麻辣香鍋病毒：常見于激活工具或破解軟件攜帶惡性病毒，會(huì)篡改/劫持用戶瀏覽器主頁，運(yùn)行之后會(huì)將病毒文件釋放到Mlxg_km目錄下面所以命名為【麻辣香鍋】。
1、現(xiàn)象與要求
病毒運(yùn)行特征：
運(yùn)行激活工具首頁被劫持
1)通信du.testjj.com惡意域名。
2)消除瀏覽器劫持情況，恢復(fù)正常主頁
2、處置方法
2.1、病毒釋放目錄
使用命令fltmc（查看篩選器）、sc（刪除服務(wù)）
惡意程序目錄：C:\Users\admin\AppData\Local\Temp（有一個(gè)xiaoma.exe，還有一個(gè)R服 務(wù)對(duì)應(yīng)的exe）
惡意驅(qū)動(dòng)目錄：C:\Windows\System32\drivers（四個(gè)隨機(jī)名驅(qū)動(dòng)） 惡意程序目錄：C:\Users\admin\AppData\Local\Microsoft\Event Viewer(有四個(gè)exe需要?jiǎng)h 除）
此處我們用工具來一個(gè)個(gè)看一下：
根據(jù)已知的R服務(wù)定位惡意程序。然后確定JXX.exe文件，創(chuàng)建時(shí)間為2022年3月26日19:08分左右
這幾個(gè)不刪，再開瀏覽器都會(huì)拉起sys
2.2 清除過程
1、使用fltmc命令查看異常篩選項(xiàng)，可發(fā)現(xiàn)兩個(gè)高度十分異常的篩選器。
2、使用pchunter查看內(nèi)核回調(diào)，根據(jù)異常的篩選器，刪除異常回調(diào)。（類型為：Cmpcallback，此處截圖紅框打的有些許錯(cuò)誤。）
3、使用Process Hacker找到麻辣香鍋病毒釋放的一個(gè)服務(wù)：R，使用ProcessHacker進(jìn)行確認(rèn)進(jìn)程位置，進(jìn)行刪除，刪除命令如下：
sc query R //搜索服務(wù)是否存在
sc stop R //停止服務(wù)
sc delete R //刪除服務(wù)
4、在C:\Windows\System32\drivers目錄找到對(duì)應(yīng)的驅(qū)動(dòng)，使用sc命令搜索、刪除驅(qū)動(dòng)對(duì)應(yīng)創(chuàng)建的服務(wù)等
5、刪除異常驅(qū)動(dòng)對(duì)應(yīng)的服務(wù)
sc query R //搜索服務(wù)是否存在
sc stop R //停止服務(wù)
sc delete R //刪除服務(wù)
6、刪除對(duì)應(yīng)驅(qū)動(dòng)文件
7、在C:\Users\admin\AppData\Local\Microsoft\Event Viewer里刪除四個(gè)文件
文章來源：http://www.zghlxwxcb.cn/news/detail-490126.html
綜上，整體思路為：文章來源地址http://www.zghlxwxcb.cn/news/detail-490126.html
- 確定異常sys【使用部分軟件可以看到“Windows Commad/Windows命令處理程序”的描述】
- 刪除惡意篩選器的回調(diào)
- 刪除惡意篩選器
- 刪除R服務(wù)和對(duì)應(yīng)的程序
- 刪除惡意驅(qū)動(dòng)的服務(wù)和惡意驅(qū)動(dòng)本身
- 刪除Event Viewer里的文件
到了這里，關(guān)于麻辣香鍋病毒手殺思路的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
