Можно ли обнаружить USB-джиглер и что видит системный администратор

Что такое USB-джиглер на самом деле

Донгл — обычное USB-устройство, которое представляется системе мышью, штатным HID-манипулятором, и по таймеру шлёт короткий повторяющийся сигнал движения или клика. Бывает голой флешкой в порт, бывает подставкой, которая физически шевелит реальную мышь. В любом случае нет установщика, нет фонового процесса и нет запроса прав — система просто видит, что появился ещё один манипулятор.

В этом весь приём. Агенту слежки, который сканирует процессы и установленные программы, находить нечего: джиглер никогда не становится процессом. Эта часть рекламы честна, и стоит признать её прямо, прежде чем смотреть, где она ломается.

• Без установщика и прав администратора.
• Представляется обычной мышью (HID-устройство).
• Один повторяющийся сигнал движения или клика по таймеру.

Что на самом деле значит «необнаружимый»

Слово «необнаружимый» в рекламе джиглеров делает много тихой работы. Честно оно означает лишь «не появляется в списке установленных программ» — и только это. Оно не значит, что устройства нет в аппаратных логах, и ничего не говорит о том, как выглядит движение, дойдя до трекера.

Трекер времени и средство управления устройствами смотрят на совершенно разные слои машины. Подмена «нечего сканировать в софте» на «нечего увидеть вообще» — главная ошибка, и именно на ней держится реклама.

Но железо всё равно оставляет след

Подключение USB-устройства система регистрирует — с меткой времени и тем именем, которым устройство представилось. На управляемом рабочем ноутбуке периферию, как правило, инвентаризует корпоративный софт, поэтому вторая «мышь», которая появляется каждое утро и исчезает вечером, может оказаться в списке устройств задолго до того, как кто-то посмотрит на процент активности.

Это не трекер читает ваши намерения — это обычный учёт активов. Но значит, что аппаратный путь не то чистое исчезновение, каким его продают, особенно на казённой машине, которую вы не полностью контролируете.

• События подключения и отключения USB помечены временем.
• На управляемых машинах периферию часто инвентаризуют.
• Устройство-«мышь» может выделиться и именем, и характером использования.

Выдаёт не железо, а рисунок ввода

Трекер не смотрит в USB-порт. Он пишет события ввода и активное окно, а затем оценивает увиденное. С этой точки железный джиглер даёт очень характерный отпечаток: курсор ходит по одной короткой траектории, с одним интервалом, бесконечно, без кликов и без всякой связи с тем, что на экране.

По отдельности ни один из этих признаков не приговор, но вместе они складываются ровно в ту сигнатуру, которую вендоры слежки описывают, объясняя свой детект аномалий. Ввод человека неряшлив; ввод донгла метрономичен, и выдаёт именно ровность.

• Одна траектория с одним ровным интервалом.
• Движение без единого клика.
• Нет связи с активным окном и содержимым экрана.

Что именно ищет детектор

Ряд трекеров в общих словах сообщает, что помечает «автоматизированную» или «необычную» активность. На практике это статистика по ритму ввода, а не осмотр вашего железа: слишком регулярное движение, длинные отрезки движения без единого клика и нажатия, почти одинаковые интервалы. Отчёт о необычной активности у Time Doctor и похожие функции у других инструментов стоят на этой же идее.

Отсюда важный вывод: вопрос «обнаружат ли USB-джиглер?» на деле означает «похож ли этот ввод на человека?». Донгл проваливает тест не потому, что он железный, а потому, что однообразный. Всё столь же однообразное проваливает его тоже — программные муверы в том числе.

Железо против софта — тест один

Часто думают, что программный мувер безопаснее, раз обходит список устройств, а железный донгл безопаснее, раз обходит список процессов. Обе логики мимо: какой бы слой вы ни обошли, трекер всё равно судит по форме ввода. Грубый софтовый мувер, тянущий курсор по одной линии с ровным интервалом, рисует тот же подозрительный отпечаток, что и грубый донгл.

Значит, деление не «железо против софта», а «однообразное против разного». Инструмент, который умеет лишь дёргать курсор по таймеру, будет выглядеть механически в любой упаковке.

Что не даёт такой сигнатуры

Ввод уходит от механического отпечатка, когда перестаёт быть периодичным. Это значит траектории и скорости, меняющиеся от движения к движению, настоящие паузы между действиями, а не по часам, и смесь сигналов — клавиши, прокрутка, изредка смена окна — вместо чистого дрейфа курсора. И это значит целиться в естественный средний диапазон активности, а не в ровную линию у верхнего края: непрерывные 100% — сами по себе тревожный признак.

Именно это поведение и делает Reaction, и о его потолке стоит сказать честно: разный, человекоподобный ввод может выглядеть как человек на обычном перерыве, но обещать, что конкретный трекер никогда не заметит, не может ни один инструмент — и мы не обещаем.

• Переменные кривые и скорости вместо одной петли.
• Настоящие паузы между действиями.
• Клавиши и прокрутка, а не одно движение.
• Средний диапазон, а не ровные 100%.

Где здесь Reaction

Reaction — утилита присутствия (анти-простой) для одной узкой ситуации: отрезки, когда вы отошли от клавиатуры, но сессия должна оставаться живой, — кофе, разминка, забрать детей. Он водит курсор по меняющимся кривым, держит живой ритм клавиш, изредка прокручивает и переключает окна и удерживает естественный уровень активности в заданном вами диапазоне вместо ровного максимума. Главное — включается только при реальном простое и отдаёт управление в тот же миг, когда вы касаетесь мыши.

Это последнее ограничение и есть честное: Reaction не сделает работу с низким вводом похожей на работу с высоким, пока вы реально за столом, — он уходит в сторону, как только вы там. Он лишь не даёт обычному перерыву читаться как отсутствие. Используйте в рамках ваших договорённостей и политики компании — см. оговорку ниже.