标题：Net-Worm.Win32.Agent.i
病毒档案
病毒名称： Net-Worm.Win32.Agent.i 
中文名称： 下载者变种 
病毒类型： 蠕虫类 
文件 MD5： 027439557029E881E05853539E38AD5D 
公开范围： 完全公开 
危害等级： 4 
文件长度： 脱壳前 18,944 字节,脱壳后84,480 字节 
感染系统： Win9X以上系统 
开发工具： Borland Delphi 5.0 
加壳工具： UPX变形壳
行为分析
1 、衍生下列副本与文件： 
%System32%\DirectX9.dll 
%System32%\MOSOU.dll 
%System32%\mosou.exe 
%System32%\msdebug.dll 
%System32%\nwiztlbb.dll 
%System32%\nwiztlbu.exe 
%System32%\RemoteDbg.dll 
%Program Files%\Internet Explorer\PLUGINS\870813.exe 
%Program Files%\Internet Explorer\PLUGINS\System64.Jmp 
%Program Files%\Internet Explorer\PLUGINS\System64.Sys 
2 、新建下列注册表键值： 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg\Description 
Value: String: " 允许 Administrators 组的成员进行远程调试。 " 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg\DisplayName 
Value: String: "Remote Debug Service" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg\ImagePath 
Value: Type: REG_EXPAND_SZ Length: 53 (0x35) bytes 
%WINDIR%System32\rundll32.exe RemoteDbg.dll,input. 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDebugsvc\Description 
Value: String: " 为计算机系统提供 32 位调试服务。如果此服务被禁用， 
所有明确依赖它的服务都将不能启动。 " 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDebugsvc\DisplayName 
Value: String: "Win32 Debug Service" 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSDebugsvc\ImagePath 
Value: Type: REG_EXPAND_SZ Length: 51 (0x33) bytes 
%WINDIR%System32\rundll32.exe msdebug.dll,input. 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\@ 
Value: String: "%Program Files%\Common Files\Services\svchost.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ 
CurrentVersion\Run\MicrosoftAutorun5 
Value: String: "%WINDIR%System32\mosou.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ 
CurrentVersion\Run\Microsoft Autorun7 
Value: String: "%WINDIR%System32\nwiztlbu.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ 
{754FB7D8-B8FE-4810-B363-A788CD060F1F}\InProcServer32\@ 
Value: String: "%Program Files%\Internet Explorer\PLUGINS\System64.Sys" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ 
{754FB7D8-B8FE-4810-B363-A788CD060F1F}\@ 　　　　 
Value: String: "" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ActiveSetup\ 
Installed Components\{2bf41073-b2b1-21c1-b5c1-0701f4155588}\StubPath 
Value: Type: REG_EXPAND_SZ Length: 51 (0x33) bytes 
%Program Files%\Common Files\Services\svchost.exe. 
3 、病毒体下载地址： 
www.z*36*3.com(5*.3*.5*.1*2)/yx/zt.exe 
www.z*36*3.com(5*.3*.5*.1*2)/yx/cq.exe 
www.z*36*3.com(5*.3*.5*.1*2)/yx/mh.exe 
www.z*36*3.com(5*.3*.5*.1*2)/yx/wow.exe 
4 、病毒体试图执行下列恶意行为： 
net Stop Norton Antivirus Auto Protect Service 
net Stop mcshield 
net stop "Windows Firewall/Internet Connection Sharing (ICS)" 
net stop System Restore Service 
Windows Security Center 
结束窗体名为下列的进程： 
噬菌体 
木马克星 
wopticlean.exe 
eghost.exe 
kavpfw.exe 
roguecleaner.exe 
regedit.exe 
360safe.exe 
5 、衍生文件 nwiztlbu.exe 包含调用“ ntsd –c q –p % 要结束的进程 pid% ”的恶意代码： 
瑞星卡卡上网助手 
AVP 
注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 
Windows2000/NT 中默认的安装路径是 C:\Winnt\System32 ， windows95/98/me 中默认的安装 
路径是 C:\Windows\System ， windowsXP 中默认的安装路径是 C:\Windows\System32 。
清除方案
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 ) 
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。 
(1)使用安天木马防线结束病毒进程： 
%System32%\mosou.exe 
%System32%\nwiztlbu.exe 
(2)删除病毒添加的注册表项： 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ 
{754FB7D8-B8FE-4810-B363-A788CD060F1F}\InProcServer32\@ 
Value: String: "%Program Files%\Internet Explorer\ 
PLUGINS\System64.Sys" 　 　 
(3)重新启动到安全模式下。 
(4)删除病毒释放文件： 
%System32%\DirectX9.dll 
%System32%\MOSOU.dll 
%System32%\mosou.exe 
%System32%\msdebug.dll 
%System32%\nwiztlbb.dll 
%System32%\nwiztlbu.exe 
%System32%\RemoteDbg.dll 　　　　　　 
%Program Files%\Internet Explorer\PLUGINS\870813.exe 
%Program Files%\Internet Explorer\PLUGINS\System64.Jmp 
%Program Files%\Internet Explorer\PLUGINS\System64.Sys