Net-Worm.Win32.Agent.i
病毒名称： Net-Worm.Win32.Agent.i
中文名称： 下载者变种
病毒类型： 蠕虫类
文件 MD5： 027439557029E881E05853539E38AD5D
公开范围： 完全公开
危害等级： 4
文件长度： 脱壳前 18,944 字节,脱壳后84,480 字节
感染系统： Win9X以上系统
开发工具： Borland Delphi 5.0
加壳工具： UPX变形壳
病毒描述：
该病毒运行后，衍生病毒文件到系统多个目录下。添加注册表系统服务项与自动运行项以跟随系统引病毒体。连接网络下载病毒体到本机运行，下载的病毒体多为网络游戏盗号程序。并试图生成 Autorun.inf文件从而调用病毒体。
行为分析：
1 、衍生下列副本与文件：
%System32%DirectX9.dll
%System32%MOSOU.dll
%System32%mosou.exe
%System32%msdebug.dll
%System32%
wiztlbb.dll
%System32%
wiztlbu.exe
%System32%RemoteDbg.dll
%Program Files%Internet ExplorerPLUGINS870813.exe
%Program Files%Internet ExplorerPLUGINSSystem64.Jmp
%Program Files%Internet ExplorerPLUGINSSystem64.Sys
2 、新建下列注册表键值：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRemoteDbgDescription
Value: String: " 允许 Administrators 组的成员进行远程调试。 "
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRemoteDbgDisplayName
Value: String: "Remote Debug Service"
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRemoteDbgImagePath
Value: Type: REG_EXPAND_SZ Length: 53 (0x35) bytes
%WINDIR%System32
undll32.exe RemoteDbg.dll,input.
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMSDebugsvcDescription
Value: String: " 为计算机系统提供 32 位调试服务。如果此服务被禁用，
所有明确依赖它的服务都将不能启动。 "
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMSDebugsvcDisplayName
Value: String: "Win32 Debug Service"
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesMSDebugsvcImagePath
Value: Type: REG_EXPAND_SZ Length: 51 (0x33) bytes
%WINDIR%System32
undll32.exe msdebug.dll,input.
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun@
Value: String: "%Program Files%Common FilesServicessvchost.exe"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRunMicrosoftAutorun5
Value: String: "%WINDIR%System32mosou.exe"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRunMicrosoft Autorun7
Value: String: "%WINDIR%System32
wiztlbu.exe"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID
{754FB7D8-B8FE-4810-B363-A788CD060F1F}InProcServer32@
Value: String: "%Program Files%Internet ExplorerPLUGINSSystem64.Sys"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID
{754FB7D8-B8FE-4810-B363-A788CD060F1F}@
Value: String: ""
HKEY_LOCAL_MACHINESOFTWAREMicrosoftActiveSetup
Installed Components{2bf41073-b2b1-21c1-b5c1-0701f4155588}StubPath
Value: Type: REG_EXPAND_SZ Length: 51 (0x33) bytes
%Program Files%Common FilesServicessvchost.exe.
3 、病毒体下载地址：
www.z*36*3.com(5*.3*.5*.1*2)/yx/zt.exe
www.z*36*3.com(5*.3*.5*.1*2)/yx/cq.exe
www.z*36*3.com(5*.3*.5*.1*2)/yx/mh.exe
www.z*36*3.com(5*.3*.5*.1*2)/yx/wow.exe
4 、病毒体试图执行下列恶意行为：
net Stop Norton Antivirus Auto Protect Service
net Stop mcshield
net stop "Windows Firewall/Internet Connection Sharing (ICS)"
net stop System Restore Service
Windows Security Center
结束窗体名为下列的进程：
噬菌体
木马克星
wopticlean.exe
eghost.exe
kavpfw.exe
roguecleaner.exe
regedit.exe
360safe.exe
5 、衍生文件 nwiztlbu.exe 包含调用“ ntsd –c q –p % 要结束的进程 pid% ”的恶意代码：
瑞星卡卡上网助手
AVP
注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。
Windows2000/NT 中默认的安装路径是 C:WinntSystem32 ， windows95/98/me 中默认的安装
路径是 C:WindowsSystem ， windowsXP 中默认的安装路径是 C:WindowsSystem32 。
清除方案：
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用安天木马防线结束病毒进程：
%System32%mosou.exe
%System32%
wiztlbu.exe
(2)删除病毒添加的注册表项：
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID
{754FB7D8-B8FE-4810-B363-A788CD060F1F}InProcServer32@
Value: String: "%Program Files%Internet Explorer
PLUGINSSystem64.Sys"
(3)重新启动到安全模式下。
(4)删除病毒释放文件：
%System32%DirectX9.dll
%System32%MOSOU.dll
%System32%mosou.exe
%System32%msdebug.dll
%System32%
wiztlbb.dll
%System32%
wiztlbu.exe
%System32%RemoteDbg.dll
%Program Files%Internet ExplorerPLUGINS870813.exe
%Program Files%Internet ExplorerPLUGINSSystem64.Jmp
%Program Files%Internet ExplorerPLUGINSSystem64.Sys