TrojanSpy.Win64.KLOGEXE.THICOBD

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、イベントを作成します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Username
• Clipboard Data
• Keystrokes
• Mouse Clicks

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %AppData%\IconCache.db.bak

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.2 → legitimate APIPA IP Address

その他

スパイウェアは、以下を実行します。

• It updates the dropped file containing stolen information every 1 minute or if a new gathered information is more than 3072 bytes.
• If the dropped file's size is more than 4096 bytes, it sends its contents to the URL via POST method.
• It checks if the following file exists which is used as a configuration for URL communication:
  • %Application Data%\Microsoft\Windows\Templates\KSettings.ini

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のイベントを作成します。

• Norton_BreakHelper613