持续，因此清除只能阻止此后的记录，已经被发送出去的输入内容无法收回。所以在发现后的应对中，必须假定感染期间在该终端上输入的所有信息 (各服务的密码、邮件和文档的内容、信用卡号等) 都已落入第三方之手。尤其是密码，凡是输入过的服务都在受影响之列，因此排查受影响的账户并变更密码就成为应对的核心。确定感染开始时间之所以重要也正在于此：如果无法确定期间，就只能把范围放得更宽来进行变更。

具体的受害场景

一种典型的场景是，在酒店商务中心或机场休息室的公用 PC 上被安装了硬件型键盘记录器。出差中的商务人士登录电子邮件或网上银行时，所有的认证信息都会被记录下来。此外，下载伪装成免费软件的软件型键盘记录器的情况也频繁发生。在企业环境中，也有内部作案者在同事的 PC 上植入键盘记录器以窃取机密信息的案例报告。

实务中的对策

使用密码生成工具的自动填充功能，可以将键盘输入降到最低。密码管理器的自动填充功能也是有效的对策。在公用 PC 上应避免输入密码，并事先设置两步验证，这样即使密码泄露也能防止非法登录。如果不得不使用公用 PC，建议在使用后变更所有密码。