twunk32.exe 木马清除

病毒名称：Trojan-Downloader.Win32.Small.czl（Kaspersky）
病毒别名：
病毒大小：24,576 字节
加壳方式：PE-Armor
样本MD5：d4fa99030af46864425560e07f052b50
样本SHA1：e60199bd1406ad11c022c7f8356f3bd6b7b40c6a
传播方式：恶意网页、其它病毒下载

技术分析
==========

这个木马最近比较流行，通过修改QQ相关程序增加了清除的难度。木马运行后复制自身到系统目录下：
%System% wunk32.exe
注入进程……

释放文件：
%System%driversusbme.sys

创建启动项：

[HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun]
"twin"="%System% wunk32.exe"

修改QQ目录下的TIMPlatform.exe文件，使用病毒副本替换TIMPlatform.exe，原TIMPlatform.exe被改名为TIMPlatfrom.exe。

清除步骤
==========

1. 删除QQ目录下被木马替换的TIMPlatform.exe：
del %QQ%TIMPlatform.exe

2. 重命名TIMPlatfrom.exe文件：
将%QQ%TIMPlatfrom.exe重命名为TIMPlatform.exe
ren %QQ%TIMPlatfrom.exe TIMPlatform.exe

3. 删除木马启动项：

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun]
"twin"="%System% wunk32.exe"

4. 重新启动计算机

5. 删除木马文件：
%System% wunk32.exe
%System%driversusbme.sys