瑞星卡卡安全论坛

技术分析
==========

这个木马最近比较流行，通过修改QQ相关程序增加了清除的难度。木马运行后复制自身到系统目录下：
%System%\twunk32.exe
注入进程……

释放文件：
%System%\drivers\usbme.sys

创建启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"twin"="%System%\twunk32.exe"

修改QQ目录下的TIMPlatform.exe文件，使用病毒副本替换TIMPlatform.exe，原TIMPlatform.exe被改名为TIMPlatfrom.exe。（注：原文件大小为68K）


清除步骤
==========

1. 删除QQ目录下被木马替换的TIMPlatform.exe：
%QQ%\TIMPlatform.exe

2. 重命名TIMPlatfrom.exe文件：
将%QQ%\TIMPlatfrom.exe重命名为TIMPlatform.exe

3. 删除木马启动项：


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"twin"="%System%\twunk32.exe"

4. 删除木马文件：
%System%\twunk32.exe
%System%\drivers\usbme.sys

5. 重新启动计算机

【回复“我是摇摇”的帖子】
......对于类似于我这样的外行来说，不懂~~~

很奇怪~我QQ和注册表都有上述情况~可是我%System%\twunk32.exe没查到这个~为啥啊我点了显示所有文件了~不过我在C:WINDOWS这个文件夹里发现了twunk_16和twunk_32这2个东西还有twain_32这个文件夹`~谁能帮帮我啊~

真的吗?