病毒名称： Net-Worm.Win32.Agent.i
中文名称： 下载者变种
病毒类型： 蠕虫类
文件 MD5： 027439557029E881E05853539E38AD5D
公开范围： 完全公开
危害等级： 4
文件长度： 脱壳前 18,944 字节,脱壳后84,480 字节
感染系统： Win9X以上系统
开发工具： Borland Delphi 5.0
加壳工具： UPX变形壳

　　该病毒运行后，衍生病毒文件到系统多个目录下。添加注册表系统服务项与自动运行项以跟随系统引病毒体。连接网络下载病毒体到本机运行，下载的病毒体多为网络游戏盗号程序。并试图生成 Autorun.inf文件从而调用病毒体。

1 、衍生下列副本与文件：

　　　　%System32%\DirectX9.dll
　　　　%System32%\MOSOU.dll
　　　　%System32%\mosou.exe
　　　　%System32%\msdebug.dll
　　　　%System32%\nwiztlbb.dll
　　　　%System32%\nwiztlbu.exe
　　　　%System32%\RemoteDbg.dll
　　　　%Program Files%\Internet Explorer\PLUGINS\870813.exe
　　　　%Program Files%\Internet Explorer\PLUGINS\System64.Jmp
　　　　%Program Files%\Internet Explorer\PLUGINS\System64.Sys
　　　　
2 、新建下列注册表键值：

　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg\Description
　　　　Value: String: " 允许 Administrators 组的成员进行远程调试。 "
　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg\DisplayName
　　　　Value: String: "Remote Debug Service"
　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg\ImagePath
　　　　Value: Type: REG_EXPAND_SZ Length: 53 (0x35) bytes
　　　　%WINDIR%System32\rundll32.exe RemoteDbg.dll,input.
　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDebugsvc\Description
　　　　Value: String: " 为计算机系统提供 32 位调试服务。如果此服务被禁用，
　　　　所有明确依赖它的服务都将不能启动。 "
　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDebugsvc\DisplayName
　　　　Value: String: "Win32 Debug Service"
　　　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDebugsvc\ImagePath
　　　　Value: Type: REG_EXPAND_SZ Length: 51 (0x33) bytes
　　　　%WINDIR%System32\rundll32.exe msdebug.dll,input.
　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\@
　　　　Value: String: "%Program Files%\Common Files\Services\svchost.exe"
　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　CurrentVersion\Run\MicrosoftAutorun5
　　　　Value: String: "%WINDIR%System32\mosou.exe"
　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
　　　　CurrentVersion\Run\Microsoft Autorun7
　　　　Value: String: "%WINDIR%System32\nwiztlbu.exe"
　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
　　　　{754FB7D8-B8FE-4810-B363-A788CD060F1F}\InProcServer32\@
　　　　Value: String: "%Program Files%\Internet Explorer\PLUGINS\System64.Sys"
　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
　　　　{754FB7D8-B8FE-4810-B363-A788CD060F1F}\@ 　　　　
　　　　Value: String: ""
　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ActiveSetup\
　　　　Installed Components\{2bf41073-b2b1-21c1-b5c1-0701f4155588}\StubPath
　　　　Value: Type: REG_EXPAND_SZ Length: 51 (0x33) bytes
　　　　%Program Files%\Common Files\Services\svchost.exe.

3 、病毒体下载地址：

　　　　www.zt36**.com(5*.3*.5*.1*2)/yx/zt.exe
　　　　www.zt36**.com(5*.3*.5*.1*2)/yx/cq.exe
　　　　www.zt36**.com(5*.3*.5*.1*2)/yx/mh.exe
　　　　www.zt36**.com(5*.3*.5*.1*2)/yx/wow.exe

4 、病毒体试图执行下列恶意行为：

　　　　net Stop Norton Antivirus Auto Protect Service
　　　　net Stop mcshield
　　　　net stop "Windows Firewall/Internet Connection Sharing (ICS)"
　　　　net stop System Restore Service
　　　　Windows Security Center

　　　　结束窗体名为下列的进程：
　　　　噬菌体
　　　　木马克星
　　　　wopticlean.exe
　　　　eghost.exe
　　　　kavpfw.exe
　　　　roguecleaner.exe
　　　　regedit.exe
　　　　360safe.exe

5 、衍生文件 nwiztlbu.exe 包含调用“ ntsd –c q –p % 要结束的进程 pid% ”的恶意代码：

　　　　瑞星卡卡上网助手
　　　　AVP

注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。
Windows2000/NT 中默认的安装路径是 C:\Winnt\System32 ， windows95/98/me 中默认的安装
路径是 C:\Windows\System ， windowsXP 中默认的安装路径是 C:\Windows\System32 。

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　 　 (1)使用安天木马防线结束病毒进程：
　　　　　　%System32%\mosou.exe
　　　　　　%System32%\nwiztlbu.exe
　 　 (2)删除病毒添加的注册表项：
　　　　　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
　　　　　　{754FB7D8-B8FE-4810-B363-A788CD060F1F}\InProcServer32\@
　　　　　　Value: String: "%Program Files%\Internet Explorer\
　　　　　　PLUGINS\System64.Sys" 　 　
　 　 (3)重新启动到安全模式下。
　 　 (4)删除病毒释放文件：
　　　　　　%System32%\DirectX9.dll
　　　　　　%System32%\MOSOU.dll
　　　　　　%System32%\mosou.exe
　　　　　　%System32%\msdebug.dll
　　　　　　%System32%\nwiztlbb.dll
　　　　　　%System32%\nwiztlbu.exe
　　　　　　%System32%\RemoteDbg.dll 　　　　　　
　　　　　　%Program Files%\Internet Explorer\PLUGINS\870813.exe
　　　　　　%Program Files%\Internet Explorer\PLUGINS\System64.Jmp
　　　　　　%Program Files%\Internet Explorer\PLUGINS\System64.Sys

点击此处下载木马防线2005+

病毒上报信箱: submit@virusview.net