Come funziona un keylogger

Un keylogger (da key = tasto e logger = registratore) è un programma — o un dispositivo — che registra di nascosto tutto quello che una persona digita sulla tastiera: password, messaggi, numeri di carte, ricerche. I dati raccolti vengono poi letti da chi lo ha installato.

In questa lezione vediamo come funziona, a livello di principio. Non costruiremo un keylogger: capirne il meccanismo serve a riconoscerlo e a difendersi, che è il lavoro di chi si occupa di sicurezza.

Cosa riesce a catturare

A seconda di quanto è «evoluto», un keylogger può registrare:

• i tasti premuti, in ordine, con data e ora;
• il titolo della finestra attiva (così si capisce se stavi scrivendo su una banca o in chat);
• gli appunti (copia e incolla);
• a volte anche screenshot periodici o la posizione del mouse.

Il risultato è un diario completo di quello che fai al computer: è per questo che è una delle armi preferite per rubare le credenziali.

I due grandi tipi

Keylogger hardware

È un oggetto fisico: un piccolo adattatore che si infila tra la tastiera e il computer, oppure un finto cavo o una finta chiavetta. Registra i tasti in una memoria interna.

• Vantaggio per l'attaccante: l'antivirus non lo vede, perché non è un programma.
• Svantaggio: bisogna avere accesso fisico al computer per metterlo e per toglierlo.

🧩 Difesa più semplice: guardare dietro il PC. Un adattatore sconosciuto tra tastiera e porta USB è un campanello d'allarme, soprattutto su computer pubblici (biblioteche, aule, internet point).

Keylogger software

È un programma installato sul computer. È il tipo più diffuso, perché può arrivare da lontano, senza toccare fisicamente la macchina. Per funzionare, in genere un keylogger software deve riuscire a fare tre cose.

Le tre fasi (schema concettuale)

Senza entrare nel codice, ogni keylogger software deve risolvere tre problemi. Capirli serve a sapere dove cercarlo.

Fase	Cosa deve fare	Dove si difende
1. Installazione	Arrivare ed essere eseguito sul computer della vittima	Non aprire allegati/eseguibili sospetti; antivirus
2. Persistenza	Restare attivo e ripartire a ogni accensione, senza farsi notare	Controllare i programmi che partono all'avvio
3. Esfiltrazione	Portare i dati raccolti a chi lo ha installato	Monitorare le connessioni di rete anomale

1. Installazione. Il keylogger deve entrare nel computer. Di solito si nasconde dentro un allegato email, un programma «craccato», un finto aggiornamento o un file scaricato da un sito poco affidabile. L'utente lo esegue senza saperlo.

2. Persistenza. Una volta attivo, deve restarci. Per questo si aggancia ai meccanismi che il sistema operativo usa per avviare i programmi all'accensione (per esempio la cartella Esecuzione automatica o il registro di Windows) e sceglie un nome che sembri innocuo, per confondersi con i processi normali.

3. Esfiltrazione. I tasti registrati servono a poco se restano sul computer della vittima. Il keylogger deve spedirli a chi lo controlla: via email, caricandoli su un server, o — ed ecco il collegamento con la nostra vecchia esercitazione — attraverso una connessione di rete verso un altro computer.

Nella prossima lezione vediamo proprio questo: la connessione remota (come SSH) è uno strumento di amministrazione del tutto legittimo. Gli attaccanti però la sfruttano per controllare da lontano i computer infetti. Impareremo a usarla bene e a metterla in sicurezza.

Perché è una minaccia seria

• Batte molte password. Una password lunghissima non serve a niente se un keylogger la legge mentre la scrivi.
• È silenzioso. Non rallenta il PC, non apre finestre: puoi averlo per mesi senza accorgertene.
• Colpisce chiunque. Non servono grandi mezzi: esistono keylogger «pronti» venduti come software di «controllo». Sono quelli usati anche per spiare partner o familiari — ed è un reato.

Casi reali (in breve)

I keylogger compaiono spesso dentro i grandi attacchi informatici: sono uno dei «mattoni» di molti trojan bancari, che aspettano che l'utente apra il sito della banca per catturarne le credenziali. Sono anche al centro di molti casi di stalkerware, le app-spia installate di nascosto sul telefono di un'altra persona.

Attività