TrojanSpy.Win64.KLOGEXE.THICOBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Sammelt bestimmte Informationen auf dem betroffenen Computer. Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Datendiebstahl

Sammelt die folgenden Informationen auf dem betroffenen Computer:

• Username
• Clipboard Data
• Keystrokes
• Mouse Clicks

Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.

Entwendete Daten

Speichert die entwendeten Informationen in der folgenden Datei:

• %AppData%\IconCache.db.bak

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• {BLOCKED}.{BLOCKED}.{BLOCKED}.2 → legitimate APIPA IP Address

Andere Details

Es macht Folgendes:

• It updates the dropped file containing stolen information every 1 minute or if a new gathered information is more than 3072 bytes.
• If the dropped file's size is more than 4096 bytes, it sends its contents to the URL via POST method.
• It checks if the following file exists which is used as a configuration for URL communication:
  • %Application Data%\Microsoft\Windows\Templates\KSettings.ini

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)