Los keyloggers son esas aplicaciones —habitualmente maliciosas— que se encargan de espiar lo que tecleamos en nuestro ordenador o dispositivo móvil. El concepto viene de lejos, y los espías rusos ya usaban mecanismos similares en máquinas de escribir durante la guerra fría. Las cosas han cambiado mucho, y ahora ya ni se necesita instalar un malware en el equipo o dispositivo de la víctima: solo se necesita escuchar el sonido de las teclas.
Ataques acústicos. Un grupo de investigadores han publicado un estudio en el que aseguran aplicar los últimos avances en aprendizaje profundo y combinarlos con la "ubicuidad de los micrófonos y el incremento de servicios online". El resultado es inquietante: espiar lo que tecleamos. Este tipo de ataques, llamados Acoustic Side Channel Attacks (ASCA) ya eran conocidos, pero ahora se han perfeccionado de forma insólita.
Grabar el sonido de los teclados. El primer paso del ataque es registrar y grabar el sonido de la pulsación de las teclas en el teclado de la víctima. Para ello basta colocar un micrófono cerca de ese teclado o incluso aprovechar el móvil de la víctima, que puede estar situado cerca del teclado y que eso sí, debe tener previamente instalado algún malware que dé acceso al atacante al micrófono. Hay una tercera vía aún más llamativa.
Cuidado con tus videollamadas de Zoom. Como indicaban los investigadores, las pulsaciones del teclado también se pueden registrar a través de una llamada o videollamada de Zoom. El participante infiltrado puede hacer correlaciones entre los mensajes que se teclean y cómo suena el teclado de esos usuarios al introducirlos.
Los espectrogramas generados al grabar los sonidos procedentes del teclado permiten acabar identificando cada pulsación. Fuente: arXiv
Espectrogramas al poder. En sus pruebas los investigadores recolectaron el sonido de 36 teclas pulsadas 25 veces cada una en un MacBook Pro actual. Grabaron el sonido producido en cada pulsación y a partir de ahí obtuvieron formas de onda y espectrogramas que permitían visualizar diferencias identificables entre las distintas teclas. Luego aplicaron ciertos métodos para que esas señales se pudieran usar para identificar la tecla pulsada.
Entrenando el modelo. Esas imágenes del espectrograma se utilizaron para entrenar un clasificador de imágenes al que llamaron CoANet. Tuvieron que realizar varios experimentos con la tasa de aprendizaje y la división de los datos hasta que lograron la mejor precisión.
Una precisión del 95%. Tras el entrenamiento, el clasificador CoAtNet logró , en llamadas con Zoom, una precisión del 95% a la hora de capturar esas pulsaciones del teclado e identificarlas. Si se usaba el micrófono del smartphone, la precisión bajaba ligeramente, pero seguía siendo altísima, del 93%. Con llamadas de Skype la precisión era algo inferior: 91,7%.
Cómo evitar estos ataques. Como señalan en Bleeping Computer, protegerse de estos ataques es factible. Para ello es posible usar aplicaciones que reproducen sonido de teclas al pulsarlas, o que puedan generar ruido blanco. Lo que se recomienda especialmente es utilizar sistemas de autenticación biométrica y gestores de contraseñas para evitar tener que introducir contraseñas de forma manual y que este tipo de sistemas no nos las roben.
En Xataka | Llevo años usando un gestor de contraseñas y ahora no puedo vivir sin él (literalmente)
Ver 6 comentarios