Enregistreur de frappe (keylogger).

Un keylogger capture les entrées du clavier et les stocke localement ou les exfiltre vers un attaquant. Les keyloggers logiciels s'exécutent sous forme de hooks en mode utilisateur (SetWindowsHookEx), de pilotes noyau ou d'extensions de navigateur malveillantes ; les keyloggers matériels s'insèrent en ligne entre le clavier et l'ordinateur ou se cachent dans des périphériques modifiés. Les attaquants s'en servent pour récolter identifiants, OTP saisis manuellement, données bancaires, messages de discussion et propriété intellectuelle, et ils sont livrés comme modules standard des info-stealers, chevaux de Troie bancaires et kits d'espionnage tels qu'Agent Tesla, HawkEye et Snake Keylogger.

Le keylogging est plus ancien que le PC. Dans l'une des opérations les plus élégantes de la guerre froide, les Soviétiques ont espionné des machines à écrire IBM Selectric à l'ambassade des États-Unis à Moscou, de 1976 à 1984 environ : des magnétomètres dissimulés dans une barre de support creuse détectaient la rotation et l'inclinaison de la « boule » d'impression, puis transmettaient par salves radio les frappes chiffrées. Le Project GUNMAN de la NSA a finalement mis au jour ces implants après qu'un technicien a repéré une bobine supplémentaire dans un interrupteur d'alimentation — la preuve que capturer ce que les gens tapent ne nécessite aucun logiciel.

Les défenses comprennent un EDR avec surveillance comportementale, une MFA résistante au hameçonnage fondée sur des clés matérielles (FIDO2/WebAuthn) afin qu'un mot de passe volé soit inutile, des protections de la saisie des identifiants au niveau du système d'exploitation, l'inspection physique des câbles des postes de travail et la désactivation des ports USB inutilisés.

flowchart LR
  K[L'utilisateur appuie sur les touches] --> C[Le keylogger capture la saisie]
  C --> S[Hook logiciel ou pilote]
  C --> H[Dispositif materiel en ligne]
  S --> E[Encodage et mise en tampon]
  H --> E
  E --> X[Exfiltration vers le C2 de l'attaquant]
  X --> U[Vol d'identifiants ou de donnees]