TrojanSpy.Win64.KLOGEXE.THICOBD

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、イベントを作成します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Username
• Clipboard Data
• Keystrokes
• Mouse Clicks

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %AppData%\IconCache.db.bak

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.2 → legitimate APIPA IP Address

その他

スパイウェアは、以下を実行します。

• It updates the dropped file containing stolen information every 1 minute or if a new gathered information is more than 3072 bytes.
• If the dropped file's size is more than 4096 bytes, it sends its contents to the URL via POST method.
• It checks if the following file exists which is used as a configuration for URL communication:
  • %Application Data%\Microsoft\Windows\Templates\KSettings.ini

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のイベントを作成します。

• Norton_BreakHelper613

<補足>
情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• ユーザ名
• クリップボードのデータ
• キー入力操作情報
• マウスクリック情報

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.2 → 正規の自己割り当て（APIPA）IPアドレス

その他

スパイウェアは、以下を実行します。

• 収集された情報を含めた形で作成されたファイルは1分毎に更新されるか、新たに収集された情報が3072バイトを超える場合に更新されます。
• 作成されたファイルのサイズが4096バイトを超える場合、その内容はPOSTメソッドを介して上記のURLに送信されます。
• URL通信の構成として使用される以下のファイルが存在するかどうかを確認します。
  • %Application Data%\Microsoft\Windows\Templates\KSettings.ini