Stručná historie keyloggerů

Keyloggery začaly svou kariéru ve službách špionáže, a to už v 70. letech minulého století. Šlo o fyzická zařízení (z populární kultury také známá jako „štěnice“), pomocí kterých sovětští špehové zaznamenávali údery do kláves elektrických psacích strojů na americké ambasádě v Moskvě a americkém konzulátu v Petrohradu.

Dnes jde hlavně o programy, které se nejčastěji prodávají jako součást softwarových balíčků infostealerů v rámci malwaru jako služby (MaaS). Tu si můžeme představit jako „zlé dvojče“ softwaru jako služby (SaaS).

„To znamená, že útočníci se již nemusí obtěžovat vývojem malwaru, ale mohou jej na černém trhu koupit a využívat úplně stejně, jako si my koupíme nějaký softwarový program,“ vysvětluje Martin Jirkal, vedoucí analytického týmu naší výzkumné pobočky.

Mezi nejznámější „zářezy“ keyloggerů patří například kauza malwarové kampaně DarkHotel, při které útočníci využili hotelovou Wi-Fi k získání přihlašovacích údajů a dalších dat hotelových hostů. Známý je také Snake Keylogger, který dokáže krást hesla z komunikačních platforem, e-mailů, prohlížečů nebo Wi-Fi.

Hardwarové a softwarové keyloggery

Moderní útočnici sice preferují softwarové keyloggery, ale to rozhodně neznamená, že ty hardwarové úplně vymizely. Ačkoliv je cíl obou typů stejný, metoda získávání dat se trochu liší.

Softwarové keyloggery postihují Windows, macOS, Linux, iOS i Android, což znamená, že na pozoru bychom měli být všichni. Rozlišujeme tři hlavní typy:

• Formulářové keyloggery, tedy ty, co zachycují data vepsaná do webových formulářů. Dnes už jsou víceméně přežité, ale patřil k nim třeba legendární bankovní malware ZeuS.
• Keyloggery na bázi API sbírají úhozy do klávesnice přímo z aplikace, kterou zrovna používáme, a není vůbec lehké je odhalit. Zároveň se ale hůř šíří, protože API nejsou vždy stejné. Příkladem je už zmiňovaný Snake Keylogger.
• Kernelové keyloggery se schovávají v samém jádru operačního systému, jsou tedy téměř neviditelné, a útočník potřebuje vysoká oprávnění, aby je vůbec mohl nainstalovat. Stejně jako v případě API se hůř šíří. Patří sem například trojský kůň Alureon.

Keyloggery pro mobily

Naše mobilní telefony jsou pro kyberútočníky hotovým snem: mají vlastní systém, povětšinou jsou neustále připojené k internetu a jejich výkonnost roste s každým novým modelem.

Protože většina dnešních telefonů má dotykovou obrazovku, téměř vždy je napadají softwarové keyloggery, které se do nich dostanou nejčastěji pomocí smishingu. Útočníci cílí na Android i iOS a zvlášť rádi mají telefony, u kterých došlo k úpravě operačního systému (jako je jailbreak iPhonu nebo rootování Androidu), protože je snadnější do nich škodlivý malware dostat.

Je používání keyloggerů legální?

Ačkoliv po keyloggerech sahají hlavně špióni a kyberzločinci, existují i legální způsoby využití. Mezi ty samozřejmě patří oblast kyberbezpečnosti, kde keyloggery pomáhají testovat odolnost zařízení, nebo lingvistický výzkum, a to zejména při zkoumání jazykového vývoje dětí nebo učení cizího jazyka (např. keylogger Inputlog).

Poněkud spornější je jejich využití k monitorování zaměstnanců hlavně v kontrolovaných odvětvích. U nás je regulované nejen obecným nařízením o ochraně údajů (GDPR), ale hlavně zákoníkem práce (§ 316 odst. 1 a 2).

Český zaměstnavatel tak sice může kontrolovat činnost svých zaměstnanců, ale nesmí bez závažných důvodů narušit jejich soukromí a musí to dělat přiměřeně. A co je úplně nejdůležitější, musí své zaměstnance o rozsahu a způsobu kontroly informovat.

Jak odhalit keylogger?

Přítomnost keyloggeru v zařízení často prozradí rychle se vybíjející baterie, zpomalení nebo zahlcení paměti počítače, samovolné restartování operačního systému, náhodná vyskakovací okna s reklamou, a hlavně v případě telefonů i náhlý nárůst spotřeby dat.

Škody, které keylogger umí napáchat, můžeme zmírnit i následujícími opatřeními:

1. Vícefaktorové ověření. Aktivace dalšího způsobu ověření třeba formou autentizační aplikace razantně snižuje šanci, že se zločinci s ukradenými údaji skutečně dostanou do našeho účtu.
2. Správce hesel. Neustálé vypisování hesel dává keyloggerům spoustu prostoru je ukrást, naopak vkládání jedinečných hesel přímo ze správce jejich práci značně ztěžuje.
3. Aktualizace antiviru a operačního systému. Pravidelná kontrola antivirovým a anti-malware programem je skutečně efektivní jen ve chvíli, kdy má aktuální databázi hrozeb a pracuje na systému s opravenými zranitelnostmi.
4. Pravidelné vypínání. Mobilní telefony je dobré aspoň jednou týdně na pět minut vypnout, aby se vyčistily škodlivé soubory schované ve volatilní paměti (tj. paměti závislé na přísunu energie).

Závěr

Keyloggery dnes existují hlavně jako součást balíků infostealerů, neustále se vyvíjí a „vypustit“ je na nás může téměř kdokoliv. Jde jim především o naše přihlašovací údaje a bankovní data.

Hlavní a nejúčinnější formou obrany je uvědomělý pohyb v online světě a spolehlivý bezpečnostní systém, který nám kryje záda i v případě, že se kyberzločincům podaří na nás vyzrát.

Mohlo by vás zajímat:
⚙️ Hackeři mi ukradli heslo. Co mám dělat dál?
⚙️ Jdou po vašich datech: Co jsou to infostealery?
⚙️ Na česká hesla nově cílil malware Snake Keylogger

Mnoho infostealerů má původ v legendárním malwaru ZeuS – bankovním trojskému koni určeném ke krádeži přihlašovacích údajů k online bankovnictví. Po úniku jeho zdrojového kódu v roce 2011 se objevily nové verze a odstartovaly tak rozšíření infostealerů. Dnes existují varianty pro Windows, macOS, iOS i Android.

Jaké informace infostealery kradou?

Útočníky zajímají všechny údaje, které lze nějak zpeněžit. Oblíbeným cílem jsou přihlašovací údaje a tzv. cookies session, což jsou malé datové soubory, které mohou hackerům umožnit obejít vícefaktorovou autentizaci (MFA). Jedna zpráva odhaduje, že 75 % přihlašovacích údajů ukradených v loňském roce bylo odcizeno prostřednictvím infostealerů.

Typicky jde o tato data:

• Přihlašovací údaje
• Čísla platebních karet, bankovních účtů a kryptopeněženek
• Osobní údaje jako jména a adresy
• E-mailové adresy a telefonní čísla
• Historii prohlížení, uložené formuláře a hesla
• Informace o systému a uložené soubory

Jak infostealery fungují?

Cílem těchto škodlivých kódů je tiše a rychle najít citlivé informace a odeslat je útočníkovi. Používají třeba techniky, které umožní zachytit údaje z formulářů před odesláním nebo škodlivý kód, který zaznamená stisknuté klávesy, pořídí snímky obrazovky nebo dokáže získat data uložená v clipboardu (poté co stisknete CTRL+C).

Tyto informace lze zneužít přímo k odcizení účtů v různých službách (kde máme často uložené informace o platebních kartách), krádeži identity, podvodům, šíření dalšího malware nebo vydírání. Mimo to se dají také prodat na dark webu.

Ochraňte svou digitální identitu

Vaše data mají na dark webu vysokou cenu.
ESET vám je pomáhá chránit.

ZJISTIT VÍCE

Jak se infostealery šíří?

Pokud víte, kde se s malware můžete setkat, lze se mu snáze ubránit. Jeden z nejběžnějších způsobů, jak rozšířit škodlivé kódy, zůstává phishing v e-mailu nebo SMS. Typicky taková zpráva působí důležitě a obsahuje odkaz na podvodnou stránku nebo přílohu, odkud si malware uživatel nevědomky stáhne.

Další možností jsou falešné stránky, může jít o web s podvodným formulářem nebo odkazem ke stažení malware. Na takové webové stránky odkazují lákavé reklamy ze sociálních sítí nebo zcela legitimních stránek, které obvykle čtete.

Infostealery určené pro android detekujeme často v aplikacích z neoficiálních zdrojů. Nejčastěji jde o falešné verze populárních nebo placených služeb, cracknuté verze her (tedy ty s prolomeným licenčním kódem) a podobně.

Méně často se útočníkům podaří tzv. ztrojanizovat legitimní aplikace a webové stránky. Na to je ale nutné „hacknout“ původní službu, což je velmi technicky náročné.

Jak vypadá hrozba dnes?

Podle  ESET Threat Report H1 2025 je trh s infostealery obrovský. Útočníci totiž pronajímají své škodlivé kódy. Tomuto obchodnímu modelu říkáme malware jako služba (MaaS). Každý si může kód koupit, zaplatit za jeho rozšíření a dostat databázi ukradených dat. Už není nutné mít technologické znalosti a umět programovat.

Některé konkrétní typy útočníci neustále vyvíjí, například Formbook je v provozu od roku 2021. Nově ale útočníci přidali sofistikované obfuskační techniky, tyto techniky pomáhají obcházet zabezpečení. Jiné varianty, jako například RedLine, dokázala zastavit policie. Jejich místo na slunci ale převzali tvůrci Lumma Stealer. Ten funguje jako malware-as-a-service, tedy jako malware na zakázku. Kdokoliv si takový škodlivý kód může koupit na darkwebu.

Jak se chránit před infostealery?

• Mějte aktualizovaný bezpečnostní software na všech zařízeních.
• Buďte obezřetní vůči phishingu – neklikejte na podezřelé odkazy, ověřujte odesílatele.
• Stahujte aplikace pouze z oficiálních obchodů a vyhýbejte se pirátskému softwaru.
• Aktualizujte operační systém a aplikace.
• Buďte opatrní na sociálních sítích – nevěřte podezřelým nabídkám.
• Používejte silná a unikátní hesla – ideálně s dvoufázovým ověřením (2FA).

Štít, přes který se hackeři nedostanou

Předcházejte malware díky jedinému řešení. ESET
spolehlivě ochrání vaše zařízení i data. 

VYZKOUŠET

Shrnuto, podtrženo:

• Infostealery jsou typ škodlivého kódy, který se zaměřuje na odcizení dat. Buď je útočníci zneužívají přímo nebo prodají na dark webu.
• Aktuálně jsou nejběžnějším typem hrozby pro počítače s Windows v Česku.
• Nejčastěji se útočníci pokoušejí ukrást přihlašovací údaje, čísla karet a osobní údaje.
• Šíří se zejména spamem, falešnými reklamami a v neoficiálních aplikacích.
• Nejlépe ochrání uživatele vlastní obezřetnost. Měli bychom ale také používat bezpečnostní program a aktualizovat operační systém i aplikace v našich zařízeních.

Mohlo by vás zajímat:

➡️ Útočníci mění strategie pro operační systém Windows
➡️ 5 tipů, jak poznat malware a odstranit ho z počítače
➡️ Jak si chránit data online: chce to bezpečná hesla

Infostealery jsou dlouhodobou hrozbou pro operační systém Windows nejen v Česku. Jedná se o typ spywaru, který útočníci využívají pro špionážní aktivity a odcizení uživatelských dat, především přihlašovacích údajů do našich účtů. V zařízení se mohou chovat velmi nenápadně a trvá poměrně dlouho, než je uživatelé odhalí. 

V případě infostealeru Formbook bezpečnostní experti zachytili dvě velké útočné kampaně – 6. a 16. ledna. Zdrojem škodlivého kódu zůstávají nebezpečné e-mailové přílohy, které vzbuzují dojem, že se jedná o nějaké faktury nebo objednávky. V lednu na Českou republiku cílily hlavně globální útoky v angličtině, české překlady se objevovaly pouze ojediněle. 

V lednu se na přední místa opět vrátil také škodlivý kód Agent.AES. Jedná se rovněž o škodlivý kód, který řadíme mezi spyware a který útočníci využívají pro krádeže přihlašovacích údajů a dalších dat. Ačkoli je nyní nejvíce aktivním škodlivým kódem Formbook, je to právě malware Agent.AES, který je považován za jednoho z možných nástupců nechvalně proslulého spywaru Agent Tesla. 

Před infostealery ochrání bezpečnostní software a kontrola e-mailů

Dlouhodobá „jednička“ mezi spywary, Agent Tesla, začal slábnout koncem minulého roku a bezpečnostní experti potvrzují, že se jedná o trvalý stav. Podle jejich informací totiž autoři škodlivého kódu již neplánují pokračovat v jeho vývoji.

Infostealer Formbook se v lednu nejčastěji objevoval v přílohách „CSZ inquiry for MH raw material.exe“ či „PO No. 0146850827805 HSP0059842.exe“. Malware Agent.AES zachytili experti z ESETu nejčastěji v příloze s názvem „Payment Error.cmd“. 

Podle bezpečnostních expertů zůstává i přes proměny hrozeb prevence stále stejná. Důležité je dle nich věnovat pozornost zprávám, které máme ve svých e-mailových schránkách.

E-mailové přílohy se většinou zobrazují tak, že pořádně nevidíme skutečnou příponu názvu souboru, který je ke zprávě přiložený. Právě ale přípona nám může naznačit, že jsme v příloze obdrželi něco jiného než obrázek nebo dokument.

Pokud se podíváme na škodlivé přílohy z letošního ledna, můžeme vidět, že mají příponu .exe nebo .cmd. Jedná se o spustitelné soubory, nikoli o formáty, ve kterých bychom faktury a objednávky standardně očekávali – v PDF souborech nebo souborech programů Excel či Word. 

Slábnoucí spyware Agent Tesla stále představuje riziko

V případě spywaru Agent Tesla detekční čísla stále viditelně klesají. V lednu jej bezpečnostní experti zachytili pouze v necelých třech procentech případů. Mělo se jednat především o staré kampaně z méně používaných e-mailových účtů. Spyware ukrývaly přílohy s názvy „SGJ780097-JWVY8560I-HHWQEUUIT6F6.bat“, „Zpusob_platby,jpg.exe“ nebo „Poptavka 00413_pdf.exe“. 

„Protože infostealery mohou krást naše data po dlouhou dobu bez odhalení, spolehlivou ochranou je především profesionální bezpečnostní software, který zařízení pravidelně kontroluje na přítomnost škodlivého kódu. Moderní bezpečnostní řešení obsahují také celou řadu dalších užitečných funkcionalit, například tzv. správce hesel. Jedná se o specializované programy, které uchovávají naše přihlašovací údaje v bezpečné zašifrované podobě a automaticky je doplní, když se přihlašujeme do našich účtů, ať už se jedná o e-mail, internetové bankovnictví nebo e-shop,“ vysvětluje Martin Jirkal, vedoucí analytického týmu v pražské výzkumné pobočce společnosti ESET.

Jak chráníte vaše prohlížení internetu?

Bezpečně můžete prohlížet web s VPN.
Ta je součástí našich řešení. 

VYZKOUŠET

Nejčastější kybernetické hrozby pro operační systém Windows v České republice za leden 2025:

1. Win32/Formbook trojan (41,56 %) 
2. MSIL/Spy.Agent.AES trojan (10,54 %) 
3. MSIL/Spy.AgentTesla trojan (2,69 %) 
4. Win32/PSW.Fareit trojan (1,49 %) 
5. Win32/Fynloski trojan (1,27 %) 
6. Win64/Rozena trojan (1,24 %) 
7. Win32/Rescoms trojan (1,17 %) 
8. Win32/Floxif virus (0,80 %) 
9. Win32/Spy.LummaStealer trojan (0,77 %) 
10. Win32/Agent.AFYY trojan (0,71 %) 

Uživatelé produktů ESET jsou před těmito hrozbami chráněni. 

Již dřívější závěry kyberbezpečnostních expertů se tak potvrzují – konec roku 2024 znamenal pravděpodobně dlouhodobější změny v rozložení škodlivých kódů, které útočníci využívají ve svých kampaních.

Infostealer Formbook shromažďuje data ze schránky zařízení, stisky na klávesnici, snímky obrazovky i z mezipaměti prohlížeče. Podobně jako spyware Agent Tesla jsou jeho častým cílem také uživatelská hesla.  Jeho autoři jej prodávají na různých neoficiálních fórech dalším útočníkům a tím přispívají k jeho masovému rozšíření.

Typicky se šíří v podobě škodlivé přílohy v phishingovém e-mailu. I závěrem loňského roku měly tyto e-mailové přílohy nejčastěji podobu faktur nebo potvrzení o zásilkách jedné známé přepravní služby.

Aktuální malware cílí na přihlašovací údaje

Závěrem loňského roku začal výrazně slábnout spyware Agent Tesla, který si jistě zaslouží označení jednoho z nejdéle přítomných škodlivých kódů v České republice. Podle bezpečnostních expertů se objevují informace, že autor tohoto spywaru již nechce pokračovat v jeho vývoji. Očekávají tak, že i nadále bude slábnout až postupně ze statistiky zmizí úplně.

Bezpečnostní experti pak v otázkách obrany mají jasno: Bez ohledu na to, který infostealer se právě objevuje ve statistice nejčastěji, je důležité chránit svá data pomocí kvalitních bezpečnostních nástrojů a mít se na pozoru při čtení elektronické pošty.

Infostealery představují nezanedbatelné riziko pro naše přihlašovací údaje. Proto je rozhodně nedoporučují ukládat do počítače ani do internetových prohlížečů, které nemusí být před tímto typem útoků dostatečně zabezpečené. Vhodnou ochranou jsou v tomto případě správci hesel, programy specializované pro šifrované ukládání a bezpečnou správu našich přihlašovacích údajů.

Jak chráníte vaše prohlížení internetu?

Bezpečně můžete prohlížet web s VPN.
Ta je součástí našich řešení. 

VYZKOUŠET

Hesla si nemusíme pamatovat z hlavy

Skoro pětina českých uživatelů a uživatelek hodnotí bezpečnost svých hesel na základě toho, že si je dobře pamatují. Dobře zapamatovatelná hesla však nemusí být dostatečně složitá a snadno se mohou stát terčem útočníků, kteří je bez obtíží prolomí. Nejčastěji si hesla pamatujeme právě z hlavy, zatímco specializovaný program pro správu našich hesel využívá jen část z nás.

Základem bezpečného nakládání s hesly je rozhodně využívat vždy jedno unikátní heslo pro každý svůj online účet. Pokud se útočníci jednoho z nich zmocní, nedostanou se tak do dalších účtů. A oni to rozhodně zkusí. Slouží jim k tomu například automatizované útoky.

Pro lepší správu svých hesel můžete tvořit namísto nahodilého shluku různých znaků i tzv. heslové fráze. Typicky se jedná o nějakou větu, která dává smysl jen vám a dobře se vám pamatuje.

Vyvarujte se jen známých textů z písní a hlášek z filmů. Všechna svá hesla opatřete také dalším faktorem ověření – kódem z SMS nebo ze spárované ověřovací aplikace.

Nejčastější kybernetické hrozby pro operační systém Windows v České republice za prosinec 2024:

1. Win32/Formbook trojan (14,66 %)
2. PowerShell/Agent.CCC trojan (3,85 %)
3. MSIL/Spy.AgentTesla trojan (3,52 %)
4. Win32/Expiro virus (2,88 %)
5. Win64/Rozena trojan (2,55 %)
6. MSIL/Spy.Agent.AES trojan (2,37 %)
7. Win32/Fynloski trojan (2,18 %)
8. Win32/PSW.Fareit trojan (1,90 %)
9. MSIL/Agent.CLQ trojan (1,37 %)
10. Win32/Rescoms trojan (1,26 %)

Uživatelé produktů ESET jsou před těmito hrozbami chráněni.

Kampaň zneužívá malware pojmenovaný StealC. Ten dokáže uzamknout prohlížeč v režimu celé obrazovky, kdy nejde v podstatě spustit nic jiného (v tzv. kiosk mode) a zároveň „vypne“ klávesy ESC a F11, které běžně umožní celé okno uzavřít. Jediné, co uživatel vidí, je přihlašovací okno, nejčastěji k samotnému účtu Google.

Uživatele tato taktika po chvílí pochopitelně naštve tak, že raději své přihlašovací údaje zadá, aby mohl v prohlížeči dál pracovat. Jakmile se přihlásí, získají údaje pomocí jiné funkcionality škodlivého kódu útočníci.

Tato kampaň je aktivní nejméně od 22. srpna 2024. Uživatelé našich programů jsou proti malware chráněni, detekujeme ji jako Win32/Autoit.ORF trojan. Aktuálně evidujeme nejvíce obětí ve Finsku a Španělsku. Malware se ale objevuje prakticky po celém světě.

Proč zločinci cílí právě na Chrome?

Chrome není v hledáčku útočníků poprvé ani naposledy. Celosvětově patří mezi nejpoužívanější prohlížeče a tudíž i počet potenciálních obětí je astronomický.

Ekosystém Google používají lidé k práci, k ukládání citlivých údajů, k placení přes GPay, někdy lidé přímo v prohlížeči ukládají i hesla. Jakmile útočník získá přístup do vašeho účtu, získá velké množství cenných dat, která může dál velmi výhodně prodat, zneužít i brute force útoků nebo odcizit něčí digitální identitu.

Prodat se dají i odcizená hesla. Útočníci z nich zpravidla tvoří rozsáhlé databáze, které lze zneužít dál.

Útok má dvě fáze: nejdřív vás naštvou, pak okradou

Častěji se setkáváme s tím, že jeden malware má více funkcí, která mají nejprve infikovat prohlížeč, pak obcházet zabezpečení, pak získávat data. V tomto případě je to jinak. Kampaň využívá řadu různých známých prvků. Klíčový je zejména nástroj Amadey, který se používá již šest let a který načítá malware.

Kyberzločinci neustále hledají nové a nové způsoby, jak oběti přimět k předání svých přihlašovacích údajů a dalších citlivých informací. Nátlak, že není jiná možnost než heslo zadat, aby bylo možné prohlížeč použít, může znít zjednodušeně. Ale je to přesně ten typ taktiky, kterou aktéři hrozeb používají, aby data získali.

Naštěstí v počítačích se systémem Windows stále triumfuje kombinace kláves Ctrl + Alt + Delete. Tato kombinace spolehlivě otevře nabídku umožňující zavřít okno nebo restartovat systém.

Pokud máte obavy, že jste se tímto typem útoku setkali, doporučujeme bez prodlení změnit heslo k ekosystému Google a spustit ve vašem zařízení antivirovou kontrolu.

Jak si chránit hesla v prohlížeči

Podobným útokům je vždy nejlépe předcházet. Malware jako je Amadey nebo StealC si uživatel obvykle stáhne nevědomky s nějakou aplikací či programem z neoficiálního zdroje. Vždy proto upřednostňujte oficiální obchody. Doporučujeme také prohlížeč i operační systém pravidelně aktualizovat. V neposlední řadě je důležité používat renomovaný bezpečnostní  program na všech zařízeních, ze kterých se připojujete k internetu.

Útoky, které se pokoušejí získat přihlašovací údaje, patří dlouhodobě v Česku mezi ty nejčastější. Rozhodně proto nedoporučujeme si je ukládat v prohlížečích.

Hesla by měla ideálně být komplexní, tedy obsahovat různé typy znaků. Případně lze volit jednouší, ale delší frázi. Jak přesně spolehlivá hesla tvořit vám vysvětlí Bára:

Spolehlivost hesla si můžete ověřit v generátoru hesel.

Hesla pak doporučujeme spravovat ve správci hesel, speciálním programu, který je šifruje. Správce hesel je snadno dostupný program, najdete jej i v některých anti-malware produktech.  Jak přesně takové programy fungují se dočtete zde.