TrojanSpy.Win32.FPSPY.THICOBD

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

它在受感染计算机上收集特定信息。 它记录用户的按键，窃取信息。

新病毒详细信息

它以文件的形式出现在系统中，可能是其他恶意软件投放的，或者是用户在访问恶意网站时无意中下载的。

安装

它植入下列文件：

• %AppDataLocal%\Microsoft\WPSOffice\sys.dll
• %AppDataLocal%\Microsoft\WPSOffice\Klog.txt → Contains Stolen Information
• %AppDataLocal%\Microsoft\WPSOffice\Param.ini → Contains Configuration
• %AppDataLocal%\Microsoft\WPSOffice\exe.dat → Encrypted %AppDataLocal%\Microsoft\WPSOffice\dwn.dat
• %AppDataLocal%\Microsoft\WPSOffice\dwn.dat

它添加下列进程：

• %System%\rundll32.exe %AppDataLocal%\Microsoft\WPSOffice\sys.dll, MazeFunc %1

它创建下列文件夹：

• %AppDataLocal%\Microsoft\WPSOffice

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Office = %System%\rundll32.exe %AppData Local%\Microsoft\WPSOffice\sys.dll, MazeFunc %1

信息窃取

它在受感染计算机上收集以下信息：

• IP Address
• Clipboard Data
• Keystrokes
• Mouse Clicks
• Username
• Computer Name

它记录用户的按键，窃取信息。

窃取信息

它将窃取的信息保存在下列文件中：

• %AppData Local%\Microsoft\WPSOffice\Klog.txt

它通过 HTTP POST 将收集的信息发送到下列 URL：

• {BLOCKED}er2024.000webhostapp.com/Maze/upload.php
  

  However, as of this writing, the said site is inaccessible.

其他详细信息

该程序执行以下操作：

• It can terminate processes by process ID found from its configuration file.