الدرس 05: الكي لوجر Key Logger

الكي لوجر:هو برنامج صغير يتم تشغيله داخل جهاز الحاسب، ودائما ما يكون مع ملف السيرفر "حصان طروادة" لكي يقوم بأغراض التجسس على أعمالك التي تقوم بها على حاسبك الشخصي .. فهو في أبسط صورة، يقوم بتسجيل كل طر يقة قمت بها على لوحة المفاتيح ،منذ  أول لحظة للتشغيل ... وتشمل هذه كل بياناتك السرية، أو حساباتك المالية، أو محادثتك الخاصة على الأنترنت، أو رقم بطاقة الإئتمان الخاصة بك، أو حتى كلمات المرور التي تستخدمها لدخولك على الأنترنت، والتي قد يتم استخدامها بعد ذلك من قبل الجاسوس الذي قام بوضع البرنامج على حاسبك الشخصي

لماذا صممت البرامج التي تستخدم أحصنة طروادة ؟

تصميم هذه البرامج في البداية كان لأهداف نبيلة، مثل معرفة ما يقوم به الأبناء أو الموظفون على جهاز الحاسب في غيابك، من خلال ما يكتبونه على لوحة المفاتيح . ويوجد العديد من البرامج المنتشرة على

الأنترنت، والتي تستطيع من خلالها التنصت وتسجيل وحفظ كل ما نكتبه على لوحة المفاتيح . من هذه البرامج برنامج

والذي يستطيع أن يحتفظ في ملف مخفي بكل ما قمت بكتابته على لوحة المفاتيح Invisible KeyLogger :يدعى

مصحوبة بالتاريخ والوقت الذي قمت فيه بعمليات الكتابة هذه ، حيث سيمكنك الإطلاع على الملف المسجل به كلما تم كتابته على لوحة مفاتيح الحاسب ( والتي لن يستطيع أحد معرفة مكانه الا واضعه ) والتأكد من عدم وجود جمل دخيلة أو محاولات اقتحام، لم تقم أنت بكتابتها .. أو التأكد مما إذا كان أحد يقوم باستخدام حاسبك والإطلاع على بياناتك في غيابك والتأكد من عدم استخدامهم للأنترنت في الولوج على شبكات غير أخلاقية، أو التحدث بأسلوب غير لائق، من خلال مواقع الدردشة على الأنترنت،أيضا يزعم هؤلاء المصممين أن فوائد البرنامج الذي قاموا بتصميمه تظهر حينما تكتشف أن نظام الويندوز أو البرنامج الذي تستخدمه قد توقف فجأة عن العمل دون أن تكون قد قمت بحفظ التقرير الطويل الذي كنت تقوم بكتابته .. حيث أن التقرير بالكامل سيكون موجود منه نسخة إضافية بالملف المخفي ، أيضا من فوائد البرنامج مراقبة سير العمل والعاملين تحت إدارتك للتأكد من عدم قيامهم باستخدام الحاسب الشخصي لأغراض شخصية والتأكد من عدم إضاعتهم لوقت العمل واستغلاله بالكامل لتحقيق أهداف الشركة

: خطورة برامج حصان طروادة

تعد برامج حصان طروادة واحدة من أخطر البرامج المستخدمة من قبل الهاكرز والدخلاء .. وسبب ذلك يرجع إلى أنه

والتي تسمح له ان يقوم بالهيمنة على الحاسب بالكامل Passwords يتيح للدخيل الحصول على كلمات المرور

كذلك تظهر هذه البرامج للدخيل الطريقة ( المعلومات ) التي يمكنه من

خلالها الدخول على الجهاز بل والتوقيتات الملائمة التي يمكن خلالها الدخول على الجهاز... الخ، المشكلة أيضا تكمن في أن هذا الإقتحام المنتظر، لن يتم معرفته أو ملاحظته، حيث أنه سيتم من خلال نفس الطرق المشروعة، التي تقوم فيها بالولوج على برامجك وبياناتك، فلقد تم تسجيل كل ما كتبته على لوحة المفاتيح، في الملف الخاص بحصان طروادة .. معظم المستخدمين يعتقدون أنه طالما لديهم برنامج مضاد للفيروسات فإنهم ليسوا معرضين للأخطار ، ولكن المشكلة تكمن في أن معظم برامج حصان طروادة لا يمكن ملاحظتها بواسطة مضادات الفيروسات . أما أهم العوامل التي تجعل حصان طروادة أخطر في بعض الأحيان من الفيروسات نفسها، هي أن برامج حصان طروادة بطبيعتها خطر ساكن وصامت فهي ،لا تقوم بتقديم نفسها للضحية مثلما يقوم الفيروس، الذي دائما ما يمكن ملاحظته من خلال الإزعاج ،أو الأضرار التي يقوم بها للمستخدم، و بالتالي فإنها لا يمكن الشعور بها أثناء آدائها لمهمتها، و بالتالي فإن فرص اكتشافها والقبض عليها تكاد تكون معدومة

أي السيطرة عن بعد ، ولكي تتم العملية لابد من (remote) ويعتمد الإختراق على ما يسمى بالريموت

وجود شيئين مهمين، الأول البرنامج المسيطر، وهو العميل والآخر الخادم، الذي يقوم بتسهيل العملية، بعبارة أخرى للإتصال بين جهازين، لابد من توفر برنامج على  كل من الجهازين، لذلك يوجد نوعان من البرامج ، ففي جهاز الضحية

(client) وفي الجهاز الاخر يوجد برنامج المستفيد أو ما يسمى (server) يوجد برنامج الخادم

وتندرج البرامج التي سبق ذكرها سواء كانت العميل أو الخادم، تحت نوع من الملفات يسمى حصان طروادة ،ومن خلالهما يتم تبادل المعلومات حسب قوة البرنامج المستخدم في التجسس . ، وتختلف برامج  التجسس في المميزات وطريقة الإستخدام .. لكنهما جميعا تعتمد  على نفس الفكرة التي ذكرناها، وذلك بإرسال ما نسميه الملف اللاصق

أو برنامج الخادم والذي يرسله المتجسس إلى جهاز الضحية، فيقوم الأخير بحسن نية بتشغيل هذا الملف Patch file

ظنا منه بأنه برنامج مفيد، لكنه غالبا ما يفاجأ بعدم عمل الملف بعد النقر عليه، فيظن انه ملف معطوب.. فيبحث عن شيء آخر أو برنامج ثاني ويهمل الموضوع، بينما في ذلك الوقت يكون المتجسس قد وضع قدمه الأولى داخل جهاز الضحية، ويتم الإتصال بين الجهازين عبر منفذ اتصال لكل جهاز ، قد يعتقد البعض ان هذا المنفذ مادي باستطاعته أن يراه أو يلمسه، مثل منفذ الطابعة أو الماوس ، ولكنه جزء من الذاكرة له عنوان معين يتعرف عليه الجهاز بأنه منطقة يتم إرسال و استقبال البيانات عليها، ويمكن استخدام عدد كبير من المنافذ للإتصال، وعددها يقارب 65000 منفذ تقريبا ، يميز كل منفذ الآخر رقمه فمثلا، المنفذ رقم 8080 يمكن إجراء اتصال عن طريقه ، وفي نفس اللحظة يتم استخدام المنفذ رقم 8000 لإجراء اتصال أخر

: وعند الإصابة ببرنامج الخادم فإنه يقوم في أغلب الأحوال بما يلي

حيث أن النظام في كل مرة تقوم بتشغيل الويندوز، يقوم بتشغيل (registry)١- الإتجاه إلى ملف تسجيل النظام

.البرامج المساعدة في ملف تسجيل النظام، مثل برامج الفيروسات وغيرها

٢- يقوم بفتح ملف اتصال داخل الجهاز المصاب تمكن برنامج العميل من النفوذ

٣- يقوم بعملية التجسس وذلك بتسجيل كل ما يحدث، أو عمل أشياء أخرى على حسب ما يطلب منه هذا ،يعني أن الجهاز إذا أصيب فإنه يصبح مهيأ للإختراق، وبرنامج الخادم ينتظر طلب اتصال في أي لحظة عن طريق المنفذ الذي قام 

: بفتحه ، ويأتي طلب الإتصال بإحدى الطريقتين

أ- من قبل شخص يتعمد اختراق الجهاز المصاب بعينة، وذلك لعلمه بوجود معلومات تهمه أو لإصابة ذلك الجهاز بالضرر لأي سبب كان

على مجموعة من الأجهزة scanning ب- من قبل شخص لايتعمد اختراق هذا الجهاز بعينه، ولكنه يقوم بعمل مسح

 في نطاق معين من العناوين، لمعرفة أيها الذي لديه منافذ مفتوحة، وبالتالي فهو قابل للإختراق

 ؟؟ IP (Internet protocol) ما هو رقم الآي بي أدرس

هذا ما سنتعرف عليه ان شاء الله في الدرس القادم

خدع الهاكرز،تأليف:ياسر رجب التهامي