Keylogger: qué es, cómo llega y cómo se frena

Un keylogger no rompe nada ni pide un rescate: se queda callado apuntando lo que se escribe. El usuario sigue trabajando con normalidad mientras sus contraseñas, los correos que redacta y los datos que mete en los formularios acaban en manos de otro. Esta guía explica cómo funciona, cómo llega, cómo se detecta y qué parte puede cortar el cortafuegos.

Qué es un keylogger

INCIBE lo define como una herramienta cuyo objetivo es registrar las teclas que se pulsan en un dispositivo sin que el usuario se percate, porque trabaja en segundo plano. Lo que registra se guarda en un fichero al que accede un tercero, y así el delincuente se hace con datos confidenciales como las credenciales bancarias. INCIBE lo clasifica dentro del spyware, los programas espía que recopilan la navegación y los datos personales y bancarios para enviárselos al atacante.

La base de técnicas de ataque MITRE ATT&CK explica para qué lo quieren: para conseguir credenciales y nuevos accesos cuando no pueden sacarlas de otra forma. Como a veces hay que esperar mucho a que el usuario escriba la contraseña, el atacante puede llegar a borrar las cookies del navegador para obligarle a volver a iniciar sesión.

Los dos tipos: de software y de hardware

Según INCIBE, el de software es el más utilizado por los delincuentes, precisamente porque envía los datos solo y no obliga a volver al lugar.

Cómo llega y qué hace después

El keylogger de software llega como el resto del malware. INCIBE ha detectado campañas de phishing dirigidas directamente a empresas, con un adjunto que al abrirlo instala el keylogger para robar credenciales. También llega al instalar programas o bajar archivos de fuentes poco fiables, y con memorias USB de origen desconocido. El ejemplo de INCIBE es muy común: alguien busca una aplicación gratuita para hacer carteles, la baja de una web sin aviso legal, ve que no funciona y la borra, pero el keylogger ya se ha quedado en el equipo.

Muchas veces no va solo, sino dentro de un troyano más completo. La ficha de INCIBE del troyano bancario RTM, que ataca equipos Windows de empresas, recoge que registra las pulsaciones del teclado y el portapapeles asociándolas a la aplicación abierta, hace capturas de pantalla cuando detecta la web del banco y envía todo a los servidores de mando y control del atacante.

MITRE recoge incluso casos en los que el registrador no estaba en el ordenador del usuario sino en un equipo de red: en la campaña que llama Cutting Edge, los atacantes modificaron un archivo de la VPN web de unos equipos Ivanti Connect Secure para capturar las credenciales que escribían los usuarios. Esto es criterio de esta web: es un buen recordatorio de que el propio cortafuegos y su VPN tienen que estar siempre actualizados, porque son lo primero que toca quien se conecta desde fuera.

Qué puede hacer el cortafuegos

Un keylogger de software tiene un punto débil: necesita sacar lo que roba. Ahí es donde actúa el cortafuegos:

• Al llegar. Con antivirus de pasarela y filtrado web, puede parar la descarga de malware conocido y las webs maliciosas de donde se baja.
• Al salir los datos. Los servicios de FortiGuard, por ejemplo, incluyen la detección de dominios de botnets, una base de direcciones web maliciosas que cubre las comunicaciones con servidores de mando y control, y un servicio dinámico contra botnets y C2. Si el equipo infectado intenta enviar lo registrado a uno de esos servidores, la conexión se corta.

Esto es criterio de esta web: este segundo control es el que justifica revisar también lo que sale de la red, no solo lo que entra. Pero tiene límites claros. No ve nada de un keylogger de hardware, que guarda los datos dentro; no sirve si el servidor del atacante aún no está en ninguna lista; y no protege el portátil que trabaja fuera de la oficina sin pasar por él. Por eso INCIBE pone el cortafuegos junto al antivirus, no en su lugar, y en la empresa conviene un EDR, que vigila lo que hacen los programas dentro del equipo.

Cómo protegerse

Las prácticas que recomienda INCIBE son estas:

1. Descargar programas solo de fuentes fiables y, en la empresa, decidir por escrito qué aplicaciones se pueden instalar.
2. Abrir adjuntos y enlaces solo cuando se pueda garantizar quién los envía, comprobando antes los archivos descargables.
3. Revisar que el teclado y el ordenador no tengan nada extraño conectado, y usar teclados comprados directamente a un proveedor.
4. Mantener el equipo actualizado, con el antivirus y el cortafuegos activos.
5. Contraseñas robustas y distintas en cada servicio y la autenticación de doble factor activada, para que una contraseña robada no abra todas las puertas.
6. Formar a la plantilla, porque, como recuerda INCIBE, la primera barrera es el propio usuario.

El quinto punto es el que limita el daño cuando lo demás falla. En el ejemplo de INCIBE, el empleado no usaba ese ordenador para nada importante, pero tenía la misma contraseña en todas sus cuentas, también en las de la empresa. Esto es criterio de esta web: con contraseñas distintas guardadas en un gestor, que las rellena sin teclearlas, el keylogger se lleva mucho menos; y con un segundo factor, la contraseña que se lleva no le basta para entrar.

Si sospechas que hay un keylogger

La guía de desinfección de INCIBE pide desconectar el equipo de la red para que la infección no se propague, analizarlo con un antivirus actualizado y, al terminar, cambiar las contraseñas de todas las cuentas que se usaban en él, porque pueden haber quedado expuestas. Revisa también el teclado y los puertos USB por si hay un dispositivo que no debería estar. Esto es criterio de esta web: cambia las contraseñas desde otro equipo limpio, empezando por el correo, el banco y la VPN, y mira en los registros del cortafuegos si el equipo se ha conectado a direcciones sospechosas.

Para cualquier duda, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.