病毒是一个木马盗号器，它会还原系统SSDT表，使一些声称具有“主动防御”的安全软件失效，然后盗取网络游戏《梦幻西游》的账号密码信息。

1.获取系统时间写文件，%sys32dir%\Update.dat
2.打开服务"msfpfis64" "msp2p32","HBKernel"若存在，停止且删除服务
3.创建 "\\.\slHBKernel"
4.删除 "%sys32dir%\drivers\HBKernel.sys"
5.若进程中有 "my.exe" 关闭
6.FindWindowA "HBInject" 找到了发送WM_close
7.删除 "%sys32dir%\HBInject.exe" "%sys32dir%\HBmhly.dll"
8.CheckSumMappedFile校验资源里的文件释放到"%sys32dir%\drivers\HBKernel.sys"
9.创建服务 "HBKernel" 并启动,回复SSDT
10.创建 "\\.\slHBKernel"
11.创建"%sys32dir%\HBmhly.dll"
13.失败了在这里创建 "%tmp%\1.tmp"然后movefile到%sys32dir%\HBmhly.dll
14.释放资源写文件 "%sys32dir%\HBInject.exe"
15.失败了创建"%tmp%\2.tmp"（1.2.3.4....）然后movefile到%sys32dir%\HBInject.exe
16.打开%sys32dir%\HBInject.exe
17.创建HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HBService %sys32dir%\HBInject.exe
创建HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows AppInit_DLLs HBmhly.dll
18.创建 "%sys32dir%\SelfDel.dll"
19.删除母体"rundll32.exe %sys32dir%\SelfDel.dll,MagicDelete HBInject.exe"
20.卸载
检测运行参数是不是-u或者/u
创建"\\.\slHBKernel"
打开"HBKernel"服务存在删除
存在"%sys32dir%\drivers\HBKernel.sys"删除
若进程中有 "my.exe" 关闭
FindWindowA "HBInject" 找到了发送WM_close
存在删除 "%sys32dir%\HBInject.exe"和"%sys32dir%\HBmhly.dll"
21.调用SelfDel.dll的deletefile 没有删除成功休息100毫秒，循环删，共循环30次
22.发信地址
http://www.6***q1.cn/lan/mdb5postasp.asp
http://www.6***q2.cn/lan/mdb5postasp.asp
http://www.6***h1.cn/mdb5postasp.asp
http://www.6***h2.cn/mdb5postasp.asp