僵尸网络病毒，通过连接irc服务器进行通信从而控制被攻陷的计算机。僵尸网络(英文名称叫botnet)，是互联网上受到黑客集中控制的一群计算机，往往被黑客用来发起大规模的网络攻击，如分布式拒绝服务攻击(ddos)、海量垃圾邮件等，同时黑客控制的这些计算机所保存的信息也都可被黑客随意“取用”。因此，不论是对网络安全运行还是用户数据安全的保护来说，僵尸网络都是极具威胁的隐患。僵尸网络的威胁也因此成为目前一个国际上十分关注的问题。然而，发现一个僵尸网络是非常困难的，因为黑客通常远程、隐蔽地控制分散在网络上的“僵尸主机”，这些主机的用户往往并不知情。因此，僵尸网络是目前互联网上黑客最青睐的作案工具。

　　此病毒有如下特征：

　　1、连接irc服务器；

　　1）连接irc服务器的域名、ip、连接端口情况如下：

　　域名ip端口所在国家

　　0x80.online-software.org194.109.11.65tcp/6556，tcp/1023荷兰

　　0x80.martiansong.com64.202.167.129tcp/6556，tcp/1023美国

　　0x80.my1x1.com194.109.11.65tcp/6556，tcp/1023荷兰

　　0x80.goingformars.com64.202.167.129tcp/6556，tcp/1023美国

　　0x80.my-secure.name194.109.11.65tcp/6556，tcp/1023荷兰

　　0xff.memzero.info无法解析tcp/6556，tcp/1023

　　2）连接频道：#26#，密码：g3t0u7。

　　2、扫描随机产生的ip地址，并试图感染这些主机；

　　3、运行后将自身复制到system\netddesrv.exe；

　　4、在系统中添加名为netddeserver的服务，并受系统进程services.exe保护。

　　按照以下方法进行清除：

　　该蠕虫在安全模式下也可以正常运行。但可以通过清除注册表的方式在正常模式下清除蠕虫。手工清除该蠕虫的相关操作如下：

　　1、断开网络；

　　2、恢复注册表；

　　打开注册表编辑器，在左边的面板中打开并删除以下键值：

　　hkey_local_machine\system\controlset001\control\safeboot\minmal\netddesrv

　　hkey_local_machine\system\controlset001\control\safeboot\network\netddesrv

　　hkey_local_machine\system\controlset001\services\netddesrv

　　hkey_local_machine\system\controlset002\control\safeboot\minmal\netddesrv

　　hkey_local_machine\system\controlset002\control\safeboot\network\netddesrv

　　hkey_local_machine\system\controlset002\services\netddesrv

　　hkey_local_machine\system\currentcontrolset\control\safeboot\minmal\netddesrv

　　hkey_local_machine\system\currentcontrolset\control\safeboot\network\netddesrv

　　hkey_local_machine\system\currentcontrolset\services\netddesrv

　　3、需要重新启动计算机；

　　4、必须删除蠕虫释放的文件；

　　删除在system下的netddesrv.exe文件。（system是系统目录,在win2000下为c:\winnt\system32，在winxp下为

　　c:\windows\system32）

　　5、运行杀毒软件，对电脑系统进行全面的病毒查杀；

　　6、安装微软ms04-011、ms04-012、ms04-007漏洞补丁。