摩洛哥为最早的据点，体系初始化时刻可追溯到2013年9月19日，但其真实投入使用布置C&C环境为2014年4月，估测进犯者在这段时刻内进行准备工作。 随后开端活泼了近4个月，然后蛰伏，本年3月开端频频活泼。 这次挂马点比较荫蔽，通过重复查看后承认是运用论坛的缝隙刺进了挂马页面。 该缝隙是Discuz论坛针对ed2k协议解析时的一个XSS缝隙[2]，在解析进程论坛会主动对e2dk链接中的文件巨细进行辨认并直接输出，而且未进行过滤，导致呈现了一个存储型XSS。 进犯者运用该缝隙刺进了歹意js脚本代码，调用document.write函数向页面中刺进挂马iframe页面和歹意js脚本。 2、用ashx页面已文本方式显现web.Config的内容 得到数据库衔接，

如果在这些途径下存在这些文件就阐明你的电脑现已被Keydnap恶意程序所感染了。