HP Conexant: как найти и удалить кейлоггер

HP-Keylogger-Featured

Драйвер Conexant на ряде ноутбуков HP иногда записывал все нажатия клавиш в незашифрованный файл MicTray.log, доступный из папки Public. Проверьте наличие драйвера и файла, установите обновления через Windows Update или HP Support Assistant, а также просканируйте бэкапы и систему антивирусом.

Важно: запись велась локально и не отправлялась автоматически по сети, но файл мог попасть в ваши резервные копии или попасть в руки человека с физическим доступом к компьютеру.

В чем проблема: драйвер Conexant

Проблема связана с аудиодрайвером Conexant, который в некоторых сборках для ноутбуков HP содержал функцию логирования нажатий клавиш. Драйвер создавал и обновлял текстовый файл с журналом нажатий в незашифрованном виде — обычно это файл C:\Users\Public\MicTray.log.

Сообщалось, что этот код появился в сборках драйвера примерно с декабря 2015 года и попадал в поставляемые с некоторыми моделями HP образы. Задача разработчиков была диагностическая: проверить, реагируют ли определённые сочетания клавиш на функции мультимедиа, но диагностический код по ошибке попал в релизную сборку.

Как это работало технически:

Драйвер отслеживал события клавиатуры, относящиеся к мультимедийным/аудио сочетаниям, и записывал их в текстовый лог.
Файл лога находился в открытой для чтения папке Public, поэтому любой пользователь с доступом к машине мог его просмотреть.
Лог очищался при перезагрузке, но старые копии могли сохраняться в резервных копиях и восстановительных образах.

Это ещё один Superfish?

Нет, ситуация менее масштабная по характеру риска. Superfish вмешивался в HTTPS-трафик и мог перехватывать защищённые соединения, что повлекло утечку конфиденциальных данных онлайн. Conexant в этой истории не отправлял лог автоматически никуда — данные оставались локально. Однако последствия всё равно серьёзны: любой, кто найдёт файл MicTray.log, увидит введённые пароли, номера карт и другие личные данные.

Ключевое отличие:

Superfish подменял сетевые соединения и компрометировал шифрование.
Конексант записывал локальный журнал вводимых символов, не передавая их по сети.

Проверка: затронута ли ваша система

Шаги, которые стоит выполнить прямо сейчас:

Проверьте драйверы
- Откройте Меню «Пуск», введите Диспетчер устройств (Device Manager) и запустите утилиту.
- Разверните раздел Аудиовходы и аудиовыходы (Audio Inputs and Outputs) или похожую категорию.
- Ищите элементы с именем Conexant или Conexant Audio. Если такой драйвер установлен — продолжайте проверку.
Проверьте наличие файла лога
- Откройте Проводник (File Explorer) и перейдите в C:\Users\Public.
- Ищите файл MicTray.log.
- Если файл есть — приоритетное действие: сделать копию (в безопасное, локальное, офлайн-место) и затем удалить исходный файл. Перед удалением убедитесь, что у вас есть права администратора.
Проверьте исполняемый файл драйвера
- Найдите C:\Windows\System32\MicTray.exe (32‑бит) или C:\Windows\System32\MicTray64.exe (64‑бит).
- Если он присутствует и датируется временем установки драйвера — значит модуль активен.

Примечание: отсутствие файла MicTray.log — хороший знак, но не абсолютная гарантия безопасности. Лог мог быть удалён вручную или скрытными методами, а также копии могли попасть в бэкап.

Как исправить проблему

HP выпустила обновления драйвера, которые удаляют функциональность логирования и удаляют сам файл лога. Рекомендуемые действия:

Установите обновления через Windows Update
- Откройте Меню «Пуск», введите Windows Update и нажмите Проверить обновления (Check for Updates).
- Установите все критические и рекомендуемые обновления, связанные с аудиодрайвером.
Обновите через HP Support Assistant
- Установите и запустите HP Support Assistant, если он ещё не установлен. Он автоматически найдет и применит обновления для аудио- и сетевых драйверов.
Если автоматические обновления недоступны
- Перейдите на страницу поддержки HP, найдите модель вашего ПК и вручную скачайте обновлённый драйвер Conexant.
Временное исправление (если вы не можете обновиться сразу)
- Переименуйте или удалите C:\Windows\System32\MicTray.exe или MicTray64.exe. Это отключит функцию, но может нарушить работу мультимедийных клавиш.
- После переименования перезагрузите систему и проверьте, исчез ли файл MicTray.log.
Очистите резервные копии
- Проверьте историю бэкапов в используемом ПО резервного копирования (локальные бэкапы, сетевые тома, облачные копии) на предмет старых копий MicTray.log и удалите их.
Просканируйте систему антивирусом
- Выполните полное сканирование штатным антивирусом и дополнительно запустите проверку с Malwarebytes Free.

После применения обновлений и удаления файла сделайте контрольную проверку: обновлённый драйвер должен больше не создавать MicTray.log, а исполняемый файл MicTray.exe/MicTray64.exe либо отсутствовать, либо быть обновлённой безопасной версией.

План действий — пошаговый плейбук для пользователя

Чек‑лист для немедленного выполнения:

Проверить наличие драйвера Conexant в Диспетчере устройств.
Найти и сохранить копию MicTray.log (если нужно для анализа), затем удалить оригинал.
Установить все обновления Windows Update.
Установить/запустить HP Support Assistant и обновить драйверы.
Проверить и очистить резервные копии от старых MicTray.log.
Просканировать систему антивирусом и Malwarebytes.
Если нужно, переименовать MicTray.exe/MicTray64.exe как временную меру.

Рольовая разбивка (если вы работаете в организации):

Пользователь: сообщает о наличии файла и выполняет пункты чек-листа.
IT‑администратор: развертывает обновления централизованно, проверяет сетевые бэкапы и аудит логов доступа.
Безопасность/инцидент‑респонс: анализирует содержимое MicTray.log при наличии компрометации и оценивает масштабы утечки.

Когда это не поможет и альтернативные сценарии

Контрпримеры и случаи, когда простое удаление файла недостаточно:

Если злоумышленник получил удалённый доступ и скопировал MicTray.log до удаления — нужен инцидент‑ответ и смена паролей.
Если ваша система уже заражена другим вредоносным ПО (кейлоггеры, RAT), обновление Conexant проблему не решит — требуется полное сканирование и, возможно, переустановка ОС.
Если MicTray.log попал в облачные бэкапы (OneDrive, Google Drive и т. п.), удаление локального файла не уберёт копии в облаке.

Альтернативные подходы к повышению безопасности:

Включите шифрование диска (BitLocker) и используйте сложные пароли учётных записей.
Ограничьте физический доступ к ноутбуку и храните резервные копии в зашифрованных контейнерах.
Внедрите политику автоматических обновлений драйверов и периодический аудит установленных пакетов ПО.

Как защититься от кейлоггеров в будущем

Практические меры и эвристики:

Используйте проверенное антивирусное ПО и периодически запускайте сканер второго уровня (Malwarebytes).
Включите шифрование диска и не оставляйте учётные записи с правами администратора без защиты паролем.
Регулярно проверяйте список установленных драйверов и подписей драйверов: неподписанные или нестандартные драйверы требуют внимания.
Настройте политику резервного копирования: исключайте системные временные и публичные папки из автоматических бэкапов или храните бэкапы в зашифрованном виде.

Краткая эвристика для непрофессионалов: если драйвер выполняет операции, не связанные напрямую с его ролью (например, аудиодрайвер, который пишет журналы клавиатуры), это тревожный сигнал.

Критерии приёмки

После исправления убедитесь, что:

В Диспетчере устройств установлена обновлённая версия драйвера Conexant (если драйвер нужен).
Файла C:\Users\Public\MicTray.log больше нет в текущей системе и старых бэкапах.
Автоматические сканирования антивируса не выявляют подозрительных модулей.
Мультимедийные клавиши работают корректно (если это критично) или документированы все изменения.

Краткий глоссарий

Кейлоггер — программа или модуль, фиксирующий нажатия клавиш.
MicTray.log — файл журнала, созданный проблемным драйвером Conexant.
Conexant — производитель аудиодрайверов, чья версия драйвера содержала логирование.

Риски и рекомендации

Риски:

Локальная утечка конфиденциальных данных (пароли, номера карт).
Попадание логов в резервные копии и облачные хранилища.
Возможная эксплуатация физического доступа к машине.

Рекомендации по снижению рисков:

Немедленное обновление драйверов и удаление логов.
Пересмотр политики резервного копирования и исключение публичных папок.
Включение шифрования и двухфакторной аутентификации для важных сервисов.

Быстрое резюме

Драйвер Conexant на некоторых ноутбуках HP записывал нажатия клавиш в файл MicTray.log, расположенный в папке C:\Users\Public. Проблема решается установкой обновлённого драйвера через Windows Update или HP Support Assistant, а также очисткой резервных копий и сканированием системы антивирусом.

Если вы обнаружили MicTray.log — сохраните доказательства, удалите локальные и резервные копии, обновите драйвер и просканируйте систему. При признаках компрометации смените пароли и рассмотрите полный аудит системы.

Вы владели ноутбуком HP с таким кейлоггером? Поделитесь, удалили ли вы MicTray.log и как быстро это получилось.

Image Credit: Sviat Studio via Shutterstock.com