麻辣香锅病毒分析

 

一、简介

Spicy Hot Pot浏览器劫持病毒（麻辣香锅病毒）从2020年初被安全公司监测到，因其病毒模块带有MLXG_KM被安全行业代称麻辣香锅病毒。目前通过各种激活工具传播， 包括暴风激活、小马激活和KMS激活等诸多工具，疑似与下载站进行合作推广此类激活工具。

Spicy Hot Pot 是一个浏览器劫持 Rootkit，它会将用户的主页更改为指向恶意软件操作员控制的页面，此外还会将内存转储从机器上传到预定义的服务器，并结合本地更新功能以确保其保持更新。通常浏览器劫持者会通过更改用户主页的恶意可执行文件或注册表项来执行此操作；然而，Spicy Hot Pot 通过使用两个内核模式驱动程序更进一步。

这些内核驱动程序具有许多功能，例如通过拦截其回调函数来阻止安全软件，从特定目录收集系统上创建的任何内存转储，以及使恶意软件操作员能够在他们认为合适的情况下更新恶意软件。此外，其中一个内核驱动程序充当微过滤器，使其能够拦截和修改任何用户输入或输出请求，如拦截用户显示恶意文件的任何尝试，从而有效地使它们不可见。

二、行为分析

（1）样本hash