查杀 Worm/Agent.bx U盘蠕虫病毒

起因

最近从学校的打印室、多媒体电脑上，拷贝一些课件和资料。发现U盘感染蠕虫病毒，只要一插入电脑，开始疯狂报毒。且发现可疑dxFastrun.exe。

此病毒会将正常的U盘里原有的文件隐藏为系统文件，平时是不可见的。同时，新建相同名字的exe文件，引诱我们去点击。从而达到你看起来那个文件夹还在那里，并且可以正常打开，但是每次打开，都相当于执行了一遍病毒本身。

不知道为什么，目前此病毒360无法检出！！！！

引擎	检出结果
微软（MSE）	TrojanDownloader:Win32/Imwee
ESET	Win32/Agent.NPS worm
卡巴斯基（Kaspersky）	Trojan.Win32.Agentb.jxgf
小红伞（Avira）	TR/Agent.jevn
Avast	Win32:MalwareX-gen
AVG	Win32:MalwareX-gen
GDATA	Trojan.AgentWDCR.ABDE
K7	Trojan-Downloader (005fa8d01)
安天（Antiy）	Trojan/Win32.Hesv
江民（JiangMin）	Trojan.Generic.eatwn
瑞星（Rising）	Trojan.Win32.Imwee.b
熊猫（Panda）	Trj/WLT.F
Baidu-China	Win32.Worm.Agent.ie
IKARUS	无检出
大蜘蛛（Dr.Web）	无检出
360（Qihoo 360）	无检出
Baidu	无检出
NANO	无检出
Trustlook	无检出
Sophos	无检出
ClamAV	无检出
WebShell专杀	无检出
MicroAPT	无检出
OneAV	无检出
OneStatic	无检出
MicroNonPE	无检出
OneAV-PWSH	无检出
ShellPub	无检出

解决方案

采用 火绒安全软件 进行全盘查杀，重点是 C:\ProgramData\ C:\Windows %temp% 。

带上被感染的U盘进行查杀。已知 火绒安全软件 会自动查杀并且恢复正常的文件。

如果病毒顽固无法清除，需要手动命令执行 attrib。

在u盘根目录，新建文本文档，更改后缀名为xxx.bat。复制以下内容，保存，并双击运行。

@echo off
echo 正在恢复隐藏文件...

:: 去掉当前目录及子目录所有文件的隐藏、系统、只读属性
attrib -h -s -r /s /d *.*

echo 完成
pause

部分日志

以下日志是我从样本文件压缩包解压时，火绒安全软件反馈日志。所以会有7-zip等字样。可以忽略。

感染文件

【7】2026-03-20 18:56:04,病毒防护,文件实时监控,发现病毒Worm/Agent.bx, 已处理

病毒名称：Worm/Agent.bx
病毒ID：00476A844A827808
病毒路径：D:\Worm\红楼梦一模.exe
操作类型：修改 
操作结果：已处理，删除文件

进程ID：14880
操作进程：C:\Program Files\7-Zip\7zG.exe
操作进程命令行："C:\Program Files\7-Zip\7zG.exe" x -o"D:\Worm\" -spe -an -ai#7zMap22967:24:7zEvent15707
父进程ID：21292
父进程：C:\Windows\explorer.exe
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【8】2026-03-20 18:56:04,病毒防护,文件实时监控,发现病毒Worm/Agent.bx, 已处理

病毒名称：Worm/Agent.bx
病毒ID：00476A844A827808
病毒路径：D:\Worm\真菌的讲题比赛.exe
操作类型：修改 
操作结果：已处理，删除文件

进程ID：14880
操作进程：C:\Program Files\7-Zip\7zG.exe
操作进程命令行："C:\Program Files\7-Zip\7zG.exe" x -o"D:\Worm\" -spe -an -ai#7zMap22967:24:7zEvent15707
父进程ID：21292
父进程：C:\Windows\explorer.exe
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

【9】2026-03-20 18:56:04,病毒防护,文件实时监控,发现病毒Worm/Agent.bx, 已处理

病毒名称：Worm/Agent.bx
病毒ID：00476A844A827808
病毒路径：D:\Worm\[书记]开学工作会.exe
操作类型：修改 
操作结果：已处理，删除文件

进程ID：14880
操作进程：C:\Program Files\7-Zip\7zG.exe
操作进程命令行："C:\Program Files\7-Zip\7zG.exe" x -o"D:\Worm\" -spe -an -ai#7zMap22967:24:7zEvent15707
父进程ID：21292
父进程：C:\Windows\explorer.exe
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

其他可疑程序

这部分是除了感染U盘内原有文件进行隐藏后，其他生成的文件：

.fseventsd 应该是苹果电脑中用于监控文件系统变化的核心守护进程。但是不知为何出现在这里。

【34】2026-03-20 18:56:03,病毒防护,文件实时监控,发现病毒Worm/Agent.bx, 已处理

病毒名称：Worm/Agent.bx
病毒ID：00476A844A827808
病毒路径：D:\Worm\.fseventsd.exe
操作类型：修改 
操作结果：已处理，删除文件

进程ID：14880
操作进程：C:\Program Files\7-Zip\7zG.exe
操作进程命令行："C:\Program Files\7-Zip\7zG.exe" x -o"D:\Worm\" -spe -an -ai#7zMap22967:24:7zEvent15707
父进程ID：21292
父进程：C:\Windows\explorer.exe
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>

其他可疑特征 C:\ProgramData\Dx112\dxFastRun.exe 注意这个 dxFastRun.exe 很明显是拿来掩人耳目的，伪装成DxDiag。

分析

样本

该样本文件名为“期中考试安排计划.exe”，为一个典型伪装成文档类文件的可执行程序。文件体积较小，约59KB，属于PE32格式的Windows图形界面程序，编译时间为2014年，使用Microsoft Visual C++工具链生成。

威胁指标

域名：johnhop77.ddns.net
IP地址：169.2.1.1，169.254.1.1
文件哈希：如上所列

对 dxFastRun.exe 进行分析

Filename
    dxFastRun.exe
Size
    116KiB (118272 bytes)
Type
    peexe executable 
Description
    PE32 executable (GUI) Intel 80386, for MS Windows
Architecture
    WINDOWS
SHA256
    767ac83224a31b257ed755871b06bf7d4afae2ca65015be69c7691df355d7c2e
MD5
    cea3258f5177ad17d64ce30d9b772b5e
SHA1
    d12a70d32921568aa18e212d3d0a54f6fb82a2cc
ssdeep
    3072:0LLlD6zRoLOUppm/8C7RQ9+T+Lk+/5ztg:oLlDX3g5mLk+T
imphash
    3d9aac51c16d5bb81bb736f3d49d9286
authentihash
    152d978a50a1791959096e37d11ffe37d63766611f5f9077af4fc513d6eb89a7
Compiler/Packer
    VC8 -> Microsoft Corporation

Resources

Language
    ENGLISH
Icon
    Sample Icon 

Classification (TrID)

    41.0% (.EXE) Win32 Executable MS Visual C++ (generic)
    36.3% (.EXE) Win64 Executable (generic)
    8.6% (.DLL) Win32 Dynamic Link Library (generic)
    5.9% (.EXE) Win32 Executable (generic)
    2.6% (.EXE) OS/2 Executable (generic)

对感染文件进行分析

文件名
期中考试安排计划.exe
Tags
蠕虫病毒MalGeneric
MIME
application/vnd.microsoft.portable-executable
Magic Type
exe
MD5
fe2f570c4812e5a66edd3c92c595bb24
SHA1
754aa3adca5ccea26c0d39a3f92708709dd34aec
SHA256
1a06767243f6b73310d14768c18962e29391376808c19247c3fefcb1bb5aacfc
SSDEEP
768:01tj7LdCsxL1ZbzV9z0Tbc6FsOzdA6R4UWPYfIc/Qi3qEBQprdm:0LL1/hV9z0zFxRoLOUprdm
分析时间
2026-03-20 19:11:11
分析时长
180
运行环境
Windows10 (22H2 2023年3月全补丁版本)

参考

1. 蠕虫病毒伪装传播，根目录文件遭神秘删除-技术文章-火绒安全
2. 查杀worm病毒，恢复U盘文件_agent.bx-CSDN博客
3. 微步在线云沙箱，需登录
4. powered by Falcon Sandbox - Viewing online file analysis results for dxFastRun.exe