网络安全 木马分析

【木马分析】U 盘木马 pagefile.db

村口曹师傅发表于2026-06-30 08:50:45 浏览2 评论0

## 说在前面
如果不想看分析，然后遇到和我一样的情况，可以直接下载ai写的清除工具清除就好~~(ai写代码好用)~~，实测无问题：https://gofile.me/78pyF/OAcnZkZf1

前两天处理了一个挺有意思，也挺烦人的 U 盘病毒，至于网上搜不到类似的中文分析文档，只有[一篇俄罗斯大佬写的](https://1275.ru/ioc/shadow-hijacker-novyy-kompleksnyy-vredonosnyy-obrazets-s-mnogourovnevym-ukloneniem-i-kontrolem_17296 "一篇俄罗斯大佬写的")，所以也导致我尝试写一篇，而且目前测试下来，**360无法根治**，可能之后会支持

一开始朋友说得很简单：U 盘插上以后，里面的文件夹都变成快捷方式了。删掉快捷方式，原来的文件夹能出来一下，但没过多久又变回去了。换台电脑插也是类似情况。

网安接触的早的应该都见过，第一反应就是“U 盘快捷方式病毒”。以前很多都是 VBS、JS、BAT 那种脚本，给文件夹加隐藏属性，再造几个同名快捷方式糊弄人。但这次这个东西不太一样，它不是单纯脚本，里面还套了一层 MSI 安装。

**注意，本篇文章部分分析内容尝试使用AI协助，我会标注，请注意分辨，但清除的方法是100%人工确认正确的，有时间我会自己再看看这个U马，摸摸他们的底层技术逻辑，这篇就暂时浅浅的过一遍了。**

## 先看入口：快捷方式到底指向哪

右键那个假文件夹快捷方式，看“目标”，看到的是这个：
![](/zb_users/upload/2026/06/202606300918419151782.png)
```cmd
%SystemRoot%\System32\msiexec.exe /q /i "static\pagefile.db"
```

这就有点意思了。

`msiexec.exe` 是 Windows 自带的安装程序，正常软件安装 MSI 包会用到它。它本身不是病毒，问题在后面的参数：

```cmd
/q /i "static\pagefile.db"
```

`/i` 是安装，`/q` 是静默。也就是说，用户双击这个“文件夹”的时候，实际上是在偷偷安装 `static\pagefile.db`。

这个 `pagefile.db` 名字起得也挺会装。`pagefile` 看着像系统分页文件，`.db` 又像数据库文件，普通人很难第一时间怀疑它是可执行载荷。但从行为来看，它实际就是一个改了后缀的 MSI 安装包。

所以第一段感染链大概是这样：

```text
用户双击 U 盘里的假文件夹快捷方式
→ 快捷方式调用 msiexec.exe
→ 静默安装 static\pagefile.db
→ 木马落地到本机
→ 后面继续感染 U 盘
```

这就不是快捷方式了，是拿 Windows Installer 当跳板的木马。

接下去直接吧db拖各种沙箱↓
### pagefile.db
- HASH
	- SHA256:174ddbd8a6041929db37d51a69761bb3d60edc5f0793915a84a6b53471d6f5e2
	- MD5:ca6b1f3e3a2263909d10d65f165453e1
	- SHA1:2fac4e75677c29c0f51696a963517fac83ef3055

微步：
https://s.threatbook.com/report/file/174ddbd8a6041929db37d51a69761bb3d60edc5f0793915a84a6b53471d6f5e2
![](/zb_users/upload/2026/06/202606300917089634476.png)
VT沙箱：
https://www.virustotal.com/gui/file/174ddbd8a6041929db37d51a69761bb3d60edc5f0793915a84a6b53471d6f5e2
![](/zb_users/upload/2026/06/202606300917172755789.png)
anyrun:
https://app.any.run/tasks/6a1cbf83-babe-4105-8d28-2b339b263c99
![](/zb_users/upload/2026/06/202606300917521867928.png)

直接丢到any.run里
> https://app.any.run/tasks/6a1cbf83-babe-4105-8d28-2b339b263c99

![](/zb_users/upload/2026/06/202606300856499847597.png)

然后就把沙箱分析的内容一股脑丢给ai他分析了一阵子输出的结果大致如下，我自己也看了xia1，确实和GPT5.5说的有点像，我把他的原文稍加修改贴上去了：
**AI结果大致如下**:

# AI分析

## 本机为什么会一直复发

刚开始只清 U 盘，肯定清不干净。因为 U 盘只是表面，真正让它复活的是电脑里的驻留项。

查进程的时候，看到了这种东西：

```cmd
msiexec.exe /qn /i pagefile.db
```

再往上追父进程，发现是任务计划程序服务拉起来的。于是重点查计划任务，果然抓到一个：

```text
\SystemCoreUpdate
```

任务内容是：

```cmd
msiexec.exe /qn /i pagefile.db
```

工作目录是：

```text
C:\Users\<用户名>\AppData\Local
```

这个名字就很“正经”了，`SystemCoreUpdate`，看着像系统核心更新。但 Windows 正常任务里没有这么个东西。它的作用很简单：隔一段时间就跑一次，把 `AppData\Local\pagefile.db` 再安装一遍。

这就解释了说的“删了又有”。

删 U 盘里的快捷方式，它可以再生成；删 U 盘里的 `pagefile.db`，本机还可以再写进去；不删这个计划任务，基本就是白忙。

## 落地文件长什么样

这次机器上主要看到几个东西：

```text
C:\Users\<用户名>\AppData\Local\pagefile.db
C:\Users\<用户名>\AppData\Local\Rar.exe
C:\Users\<用户名>\AppData\Local\Rar.tmp
C:\Users\<用户名>\AppData\Local\PageFile
```

`pagefile.db` 是核心。它不是普通 db 文件，是 MSI 安装包伪装的。

`Rar.exe` 和 `Rar.tmp` 也挺扎眼。名字像 WinRAR 的命令行程序，但它不在正常的 `Program Files\WinRAR` 下面，而是被丢在用户的 `AppData\Local` 里。这个位置就不对。

查 hash 后发现，这个 `Rar.exe` 更像是被木马捆进去的合法 RAR 命令行工具。合法工具本身不一定有问题，但被木马放到这里，通常就是拿来干活的，比如压缩收集到的文件。

还有一个目录：

```text
AppData\Local\PageFile
```

这个目录也会装。正常 Windows 分页文件叫 `pagefile.sys`，在系统盘根目录附近，不会跑到用户目录里建个 `PageFile` 文件夹。这个目录名基本就是混淆视听。

结合公开资料里类似样本的行为，这类木马可能会搜集文档类文件，比如：

```text
doc
docx
xls
xlsx
ppt
pptx
pdf
txt
```

然后用 RAR 打包，伪装成别的 `.db` 文件。也就是说，它不一定只是传播那么简单，还可能顺手偷文件。

## U 盘上它怎么传播

U 盘这边的表现就很典型了。

比如原来 U 盘里有个文件夹叫 `C`，中毒后可能会变成：

```text
G:\C.lnk
G:\C\pagefile.db
```

有的变种会放在：

```text
G:\static\pagefile.db
```

然后真实文件夹会被加上隐藏和系统属性。用户打开资源管理器，只看到一个 `C.lnk`，图标还像文件夹。双击之后，以为是在打开自己的文件夹，实际上是又执行了一次：

```cmd
msiexec.exe /q /i pagefile.db
```

这招老，但是有效。尤其是在办公环境，U 盘今天插这台，明天插那台，一会儿就能传一片。

## 跟公开资料对了一下

后面拿关键词搜了一圈，最像的是一个叫 **Shadow Hijacker** 的样本家族。公开分析里提到的几个点，和这次现场看到的基本能对上：

```text
LNK 快捷方式启动
pagefile.db 实际是 MSI
创建 SystemCoreUpdate 计划任务
通过 msiexec.exe 静默安装
释放 Rar.exe
使用 PageFile 目录
通过 U 盘隐藏文件夹并生成同名快捷方式传播
```

所以内部可以先按这个名字记：

```text
Shadow Hijacker / USB-LNK-MSI Stealer
```

当然，不一定每个样本 hash 都完全一样。这类东西很容易重打包、改后缀、换路径。真正有价值的是行为链，而不是只盯着某一个 hash。

这次我们抓到的几个 IOC：

```text
计划任务：
\SystemCoreUpdate

本地文件：
%LOCALAPPDATA%\pagefile.db
%LOCALAPPDATA%\Rar.exe
%LOCALAPPDATA%\Rar.tmp
%LOCALAPPDATA%\PageFile

U 盘文件：
*\pagefile.db
*\static\pagefile.db
*\C\pagefile.db

可疑命令：
msiexec.exe /q /i pagefile.db
msiexec.exe /qn /i pagefile.db

快捷方式特征：
.lnk 中包含 msiexec、pagefile.db、static 等字符串
```

## 手工清理怎么做

如果只有一台机器，手工也能处理。

第一步，先看计划任务：

```cmd
schtasks /query /fo LIST /v | findstr /i "SystemCoreUpdate pagefile msiexec"
```

如果看到 `SystemCoreUpdate`，直接删：

```cmd
schtasks /delete /tn "\SystemCoreUpdate" /f
```

第二步，查正在跑的安装进程：

```cmd
wmic process where "name='msiexec.exe'" get ProcessId,ParentProcessId,CommandLine
```

如果看到：

```cmd
msiexec.exe /qn /i pagefile.db
```

就结束对应 PID：

```cmd
taskkill /f /pid <PID>
```

第三步，删本地文件：

```cmd
del /a /f /q "%LOCALAPPDATA%\pagefile.db"
del /a /f /q "%LOCALAPPDATA%\Rar.exe"
del /a /f /q "%LOCALAPPDATA%\Rar.tmp"
rmdir /s /q "%LOCALAPPDATA%\PageFile"
```

第四步，清 U 盘。假设 U 盘是 `G:`：

```cmd
G:
attrib -h -s -r /s /d *.*
del /a /f /q G:\*.lnk
del /a /f /q G:\autorun.inf
del /a /f /q G:\pagefile.db
del /a /f /q G:\static\pagefile.db
del /a /f /q G:\C\pagefile.db
rmdir /s /q G:\static
```

这里要注意，`System Volume Information` 报拒绝访问是正常的，不用慌。

## 多台电脑就别手工搞了

这次麻烦的是，中毒的不止一台电脑。手工清一台还行，多了就容易漏。

于是让ai写了个 Go 的小清理工具，做几件事：

```text
扫描并删除 SystemCoreUpdate 计划任务
查杀 msiexec.exe /i pagefile.db 进程
删除 AppData\Local 下的 pagefile.db、Rar.exe、Rar.tmp、PageFile
扫描 Run 启动项、服务、WMI 事件订阅
恢复 U 盘隐藏属性
删除 U 盘里的 pagefile.db 和恶意 .lnk
输出完整日志
支持 monitor 模式，前台盯着新插入的 U 盘
```

为什么用 Go？主要是单文件好分发，而且可以编译 32 位和 64 位版本。Win7 机器还不少，PowerShell 版本参差不齐，用纯脚本不稳。

> 完整代码有点长，我就放到群辉上了，需要的可以[点击下载](https://gofile.me/78pyF/OAcnZkZf1 "点击下载")或者也可以让ai生成一个：

给 Win7 用要注意一点：建议用 Go 1.20.x 编译。：

```powershell
$env:GOOS="windows"
$env:GOARCH="386"
go build -trimpath -ldflags "-s -w" -o usb_cleaner_win7_x86.exe main.go

$env:GOOS="windows"
$env:GOARCH="amd64"
go build -trimpath -ldflags "-s -w" -o usb_cleaner_x64.exe main.go
```

用的时候先扫：

```cmd
usb_cleaner_win7_x86.exe -mode scan
```

确认命中的是这些东西：

```text
\SystemCoreUpdate
AppData\Local\pagefile.db
AppData\Local\Rar.exe
AppData\Local\Rar.tmp
U盘:\C\pagefile.db
U盘:\C.lnk
```

再清：

```cmd
usb_cleaner_win7_x86.exe -mode clean -purge-installer-cache
```

如果现场要一直插拔 U 盘处理，可以开监测：