TrojanSpy.Win32.FPSPY.THICOBD

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、イベントを作成します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\Microsoft\WPSOffice\sys.dll
• %AppDataLocal%\Microsoft\WPSOffice\Klog.txt → Contains Stolen Information
• %AppDataLocal%\Microsoft\WPSOffice\Param.ini → Contains Configuration
• %AppDataLocal%\Microsoft\WPSOffice\exe.dat → Encrypted %AppDataLocal%\Microsoft\WPSOffice\dwn.dat
• %AppDataLocal%\Microsoft\WPSOffice\dwn.dat

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

• %System%\rundll32.exe %AppDataLocal%\Microsoft\WPSOffice\sys.dll, MazeFunc %1

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のフォルダを作成します。

• %AppDataLocal%\Microsoft\WPSOffice

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Office = %System%\rundll32.exe %AppData Local%\Microsoft\WPSOffice\sys.dll, MazeFunc %1

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• IP Address
• Clipboard Data
• Keystrokes
• Mouse Clicks
• Username
• Computer Name

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %AppData Local%\Microsoft\WPSOffice\Klog.txt

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}er2024.000webhostapp.com/Maze/upload.php
  

  However, as of this writing, the said site is inaccessible.

その他

スパイウェアは、以下を実行します。

• It can terminate processes by process ID found from its configuration file.

スパイウェアは、以下のイベントを作成します。

• TrojanEvent

<補足>
インストール

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\Microsoft\WPSOffice\sys.dll
• %AppDataLocal%\Microsoft\WPSOffice\Klog.txt → 収集された情報を含む
• %AppDataLocal%\Microsoft\WPSOffice\Param.ini → 設定情報を含む
• %AppDataLocal%\Microsoft\WPSOffice\exe.dat → 暗号化された 「%AppDataLocal%\Microsoft\WPSOffice\dwn.dat」ファイル
• %AppDataLocal%\Microsoft\WPSOffice\dwn.dat

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• IPアドレス
• クリップボードデータ
• キー入力操作情報
• マウスクリック
• ユーザ名
• コンピュータ名

その他

スパイウェアは、以下を実行します。

• 設定ファイルから見つかったプロセスIDによってプロセスを終了させる可能性があります。