对twunk32.exe文件的查杀（此类Trojan.Agent病毒的终结）
来了很长时间没有写过分析贴，今天写一个，有什么不好的不对的地方请指出。
twunk32.exe曾经baohe写过一篇分析贴，但那个是twunk32.exe的早期版本，病毒在变化。
我研究的twunk32.exe文件瑞星认为是Trojan.Agent.acb病毒，因为Trojan.Agent种病毒变种很多而且添加修改文件及注册表均不相同，所以根本没有办法写统一的分析，只能分类去写，今天先写twunk32.exe的分析。说了这么多废话，下面言归正传：
文件添加以及病毒运行方式：
我先来说此病毒的运行，运行文件后病毒会删除自身，生成下面两个文件：
C:\WINDOWS\system32\drivers\usbme.sys
C:\WINDOWS\system32\twunk32.exe
当病毒启动的时候会运行twunk32.exe文件，同样运行后删除自身再建立两个新的文件。
（奇怪：我在虚拟机下反复运行C:\WINDOWS\system32\drivers\usbme.sys文件都为0KB）
病毒启动方式：
病毒通过注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run随Explorer.exe启动
众所周知，默认情况下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\下面并不存在Explorer主键，而病毒会添加这个主键，和其下面的run主键，来达到病毒运行的目的，Explorer.exe文件就是桌面文件，随此文件启动有一个好处，没有进程。我查找很长时间，没有发现此病毒进程。
说一下具体添加：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\twin: 43 3A 5C 57 49 4E 44 4F 57 53 5C 73 79 73 74 65 6D 33 32 5C 74 77 75 6E 6B 33 32 2E 65 78 65 00 00 00 00 00 00 00 （一串0）
可能大家就遗祸了，正常启动的添加不是指向文件么，为什么后面是添加的是43 3A 5C 57 49 4E 44 4F 57 53 5C 73 79 73 74 65 6D 33 32 5C 74 77 75 6E 6B 33 32 2E 65 78 65，这个是16进制数，也是ASCII码，病毒通过ASCII码添加注册表启动项，启动C:\WINDOWS\system32\twunk32.exe文件
以上就是此病毒的病毒分析
病毒删除：
我习惯写用冰刃的删除方法：
打开冰刃，点击注册表，找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run删除下面的twin项
点击文件，删除上面所提到的两个文件。重新启动就可以删除此病毒
这是Trojan.Agent.acb病毒的分析，请多提宝贵意见。
写到这里并没有完成题目的任务，所以我会在下面进行补充
