[系统运维]麻辣香锅（Spicy Hot Pot）浏览器劫持病毒应急方法

一、病毒分析

Spicy Hot Pot浏览器劫持病毒（麻辣香锅病毒）从2020年初被安全公司监测到，因其病毒模块带有MLXG_KM被安全行业代称麻辣香锅病毒。

麻辣香锅病毒通过各种激活工具传播， 包括暴风激活、小马激活和KMS激活等诸多工具，疑似已与下载站进行合作推广此类激活工具。

行为规律

1. wrme.exe模块启动执行模块wuhost.exe和wdlogin.exe。同时会收集终端用户的MAC地址,CPU, GPU, 系统版本，安装的杀软等信息，加密发送到C&C服务器（du.testjj.com:8083）。
2. 驱动保护模块对抗杀软的查杀。该模块会添加文件过滤来阻止对自身组件模块的访问、修改和删除操作。同时也会阻止360和腾讯电脑管家云查杀模块的加载。
3. 劫持浏览器首页，删除安全软件相关的进程回调、阻止浏览器加载首页相关的动态库。
4. 向服务器发送心跳包，它会先将自身复制到同目录下，将其注册为服务后自删除。
5. 寻找C:\Windows\minidump目录下的以dmp结尾的dump文

了解本专栏 订阅专栏 解锁全文 超级会员免费看 赠3个月