本病毒所有命名：

影响系统：
Win9x,WinMe,Linux

简介：
1.获取系统时间写文件，%sys32dir%Update.dat 2.打开服务"msfpfis64" "msp2p32","HBKernel"若存在，停止且删除服务 3.创建 "\.slHBKernel"

行为分析：
该病毒是一个木马盗号器，它会还原系统SSDT表，使一些声称具有“主动防御”的安全软件失效，然后盗取网络游戏《梦幻西游》的账号密码信息。

描述：
1.获取系统时间写文件，%sys32dir%Update.dat

2.打开服务"msfpfis64" "msp2p32","HBKernel"若存在，停止且删除服务

3.创建 "\.slHBKernel"

4.删除 "%sys32dir%driversHBKernel.sys"

5.若进程中有 "my.exe" 关闭

6.FindWindowA "HBInject" 找到了发送WM_close

7.删除 "%sys32dir%HBInject.exe" "%sys32dir%HBmhly.dll"

8.CheckSumMappedFile校验资源里的文件释放到"%sys32dir%driversHBKernel.sys"

9.创建服务 "HBKernel" 并启动,回复SSDT

10.创建 "\.slHBKernel"

11.创建"%sys32dir%HBmhly.dll"

13.失败了在这里创建 "%tmp%1.tmp"然后movefile到%sys32dir%HBmhly.dll

14.释放资源写文件 "%sys32dir%HBInject.exe"

15.失败了创建"%tmp%2.tmp"（1.2.3.4....）然后movefile到%sys32dir%HBInject.exe

16.打开%sys32dir%HBInject.exe

17.创建HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun HBService %sys32dir%HBInject.exe

创建HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows AppInit_DLLs HBmhly.dll

18.创建 "%sys32dir%SelfDel.dll"

19.删除母体"rundll32.exe %sys32dir%SelfDel.dll,MagicDelete HBInject.exe"

20.卸载

检测运行参数是不是-u或者/u

创建"\.slHBKernel"

打开"HBKernel"服务存在删除

存在"%sys32dir%driversHBKernel.sys"删除

若进程中有 "my.exe" 关闭

FindWindowA "HBInject" 找到了发送WM_close

存在删除 "%sys32dir%HBInject.exe"和"%sys32dir%HBmhly.dll"

21.调用SelfDel.dll的deletefile 没有删除成功休息100毫秒，循环删，共循环30次

22.发信地址

http://www.6***q1.cn/lan/mdb5postasp.asp

http://www.6***q2.cn/lan/mdb5postasp.asp

http://www.6***h1.cn/mdb5postasp.asp

http://www.6***h2.cn/mdb5postasp.asp