Spicy Hot Pot浏览器劫持病毒（麻辣香锅病毒）从2020年初被安全公司监测到，因其病毒模块带有MLXG_KM被安全行业代称麻辣香锅病毒。
麻辣香锅病毒通过各种激活工具传播， 包括暴风激活、小马激活和KMS激活等诸多工具，疑似已与下载站进行合作推广此类激活工具。
行为规律
- wrme.exe模块启动执行模块wuhost.exe和wdlogin.exe。同时会收集终端用户的MAC地址,CPU, GPU, 系统版本，安装的杀软等信息，加密发送到C&C服务器（du.testjj.com:8083）。
- 驱动保护模块对抗杀软的查杀。该模块会添加文件过滤来阻止对自身组件模块的访问、修改和删除操作。同时也会阻止360和腾讯电脑管家云查杀模块的加载。
- 劫持浏览器首页，删除安全软件相关的进程回调、阻止浏览器加载首页相关的动态库。
- 向服务器发送心跳包，它会先将自身复制到同目录下，将其注册为服务后自删除。
- 寻找C:Windowsminidump目录下的以dmp结尾的dump文件，并压缩上传到服务器。
- 更新两个驱动模块。更新时会读取%windir%目录下的filt（KMDF_LOOK版本信息）和sytl（KMDF_Protect版本信息）文件内容，之后将两个文件中记录的驱动模块版本信息和其他系统信息（包括：系统平台版本x64/x86，对用驱动模块名、请求时间）发送至C&C服务器（du.testjj.com:8083）
参考：激活工具散播锁首病毒“麻辣香锅“ 诱导用户退出安全软件 - 知乎
二、感染情况判断
该病毒劫持流程为：阻止浏览器进程加载安全模块，随后进程创建回调，在用户启动浏览器时通过增加命令行的方式劫持浏览器主页。因此当打开浏览器后，出现以下情况，可以判断感染：
1.用户电脑后会将首页劫持为“http://**?.****111.top”（“？”为任意数字，如下图）
2. 出现名为Windows Mobile UserExperience Server的系统服务
三、病毒清杀 方案一：工具查杀
下载火绒专杀工具，https://bbs.huorong.cn/thread-18575-1-1.html
专杀工具在扫描过程中，如果检出了病毒处理项目，则建议在扫描完成后，重启再次使用火绒专杀进行扫描，以确认病毒清除是否成功。
如果重启后再次扫描，在专杀工具中没有病毒项目再被检出，则建议使用火绒安全软件进行全盘扫描，彻底解决病毒问题
方案二：手动查杀
（1）使用fltmc命令查看异常筛选项，发现两个异常筛选项
（2）使用pchunter查看内核回调，根据异常的筛选器，删除异常回调
3.根据异常筛选器名称，删除掉对应的过滤器
4. 找到麻辣香锅病毒释放的一个服务：R
5.用sc命令删除掉异常的服务R和对应的程序
路径：C:UsersadminAppDataLocalTemp
指令:
sc query R//搜索服务是否存在
sc stop R//停止服务
sc delete R//删除服务
在C:WindowsSystem32drivers目录找到对应的驱动，使用sc命令搜索删除对于驱动创建的服务等
7.删除异常驱动对应的服务
sc query 驱动名
sc delete 驱动名
8.删除对应驱动文件
9.
9.在C:UsersadminAppDataLocalMicrosoftEvent Viewer里删除四个文件
四、加固建议各类激活工具和破解软件是病毒传播的重要路径，通常此类软件的安全性无法保证因此需谨慎使用。
针对该恶意程序所造成的危害，建议用户及时给电脑打补丁，修复漏洞，关闭不必要的端口。
对于浏览器提示有安全风险的网站，都不要轻易打开。
