清除USBUE.SYS简单方法

luckisme

清除USBUE.SYS简单方法

下载SRENG——官方下载地址（免费软件） http://www.kztechs.com/sreng/sreng2.zip
（使用见使用说明，切误在不明白的情况下使用。）
安装完成以后
首先开起显示“受保护的操作系统文件”
然后打开SRENG——启动项目——注册表（默认第一项）
应该发现有twunk32.exe
根据显示的位置（C:\WINDOWS\system32\twunk32.exe）找到它（隐藏文件），删除。
到QQ文件目录找到TIMPlatfrom.exe——注意有两个，删除是隐藏文件的那个。
然后在SRENG里选择twunk32.exe点删除
这样应该就OK了。

相关网址
http://www.95safe.cn/html/bingdumuma/20070203/563.html

luckisme

恶心人的木马~ usbue.sys
木马 twunk32.exe TIMPlatform.exe

           档案编号：CISRT2006092
            病毒名称：Trojan-Downloader.Win32.Small.czl（Kaspersky）
            病毒别名：Win32.TrojDownloader.Small.24576（毒霸）
            　　　　　 Trojan.Agent.adm（瑞星）
            病毒大小：24,576 字节
            加壳方式：PE-Armor
            样本MD5：d4fa99030af46864425560e07f052b50
            样本SHA1：e60199bd1406ad11c022c7f8356f3bd6b7b40c6a
            发现时间：2006.12
            更新时间：2006.12
            关联病毒：
            传播方式：恶意网页、其它病毒下载


            技术分析
            ==========

            这个木马最近比较流行，通过修改QQ相关程序增加了清除的难度。木马运行后复制自身到系统目录下：
            %System%\twunk32.exe
            注入进程……

            释放文件：
            %System%\drivers\usbme.sys

            创建启动项：


            [Copy to clipboard]CODE:
            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
            "twin"="%System%\twunk32.exe"

            修改QQ目录下的TIMPlatform.exe文件，使用病毒副本替换TIMPlatform.exe，原TIMPlatform.exe被改名为TIMPlatfrom.exe。


            清除步骤
            ==========

            1. 删除QQ目录下被木马替换的TIMPlatform.exe：
            %QQ%\TIMPlatform.exe

            2. 重命名TIMPlatfrom.exe文件：
            将%QQ%\TIMPlatfrom.exe重命名为TIMPlatform.exe

            3. 删除木马启动项：


            [Copy to clipboard]CODE:
            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
            "twin"="%System%\twunk32.exe"

            4. 重新启动计算机

            5. 删除木马文件：
            %System%\twunk32.exe
            %System%\drivers\usbme.sys

相关网址
http://hi.baidu.com/watralph/blog/item/1183efef0bd1f636adafd563.html