网络安全 木马分析

【木马分析】U 盘木马 pagefile.db

村口曹师傅发表于2026-06-30 08:50:45 浏览769 评论3

## 说在前面
如果不想看分析，然后遇到和我一样的情况，可以直接下载ai写的清除工具清除就好~~(ai写代码好用)~~，实测无问题：https://gofile.me/78pyF/OAcnZkZf1

前两天处理了一个挺有意思，也挺烦人的 U 盘病毒，至于网上搜不到类似的中文分析文档，只有[一篇俄罗斯大佬写的](https://1275.ru/ioc/shadow-hijacker-novyy-kompleksnyy-vredonosnyy-obrazets-s-mnogourovnevym-ukloneniem-i-kontrolem_17296 "一篇俄罗斯大佬写的")，所以也导致我尝试写一篇，而且目前测试下来，**360无法根治**，可能之后会支持

一开始朋友说得很简单：U 盘插上以后，里面的文件夹都变成快捷方式了。删掉快捷方式，原来的文件夹能出来一下，但没过多久又变回去了。换台电脑插也是类似情况。

网安接触的早的应该都见过，第一反应就是“U 盘快捷方式病毒”。以前很多都是 VBS、JS、BAT 那种脚本，给文件夹加隐藏属性，再造几个同名快捷方式糊弄人。但这次这个东西不太一样，它不是单纯脚本，里面还套了一层 MSI 安装。

**注意，本篇文章部分分析内容尝试使用AI协助，我会标注，请注意分辨，但清除的方法是100%人工确认正确的，有时间我会自己再看看这个U马，摸摸他们的底层技术逻辑，这篇就暂时浅浅的过一遍了。**

## 先看入口：快捷方式到底指向哪

右键那个假文件夹快捷方式，看“目标”，看到的是这个：
![](/zb_users/upload/2026/06/202606300918419151782.png)
```cmd
%SystemRoot%\System32\msiexec.exe /q /i "static\pagefile.db"
```

这就有点意思了。

`msiexec.exe` 是 Windows 自带的安装程序，正常软件安装 MSI 包会用到它。它本身不是病毒，问题在后面的参数：

```cmd
/q /i "static\pagefile.db"
```

`/i` 是安装，`/q` 是静默。也就是说，用户双击这个“文件夹”的时候，实际上是在偷偷安装 `static\pagefile.db`。

这个 `pagefile.db` 名字起得也挺会装。`pagefile` 看着像系统分页文件，`.db` 又像数据库文件，普通人很难第一时间怀疑它是可执行载荷。但从行为来看，它实际就是一个改了后缀的 MSI 安装包。

所以第一段感染链大概是这样：

```text
用户双击 U 盘里的假文件夹快捷方式
→ 快捷方式调用 msiexec.exe
→ 静默安装 static\pagefile.db
→ 木马落地到本机
→ 后面继续感染 U 盘
```

这就不是快捷方式了，是拿 Windows Installer 当跳板的木马。

接下去直接吧db拖各种沙箱↓
### pagefile.db
- HASH
	- SHA256:174ddbd8a6041929db37d51a69761bb3d60edc5f0793915a84a6b53471d6f5e2
	- MD5:ca6b1f3e3a2263909d10d65f165453e1
	- SHA1:2fac4e75677c29c0f51696a963517fac83ef3055

微步：
https://s.threatbook.com/report/file/174ddbd8a6041929db37d51a69761bb3d60edc5f0793915a84a6b53471d6f5e2
![](/zb_users/upload/2026/06/202606300917089634476.png)
VT沙箱：
https://www.virustotal.com/gui/file/174ddbd8a6041929db37d51a69761bb3d60edc5f0793915a84a6b53471d6f5e2
![](/zb_users/upload/2026/06/202606300917172755789.png)
anyrun:
https://app.any.run/tasks/6a1cbf83-babe-4105-8d28-2b339b263c99
![](/zb_users/upload/2026/06/202606300917521867928.png)

直接丢到any.run里
> https://app.any.run/tasks/6a1cbf83-babe-4105-8d28-2b339b263c99

![](/zb_users/upload/2026/06/202606300856499847597.png)

然后就把沙箱分析的内容一股脑丢给ai他分析了一阵子输出的结果大致如下，我自己也看了xia1，确实和GPT5.5说的有点像，我把他的原文稍加修改贴上去了：
**AI结果大致如下**:

# AI分析

## 本机为什么会一直复发

刚开始只清 U 盘，肯定清不干净。因为 U 盘只是表面，真正让它复活的是电脑里的驻留项。

查进程的时候，看到了这种东西：

```cmd
msiexec.exe /qn /i pagefile.db
```

再往上追父进程，发现是任务计划程序服务拉起来的。于是重点查计划任务，果然抓到一个：

```text
\SystemCoreUpdate
```

任务内容是：

```cmd
msiexec.exe /qn /i pagefile.db
```

工作目录是：

```text
C:\Users\<用户名>\AppData\Local
```

这个名字就很“正经”了，`SystemCoreUpdate`，看着像系统核心更新。但 Windows 正常任务里没有这么个东西。它的作用很简单：隔一段时间就跑一次，把 `AppData\Local\pagefile.db` 再安装一遍。

这就解释了说的“删了又有”。

删 U 盘里的快捷方式，它可以再生成；删 U 盘里的 `pagefile.db`，本机还可以再写进去；不删这个计划任务，基本就是白忙。

## 落地文件长什么样

这次机器上主要看到几个东西：

```text
C:\Users\<用户名>\AppData\Local\pagefile.db
C:\Users\<用户名>\AppData\Local\Rar.exe
C:\Users\<用户名>\AppData\Local\Rar.tmp
C:\Users\<用户名>\AppData\Local\PageFile
```

`pagefile.db` 是核心。它不是普通 db 文件，是 MSI 安装包伪装的。

`Rar.exe` 和 `Rar.tmp` 也挺扎眼。名字像 WinRAR 的命令行程序，但它不在正常的 `Program Files\WinRAR` 下面，而是被丢在用户的 `AppData\Local` 里。这个位置就不对。

查 hash 后发现，这个 `Rar.exe` 更像是被木马捆进去的合法 RAR 命令行工具。合法工具本身不一定有问题，但被木马放到这里，通常就是拿来干活的，比如压缩收集到的文件。

还有一个目录：

```text
AppData\Local\PageFile
```

这个目录也会装。正常 Windows 分页文件叫 `pagefile.sys`，在系统盘根目录附近，不会跑到用户目录里建个 `PageFile` 文件夹。这个目录名基本就是混淆视听。

结合公开资料里类似样本的行为，这类木马可能会搜集文档类文件，比如：

```text
doc
docx
xls
xlsx
ppt
pptx
pdf
txt
```

然后用 RAR 打包，伪装成别的 `.db` 文件。也就是说，它不一定只是传播那么简单，还可能顺手偷文件。

## U 盘上它怎么传播

U 盘这边的表现就很典型了。

比如原来 U 盘里有个文件夹叫 `C`，中毒后可能会变成：

```text
G:\C.lnk
G:\C\pagefile.db
```

有的变种会放在：

```text
G:\static\pagefile.db
```

然后真实文件夹会被加上隐藏和系统属性。用户打开资源管理器，只看到一个 `C.lnk`，图标还像文件夹。双击之后，以为是在打开自己的文件夹，实际上是又执行了一次：

```cmd
msiexec.exe /q /i pagefile.db
```

这招老，但是有效。尤其是在办公环境，U 盘今天插这台，明天插那台，一会儿就能传一片。

## 跟公开资料对了一下

后面拿关键词搜了一圈，最像的是一个叫 **Shadow Hijacker** 的样本家族。公开分析里提到的几个点，和这次现场看到的基本能对上：

```text
LNK 快捷方式启动
pagefile.db 实际是 MSI
创建 SystemCoreUpdate 计划任务
通过 msiexec.exe 静默安装
释放 Rar.exe
使用 PageFile 目录
通过 U 盘隐藏文件夹并生成同名快捷方式传播
```

所以内部可以先按这个名字记：

```text
Shadow Hijacker / USB-LNK-MSI Stealer
```

当然，不一定每个样本 hash 都完全一样。这类东西很容易重打包、改后缀、换路径。真正有价值的是行为链，而不是只盯着某一个 hash。

这次我们抓到的几个 IOC：

```text
计划任务：
\SystemCoreUpdate

本地文件：
%LOCALAPPDATA%\pagefile.db
%LOCALAPPDATA%\Rar.exe
%LOCALAPPDATA%\Rar.tmp
%LOCALAPPDATA%\PageFile

U 盘文件：
*\pagefile.db
*\static\pagefile.db
*\C\pagefile.db

可疑命令：
msiexec.exe /q /i pagefile.db
msiexec.exe /qn /i pagefile.db

快捷方式特征：
.lnk 中包含 msiexec、pagefile.db、static 等字符串
```

## 手工清理怎么做

如果只有一台机器，手工也能处理。

第一步，先看计划任务：

```cmd
schtasks /query /fo LIST /v | findstr /i "SystemCoreUpdate pagefile msiexec"
```

如果看到 `SystemCoreUpdate`，直接删：

```cmd
schtasks /delete /tn "\SystemCoreUpdate" /f
```

第二步，查正在跑的安装进程：

```cmd
wmic process where "name='msiexec.exe'" get ProcessId,ParentProcessId,CommandLine
```

如果看到：

```cmd
msiexec.exe /qn /i pagefile.db
```

就结束对应 PID：

```cmd
taskkill /f /pid <PID>
```

第三步，删本地文件：

```cmd
del /a /f /q "%LOCALAPPDATA%\pagefile.db"
del /a /f /q "%LOCALAPPDATA%\Rar.exe"
del /a /f /q "%LOCALAPPDATA%\Rar.tmp"
rmdir /s /q "%LOCALAPPDATA%\PageFile"
```

第四步，清 U 盘。假设 U 盘是 `G:`：

```cmd
G:
attrib -h -s -r /s /d *.*
del /a /f /q G:\*.lnk
del /a /f /q G:\autorun.inf
del /a /f /q G:\pagefile.db
del /a /f /q G:\static\pagefile.db
del /a /f /q G:\C\pagefile.db
rmdir /s /q G:\static
```

这里要注意，`System Volume Information` 报拒绝访问是正常的，不用慌。

## 多台电脑就别手工搞了

这次麻烦的是，中毒的不止一台电脑。手工清一台还行，多了就容易漏。

于是让ai写了个 Go 的小清理工具，做几件事：

```text
扫描并删除 SystemCoreUpdate 计划任务
查杀 msiexec.exe /i pagefile.db 进程
删除 AppData\Local 下的 pagefile.db、Rar.exe、Rar.tmp、PageFile
扫描 Run 启动项、服务、WMI 事件订阅
恢复 U 盘隐藏属性
删除 U 盘里的 pagefile.db 和恶意 .lnk
输出完整日志
支持 monitor 模式，前台盯着新插入的 U 盘
```

为什么用 Go？主要是单文件好分发，而且可以编译 32 位和 64 位版本。Win7 机器还不少，PowerShell 版本参差不齐，用纯脚本不稳。

> 完整代码有点长，我就放到群辉上了，需要的可以[点击下载](https://gofile.me/78pyF/OAcnZkZf1 "点击下载")或者也可以让ai生成一个：

给 Win7 用要注意一点：建议用 Go 1.20.x 编译。：

```powershell
$env:GOOS="windows"
$env:GOARCH="386"
go build -trimpath -ldflags "-s -w" -o usb_cleaner_win7_x86.exe main.go

$env:GOOS="windows"
$env:GOARCH="amd64"
go build -trimpath -ldflags "-s -w" -o usb_cleaner_x64.exe main.go
```

用的时候先扫：

```cmd
usb_cleaner_win7_x86.exe -mode scan
```

确认命中的是这些东西：

```text
\SystemCoreUpdate
AppData\Local\pagefile.db
AppData\Local\Rar.exe
AppData\Local\Rar.tmp
U盘:\C\pagefile.db
U盘:\C.lnk
```

再清：

```cmd
usb_cleaner_win7_x86.exe -mode clean -purge-installer-cache
```

如果现场要一直插拔 U 盘处理，可以开监测：

```cmd
usb_cleaner_win7_x86.exe -mode monitor -interval 5s -purge-installer-cache
```

日志默认在：

```text
C:\ProgramData\UsbShortcutCleaner\logs\
```

这个日志很有用。后面复盘时能看清楚：删了哪个任务，删了哪些文件，hash 是多少，U 盘里清了哪些快捷方式。

## 清完以后怎么确认

一、重新扫一遍：

```cmd
usb_cleaner.exe -mode scan
```

确认没有可疑计划任务、进程、服务、Run、WMI。

二、等两分钟再扫一次。这个样本之前会周期性拉起 `msiexec.exe /qn /i pagefile.db`，如果保活没断，过一会儿会自己回来。

三、拿一个空 U 盘测试。插进去后如果不再生成 `.lnk` 和 `pagefile.db`，这台机器才算基本清干净。

## 最后说两句

这个东西最坑的地方是，它表面看是 U 盘问题，实际上根在电脑里。

只格式化 U 盘，没有用。
只删除快捷方式，也没有用。
只杀一次 `msiexec.exe`，还是没有用。

一定要把这条链拆掉：

```text
SystemCoreUpdate
→ msiexec.exe
→ pagefile.db
→ Rar.exe / PageFile
→ U 盘快捷方式传播
```

清理顺序也很重要：

```text
先清电脑
再清 U 盘
最后复查
```

如果是单位环境，建议临时管控 U 盘流转。否则你这边刚清完，用户拿一个老 U 盘回来一插，又重新开始。

这类样本技术上不算多高级，但它很懂办公环境。名字装得像系统文件，任务装得像系统更新，执行还借 Windows 自带的 `msiexec.exe`。普通用户不懂，安全软件漏一下，就能传很远。

所以以后看到“文件夹变快捷方式”，别只盯着 U 盘，先去电脑里查查有没有：

```text
\SystemCoreUpdate
%LOCALAPPDATA%\pagefile.db
msiexec.exe /qn /i pagefile.db
```

这几个一出来，基本就能顺着线把它揪出来。

## 参考链接
> https://1275.ru/ioc/shadow-hijacker-novyy-kompleksnyy-vredonosnyy-obrazets-s-mnogourovnevym-ukloneniem-i-kontrolem_17296

少长咸集

群贤毕至

访客2026-08-24 22:43:41 · 回复太强了大佬！！我电脑空闲空间一百多G的被这个病毒搞得只有八十多G了，这种被病毒占用的空间怎么恢复哇
村口曹师傅2026-09-01 17:19:49 · 回复空间要是被占用的话打开系统隐藏文件就可以看到被隐藏起来的文件了，要是不会的话可以网上搜一下具体打开方法，很简单的

访客2026-08-20 09:06:01 · 回复互联网真好，我还在头疼怎么清除病毒呢

搜索

« 2026年9月 »
一	二	三	四	五	六	日
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30

欢迎来到秘境

网络安全 木马分析

【木马分析】U 盘木马 pagefile.db

村口曹师傅 发表于2026-06-30 08:50:45 浏览769 评论3

少长咸集

群贤毕至

网络安全木马分析

村口曹师傅发表于2026-06-30 08:50:45 浏览769 评论3