Instalar keylogger remotamente pelo meterpreter

Olá! Neste post vamos ver mais uma função do Meterpreter, dessa vez vamos ver como capturar o que o alvo digitar.

Antes de mais nada você precisa ter uma sessão aberta com o alvo, temos dois exemplos de como conseguir isso aqui e aqui.

Assim que conseguirmos uma sessão com o alvo, vamos usar 3 comandos, o keyscan_start, o keyscan_dump e o keyscan_stop.

As funções dos comandos são bem óbvias por seus nomes, mas se você ainda não pegou, o start inicia, o dump mostra os resultados na tela e o stop para.

O uso é bem simples, você usa o start para iniciar a captura, o dump para mostrar o que você capturou e o stop para parar quando quiser parar. A única coisa que temos que tomar cuidado é que precisamos estar no mesmo usuário que está logado e sendo usado no alvo, e mais um detalhezinho do keyscan_dump. A informação do que é digitado fica armazenado em memória então não vai adiantar você iniciar de manhã e fazer o dump a noite, você vai pegar apenas as últimas coisas que foi digitado, sempre fique acompanhando.

Vamos a um exemplo, já com o meterpreter aberto vou iniciar a captura com o keyscan_start e alguns minutos depois vou fazer o dump para ver o que eu pego:

Podemos ver que o alvo entrou no facebook. Temos o que ele digitou tanto no endereço quanto nos campos de email e senha, nenhum SSL vai salvá-lo nesse caso.

Uma dica, se você não estiver recebendo nada, provavelmente seu meterpreter não está no usuário atual. Você pode usar o comando getuid para ver em qual usuário você está, o comando ps para listar todos os processos rodando no alvo e o comando migrate pid para migrar para o processo explorer.exe do alvo. Lembre-se no comando migrate pid, o pid é um valor numérico de cada processo, que você encontrou com o comando ps.

E era isso! Simples assim! :)

Bons estudos!