Как проверить и отключить кейлоггер Conexant на ноутбуках HP (2015–2016)

Быстрая навигация

• Почему ноутбук HP записывает клавиши
• Как проверить, активен ли кейлоггер
• Как остановить кейлоггер
• Альтернативные варианты и рекомендации для администраторов

Почему ноутбук HP записывает клавиши

Исходная проблема — отладочный код в аудиодрайвере от Conexant. Этот код слушает медиаклавиши и либо сохраняет события в файл MicTray.log, либо отправляет их в отладочный вывод Windows через API OutputDebugString. HP заявляет, что не имеет доступа к этим данным; похоже, что код не передаёт логи на серверы производителя — но это не делает ситуацию безопасной. Логи с нажатиями клавиш на диске или в резервных копиях — привлекательная цель для злоумышленников и риск утечки паролей и личной информации.

Определение: кейлоггер — программа, фиксирующая нажатия клавиш. В данном случае это не умышленный вредоносный компонент, а оставшийся отладочный код в драйвере.

Важно: сам по себе отладочный вывод Windows может быть прочитан любым приложением в рамках текущего пользователя — это делает ситуацию потенциально опасной даже если MicTray.log пуст.

Как проверить, активен ли кейлоггер

На многих пострадавших ноутбуках файл находится по пути:

C:\Users\Public\MicTray.log

1. Откройте Проводник и перейдите в папку C:\Users\Public.
2. Если есть файл MicTray.log — дважды кликните, чтобы просмотреть содержимое.

Если вы видите в нём записи с информацией о нажатиях клавиш, значит у вас установлен проблемный драйвер. Удалите этот файл и удалите его из любых резервных копий, где он может храниться.

Даже при отсутствии файла MicTray.log драйвер мог раньше записывать данные в файл до автоматического обновления. Проверьте архивы и резервные копии системы и удалите MicTray.log оттуда, если он присутствует.

На некоторых ноутбуках MicTray.log был пуст (0 KB), но драйвер продолжает печатать каждый скан-код клавиши через API отладки. Чтобы проверить это, выполните следующие шаги:

1. Скачайте и запустите утилиту DebugView от Microsoft. Это официальная программа для просмотра отладочных сообщений в реальном времени.
2. В окне DebugView нажмите несколько клавиш на клавиатуре и наблюдайте за выводом.

Если драйвер Conexant печатает нажатия клавиш, вы увидите строки вида «Mic target» с кодами скан-кодов. Каждая строка указывает на конкретную клавишу; при последовательном чтении такие записи можно декодировать.

Если MicTray.log отсутствует и в DebugView нет строк «Mic target», значит проблемный драйвер у вас не установлен или обновлён — поздравляем.

Как остановить кейлоггер

Если MicTray.log содержит данные или вы видите «Mic target» в DebugView, нужно отключить проблемный компонент. Есть два варианта: обновить драйвер официально через Центр обновления Windows или удалить/переименовать исполняемый файл MicTray.

Обновление через Windows Update (рекомендуется):

• Исправления для ноутбуков 2016 года появились в Центре обновления Windows 11 мая, для ноутбуков 2015 года — 12 мая. Откройте Параметры > Обновление и безопасность > Центр обновления Windows и установите все доступные обновления.

Важно: если обновление ещё не доступно для вашей модели, используйте метод удаления файла.

Ручное удаление MicTray (быстрая временная мера):

1. Откройте Диспетчер задач: правый клик по панели задач → Диспетчер задач.
2. Нажмите «Подробнее», перейдите на вкладку «Подробности».
3. Найдите MicTray64.exe или MicTray.exe, правый клик → Завершить задачу.

4. Найдите исполняемый файл на диске и удалите его. Возможные местоположения:

C:\Windows\system32\MicTray.exe

C:\Windows\system32\MicTray64.exe

или

C:\Program Files\CONEXANT\MicTray\MicTray64.exe

(на некоторых системах путь отличался — проверьте указанные места).

Совет: вместо удаления можно временно переименовать файл, например в MicTray.tmp — это проще отменить и безопаснее при сомнениях. Учтите: удаление/переименование отключит часть функциональности медиаклавиш.

Когда Microsoft/HP выпустят исправленный драйвер, он заменит MicTray на безопасную версию и вернёт работу медиаклавиш.

Что делать после удаления/обновления

• Перезагрузите систему.
• Проверьте отсутствие файла C:\Users\Public\MicTray.log.
• Запустите DebugView и убедитесь, что строки «Mic target» больше не появляются.
• Проведите антивирусную проверку и проверьте резервные копии; удалите все найденные MicTray.log в архивах.

Критерии приёмки

• MicTray.log отсутствует в C:\Users\Public и в резервных копиях.
• DebugView не показывает «Mic target» при нажатии клавиш.
• Медиаклавиши работают корректно после официального обновления (не после ручного удаления).

Альтернативные подходы и дополнительные меры

• Ограничение доступа к отладочному выводу: у обычного пользователя нет простого безопасного способа перекрыть OutputDebugString для других процессов. Для корпоративных ПК администраторы могут применять политические и инструментальные средства мониторинга и контроля процессов.
• Блокировка MicTray с помощью политики или Endpoint Protection: в средах с управлением конфигурацией можно запретить запуск MicTray через белые списки приложений (AppLocker, Defender Application Control).
• Восстановление из образа: если вы не уверены в целостности системы, восстановите ОС из доверенного образа или переустановите Windows с сохранением важных данных.

Когда эти меры не спасут

• Если вредоносный код уже получил доступ к логам и отправил их на внешний сервер, локальное удаление MicTray не устранит утечку. В этом случае проведите анализ инцидента и при необходимости смените пароли и ключи.
• Если резервные копии содержат MicTray.log, информация остаётся в них до удаления — убедитесь, что вы удалили все архивы и образы с этим файлом.

Рекомендации для разных ролей

Администратор системы:

• Проверить список моделей и дат установки обновлений для всех ноутбуков HP в парке.
• Централизованно обновить драйверы через WSUS/SCCM или аналог.
• Выполнить поиск и удаление MicTray.log в сетевых резервных копиях.
• Установить правило мониторинга появления MicTray и подозрительных отладочных сообщений.

Обычный пользователь:

• Проверить C:\Users\Public\MicTray.log, открыть и удалить файл, если в нём есть записи.
• Скачать DebugView и проверить наличие «Mic target». Если видите — завершите MicTray в Диспетчере задач и переименуйте/удалите исполняемый файл.
• Применить все доступные обновления Windows и перезагрузить ПК.

ИТ‑безопасник:

• Проанализировать логи SIEM на предмет процессов, читающих отладочный вывод.
• Провести поиск следов экспфильтрации (исходящие соединения, подозрительные процессы).

Мини‑методология проверки и восстановления (шаги)

1. Инвентаризация: собрать список моделей HP 2015–2016 в вашей среде.
2. Сканирование: найти на компьютерах MicTray.log и файлы MicTray*.exe.
3. Подтверждение: запустить DebugView и проверить отладочные записи.
4. Митигирование: завершить процесс MicTray и переименовать/удалить исполняемый файл.
5. Обновление: через Центр обновления Windows установить официальное исправление.
6. Очистка резервных копий: удалить MicTray.log из архивов и образов.
7. Верификация: пройти критерии приёмки, мониторить систему.

Факт‑бокс

• Затронутые модели: ноутбуки HP, выпущенные в 2015–2016 годах (варианты зависят от модели и установленного драйвера).
• Типы логов: локальный файл C:\Users\Public\MicTray.log и отладочный вывод через OutputDebugString.
• Видимое поведение: строки «Mic target» в отладчике DebugView.
• Доступное исправление: через Центр обновления Windows (обновления появились 11 и 12 мая для разных серий).

Тесты и критерии приёмки

• Тест 1: Набрать пароль в текстовом редакторе; в DebugView не появляется «Mic target». Ожидаемый результат: отсутствует отладочный вывод.
• Тест 2: Проверить C:\Users\Public после перезагрузки. Ожидаемый результат: MicTray.log отсутствует.
• Тест 3: Проверить резервные копии. Ожидаемый результат: в архивах нет MicTray.log.

Риски и побочные эффекты

• Удаление MicTray временно отключит некоторые медиаклавиши.
• Если удалить файл без проверки резервных копий, предыдущие записи останутся в архивах.
• При самостоятельном модифицировании системных файлов учитывайте возможность отката в случае ошибок.

Резюме

Проблема — отладочный код в драйвере Conexant — требует простых действий: проверьте C:\Users\Public\MicTray.log и DebugView, завершите процесс MicTray и удалите/переименуйте исполняемый файл или дождитесь официального обновления через Центр обновления Windows. Дополнительно очистите резервные копии и выполните сканирование системы.

Photo Credit: Amanz Network /Flickr