TrojanSpy.Win64.KLOGEXE.THICOBD

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

它在受感染计算机上收集特定信息。 它记录用户的按键，窃取信息。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

信息窃取

它在受感染计算机上收集以下信息：

• Username
• Clipboard Data
• Keystrokes
• Mouse Clicks

它记录用户的按键，窃取信息。

窃取信息

它将窃取的信息保存在下列文件中：

• %AppData%\IconCache.db.bak

它通过 HTTP POST 将收集的信息发送到下列 URL：

• {BLOCKED}.{BLOCKED}.{BLOCKED}.2 → legitimate APIPA IP Address

其他详细信息

该程序执行以下操作：

• It updates the dropped file containing stolen information every 1 minute or if a new gathered information is more than 3072 bytes.
• If the dropped file's size is more than 4096 bytes, it sends its contents to the URL via POST method.
• It checks if the following file exists which is used as a configuration for URL communication:
  • %Application Data%\Microsoft\Windows\Templates\KSettings.ini

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)