TrojanSpy.Win32.FPSPY.THICOBD

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

它在受感染计算机上收集特定信息。 它记录用(yòng)户的按键，窃取信息。

新(xīn)病毒详细信息

它以文(wén)件的形式出现在系统中(zhōng)，可(kě)能(néng)是其他(tā)恶意软件投放的，或者是用(yòng)户在访问恶意网站时无意中(zhōng)下载的。

安(ān)装(zhuāng)

它植入下列文(wén)件：

• %AppDataLocal%\Microsoft\WPSOffice\sys.dll
• %AppDataLocal%\Microsoft\WPSOffice\Klog.txt → Contains Stolen Information
• %AppDataLocal%\Microsoft\WPSOffice\Param.ini → Contains Configuration
• %AppDataLocal%\Microsoft\WPSOffice\exe.dat → Encrypted %AppDataLocal%\Microsoft\WPSOffice\dwn.dat
• %AppDataLocal%\Microsoft\WPSOffice\dwn.dat

它添加下列进程：

• %System%\rundll32.exe %AppDataLocal%\Microsoft\WPSOffice\sys.dll, MazeFunc %1

它创建下列文(wén)件夹：

• %AppDataLocal%\Microsoft\WPSOffice

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Office = %System%\rundll32.exe %AppData Local%\Microsoft\WPSOffice\sys.dll, MazeFunc %1

信息窃取

它在受感染计算机上收集以下信息：

• IP Address
• Clipboard Data
• Keystrokes
• Mouse Clicks
• Username
• Computer Name

它记录用(yòng)户的按键，窃取信息。

窃取信息

它将窃取的信息保存在下列文(wén)件中(zhōng)：

• %AppData Local%\Microsoft\WPSOffice\Klog.txt

它通过 HTTP POST 将收集的信息发送到下列 URL：

• {BLOCKED}er2024.000webhostapp.com/Maze/upload.php
  

  However, as of this writing, the said site is inaccessible.

其他(tā)详细信息

该程序执行以下操作(zuò)：

• It can terminate processes by process ID found from its configuration file.