ردیابی ماوس‌جیگلرها با APIهای ویندوز و لاگ‌های USB: چرا فعالیت جعلی هرگز از دید واحد IT پنهان نمی‌ماند؟

با جهش دورکاری در سال ۲۰۲۰، بازار ابزارهایی که مانع از به خواب رفتن رایانه می‌شوند ناگهان رونقی چشمگیر یافت. کارکنانی که در پی حفظ وضعیت آنلاین در پلتفرم‌هایی چون مایکروسافت تیمز یا اسلک بودند، به ماوس‌جیگلرها روی آوردند؛ ابزارهایی که با شبیه‌سازی پیوسته ورودی کاربر، مانع از قفل‌شدن صفحه نمایش می‌شوند.

امروزه بیش از صد نمونه از این ابزارها با قیمتی کمتر از ۲۰ دلار در پلتفرم آمازون عرضه می‌شوند و تبلیغات بسیاری از آن‌ها بر غیرقابل‌ردیابی‌بودن متمرکز است. با این حال، این ادعای بازاریابی جذاب ریشه در بی‌اطلاعی از سازوکار سیستم‌های عامل مدرن در پردازش، برچسب‌گذاری و ثبت ورودی‌های سخت‌افزاری دارد.[2]

داده‌های منتشرشده از سوی کیک‌ایدلر (Kickidler) در سال ۲۰۲۶ نشان می‌دهد نزدیک به ۱۶ درصد از کارکنان به‌طور عمدی از ماوس‌جیگلر یا ابزارهای خودکارسازی مشابه برای دور زدن سامانه‌های ثبت عدم‌فعالیت استفاده می‌کنند. این گسترش فراگیر، بخش‌های فناوری اطلاعات سازمانی را بر آن داشته تا راهکارهای پیشرفته‌تری برای راستی‌آزمایی کار واقعی نیروها مستقر کنند.

واقعیت فنی نشان می‌دهد هیچ ماوس‌جیگلری از دید یک رایانه سازمانی مدیریت‌شده پنهان نمی‌ماند. مکانیسم کشف تنها متناسب با نوع ابزار تغییر می‌کند و میان فلگ‌های نرم‌افزاری API، لاگ‌های اتصال فیزیکی یا الگوهای همبستگی رفتاری جابه‌جا می‌شود.

درک دقیق لایه‌های شناسایی مستلزم نگاهی عمیق‌تر از رنگ سبز وضعیت در برنامه‌های پیام‌رسان است. این موضوع به واکاوی فنی کرنل ویندوز، استانداردهای گذرگاه عمومی سریالی (USB) و موتورهای تحلیل رفتاریِ نرم‌افزارهای پایش نیروی کار وابسته است.

لایه نرم‌افزاری و APIهای ویندوز

دسترس‌پذیرترین نوع جیگلرها برنامه‌های نرم‌افزاری یا اسکریپت‌های ساده‌ای هستند که بی‌صدا در پس‌زمینه سیستم اجرا می‌شوند. از آنجا که این روش‌ها نیاز به سخت‌افزار جانبی ندارند، کاربران به‌اشتباه گمان می‌کنند جز حرکت مکان‌نما هیچ ردپایی بر جا نمی‌گذارند و مخفی می‌مانند.

این فرضیه درست در سطح سیستم‌عامل، جایی که منشأ ورودی‌ها بادقت ثبت می‌شود، باطل می‌شود. زمانی که یک برنامه در ویندوز بخواهد مکان‌نما را تکان دهد، باید یکی از توابع رسمی واسط برنامه‌نویسی کاربردی (API) نظیر SendInput یا mouse_event را فراخوانی کند تا یک حرکت ساختگی ایجاد شود.[1]

کرنل ویندوز این فرمان شبیه‌سازی‌شده را رهگیری کرده و آن را همگام با سیگنال‌های واقعی سخت‌افزار وارد جریان ورودی سیستم می‌کند. نکته کلیدی اینجاست که سیستم‌عامل این رخداد را به‌شکلی دائمی برچسب‌گذاری می‌کند تا تمایز آن با حرکت فیزیکی ماوس آشکار بماند.[1]

مستندات رسمی مایکروسافت برای ساختار داده‌ای MSLLHOOKSTRUCT این برچسب‌گذاری را با صراحت شرح داده است. هر برنامه نظارتی مجهز به هوک سطح پایین ماوس (low-level mouse hook) می‌تواند عضو flags در این ساختار را بخواند و بلافاصله منشأ دقیق ورودی را مشخص کند.[1]

بررسی فلگ LLMHF_INJECTED که روی بیت شماره ۰ با مقدار هگزادسیمال 0x00000001 قرار دارد، به سیستم می‌گوید که رویداد حرکتی توسط یک نرم‌افزار تزریق شده است. اگر این بیت فعال باشد، قطعی است که هیچ دست فیزیکی ماوس روی میز را تکان نداده است.[1]

علاوه بر این، بررسی بیت شماره ۱ یا همان LLMHF_LOWER_IL_INJECTED نشان می‌دهد که آیا این رویداد از فرآیندی با سطح دسترسی پایین‌تر تزریق شده است یا خیر. برنامه‌های فضای کاربر امکان دور زدن یا دستکاری این فلگ‌های کرنل را ندارند؛ از این رو کشف جیگلرهای نرم‌افزاری برای سامانه‌های پایش پایانه کار بسیار ساده‌ای است.[1]

دانگل‌های سخت‌افزاری و فرآیند اتصال USB

برای بی‌اثر کردن فلگ نرم‌افزاری LLMHF_INJECTED، برخی کاربران به دانگل‌های سخت‌افزاری USB روی می‌آورند. این دانگل‌های ارزان‌قیمت مستقیماً به پورت متصل شده و با ریزکنترل‌کننده‌هایی چون ATtiny85 سیگنال‌های حرکتی ساختگی را مستقیم به مادربورد می‌فرستند.[3]

از آنجا که این تجهیزات خارج از لایه نرم‌افزاری فعالیت دارند، خود را به‌عنوان یک دستگاه ورودی استاندارد (HID) معرفی می‌کنند. سیستم‌عامل این ورودی را به‌جای حرکت واقعی می‌پذیرد و فلگ تزریق نرم‌افزاری فعال نمی‌شود؛ رویکردی که ابزارهای شناسایی صرفاً نرم‌افزاری را فریب می‌دهد.[3]

با وجود این، دانگل‌های سخت‌افزاری ردپای متمایز دیگری بر جای می‌گذارند که شناسایی آن برای تیم‌های فناوری اطلاعات بسیار آسان است: رویداد سرشماری اتصال USB (Enumeration). به‌محض ورود دانگل، سیستم ثبت می‌کند که یک سخت‌افزار جانبی تازه به سیستم متصل شده و سندی دیجیتال از آن ذخیره می‌شود.[2]

این اتصال فیزیکی بلافاصله در رجیستری ویندوز ثبت شده و رخداد Plug and Play را در ابزارهای امنیتی نظیر Microsoft Defender for Endpoint می‌آفریند. دستگاه شناسه شرکت سازنده (Vendor ID) و شناسه محصول (Product ID) خود را گزارش می‌کند؛ شناسه‌هایی که در مقایسه با فهرست تجهیزات رسمی سازمان بسیار مشکوک جلوه می‌کنند.

شرکت‌های ارائه‌دهنده امنیت سخت‌افزاری نظیر Sepio روی رهگیری همین ابزارهای متفرقه تمرکز دارند. با نظارت بر لایه سخت‌افزار، اتصال یک ماوس عمومی یا ناشناخته در کنار ماوس رسمی و شرکتی کاربر فوراً به عنوان یک ناهنجاری شناسایی می‌شود.[3]

در چارچوب‌های امنیتی مدرن مبتنی بر «اعتماد صفر» (Zero Trust)، مدیران شبکه به‌محض اتصال تجهیزات جانبی تأییدنشده به لپ‌تاپ‌های سازمانی، هشدارهای خودکار دریافت می‌کنند. دانگل سخت‌افزاری شاید فلگ نرم‌افزاری را دور بزند، اما آژیر خطر امنیتی بلندتری را در سطح شبکه به صدا درمی‌آورد.[3]

تکان‌دهنده‌های مکانیکی و تحلیل رفتاری

دسته سوم، ابزارهای مکانیکی تکان‌دهنده ماوس هستند که تلاش دارند هم فلگ‌های نرم‌افزاری و هم لاگ‌های اتصال سخت‌افزاری را دور بزنند. این دستگاه‌ها صفحاتی فیزیکی مجهز به یک دیسک چرخان برقی هستند که ماوس واقعی کاربر روی آن‌ها قرار گرفته و حسگر نوری ماوس را به نوسان وا می‌دارد.[2]

از آنجا که ورودی مستقیماً از ماوس مجاز و شرکتی خود کاربر صادر می‌شود، نه خبری از فلگ نرم‌افزاری است و نه رخداد مشکوکی در اتصال USB ثبت می‌شود. سیگنال خام در این لایه با کار واقعی انسان هیچ تفاوتی ندارد و از منظر فنی غیرقابل‌کشف به نظر می‌رسد.[2]

برای شناسایی این ابزارهای مکانیکی، سامانه‌های پایش سازمانی از لایه ورودی خام فراتر رفته و به تحلیل همبستگی رفتار تکیه می‌کنند. پلتفرم‌هایی مانند ActivTrak، Teramind و CurrentWare زمینه گسترده‌تر فعالیت‌ها را ارزیابی می‌کنند تا دریابند آیا انسانی پشت سامانه نشسته است یا خیر.

یک تکان‌دهنده مکانیکی حرکتی مستمر و طولانی را بدون هیچ‌گونه خروجی مؤثر کاری بازتولید می‌کند. نشانگر ماوس ساعت‌ها جابه‌جا می‌شود، اما پنجره فعال ویندوز تغییری نمی‌کند، هیچ کلیکی روی برنامه‌ها صورت نمی‌گیرد و صفحه‌کلید در تمام این مدت کاملاً خاموش و بی‌مصرف رها شده است.[2]

افزون بر این، الگوی فیزیکی حرکت بسیار مکانیکی و از نظر ریاضی کاملاً قابل‌پیش‌بینی است. یک جیگلر معمولاً نشانگر را با چند پیکسل محدود در بازه‌های زمانی کاملاً مساوی تکان می‌دهد؛ درحالی‌که انسان نشانگر را در مسافت‌های طولانی صدها پیکسلی با ریتمی نامنظم و به‌قصد هدف‌گیری دکمه‌ها و بخش‌های خاص حرکت می‌دهد.

یک اسکریپت ساده ۳۰ خطی به زبان پایتون می‌تواند تکان‌های متوالی کمتر از ۴ پیکسل با دوره‌های زمانی تکراری را فوراً علامت‌گذاری کند. وقتی اسکرین‌شات‌های دوره‌ای تصویر ثابتی از صفحه را طی چندین ساعت نشان می‌دهند، دیگر هیچ شکی در ماهیت جعلی فعالیت باقی نمی‌ماند.

مخاطرات امنیتی و مناقشه بر سر بهره‌وری

دغدغه مدیران فناوری اطلاعات نسبت به ماوس‌جیگلرها فراتر از شاخص‌های بازدهی کارمندان و ساعات بیکاری است. هر ابزار USB تأییدنشده می‌تواند بدافزارهایی در لباس یک ماوس بی‌خطر باشد که سازوکارهای دفاعی را دور می‌زنند.[3]

پلتفرم‌های امنیتی هر اتصال سخت‌افزاری تأییدنشده را یک معبر نفوذ برای سرقت اطلاعات یا دسترسی غیرمجاز شبکه قلمداد می‌کنند. همچنین قفل نشدن خودکار سیستم به‌دلیل حرکت ساختگی ماوس، سیاست‌های ایمنی پایه در محافظت از داده‌های حساس را بی‌اثر می‌سازد.[3]

برخورد سازمان‌ها با این تظاهر به فعالیت در سال‌های اخیر بسیار قاطعانه و خبرساز بوده است. در سال ۲۰۲۴، بانک ولز فارگو (Wells Fargo) بیش از دوازده کارمند خود را پس از کشف استفاده از شبیه‌سازهای صفحه‌کلید و ماوس برای ثبت ساعات کاری ساختگی از کار برکنار کرد.[2]

با این حال، روی آوردن گسترده به این ابزارها نقصی ساختاری را در شیوه سنجش کار در سازمان‌ها برملا می‌کند. هنگامی که کارفرمایان به‌جای سنجش خروجی واقعی، مبنای ارزیابی را زمان توقف سیستم و چراغ سبز نرم‌افزارهای چت قرار می‌دهند، کارکنان را به بازی با معیارهای نظارتی سوق می‌دهند.[2]

مسابقه تسلیحاتی فناورانه میان سازندگان ماوس‌جیگلر و توسعه‌دهندگان نرم‌افزارهای نظارتی، پیامد تمرکز غلط مدیریتی است. اگر شرکت‌ها سنجش عملکرد را بر تحویل پروژه‌ها و دستاوردهای ملموس کاری متمرکز کنند، نیاز به فریب سیستم با تکان دادن ماوس خودبه‌خود از میان خواهد رفت.[4]