Вредоносная программа, предназначенная для ведение электронного шпионажа за пользователем (вводимая с клавиатуры информация, снимки экрана, список активных приложений и т.д.). Найденная информация передается злоумышленнику.

Для передачи данных «хозяину» могут быть использованы электронная почта, FTP, HTTP (посредством указания данных в запросе) и другие способы.

Например:

Trojan-Spy.Win32.KeyLogger.be — Троянская программа-шпион. Предназначена для кражи различной конфиденциальной информации. Перехватывает ввод символов с клавиатуры и мыши. Является приложением Windows (PE EXE-файл). Имеет размер 81408 байт.

Библиотека wdll.dll содержит функции, которые устанавливают перехватчики событий от мыши и клавиатуры с помощью функции SetWindowsHookEx. С помощью установленных перехватчиков библиотека отсылает информацию о нажатиях на клавиши и событиях мыши окну с именем класса «TKeyForm» в сообщениях:

- 0x402 – параметры события мыши
- 0x401 – параметры события клавиатуры

Окно класса «TKeyForm» принадлежит приложению %WinDir%\W98SYS.EXE, которое принимает передаваемую от библиотеки информацию, сохраняет ее в своей памяти и периодически отправляет на электронную почту злоумышленника, используя в качестве сервера исходящей почты smtp.mail.ru.