bushu.exe

文件名称:c:\\windows\\system32\\bushu.exe

文件大小:299163 byte

系统进程:否

系统文件:否

是否安全:是

可以删除:是

文件类型:PE32 executable for MS Windows (GUI) Intel 80386 32-bit

MD5:0767a050aaabbe0034eb92186a1d8532

SHA1: 4d72701add95bc4ffd2658c6d79e49a147743065

行为:提升进程权限为SeDebugPrivilege,跨进程注入

描述：

最近发现计算机扫描时突然多出了一bushu.exe 经360杀毒查杀认定为木马程序,金山毒霸查杀结果为没有威胁,在网上搜索相关资料却寥寥可数,这让人很疑惑,以前大家都没碰到很多这个文件.但是发现基本上是win7系统中才出现的.在XP中尚未发现有存在的.

更有意思的是经贝壳安全网两次检测竟然结果天壤之别,

两次检测时间分别是2009-07-03和2009-08-05

第一次检测结果:

bushu.exe

安全级别:危险

恶意软件：malware.undef.42415

截获时间:2009-07-03

该文件为恶意软件！建议立即使用贝壳木马专杀工具进行清除！

第二次检测结果:bushu.exe

安全级别:无威胁

截获时间:2009-07-03

该文件经《贝壳木马专杀》检测属于无威胁安全文件！

而事实上经众多软件检测28%的杀软(10/36)报告发现病毒;

而经 毒霸、瑞星、卡巴斯基、Nod32、小红伞、McAfee六大杀毒软件两次检测有1/6 款杀毒软件检测到 bushu.exe 含有病毒木马及可疑风险!

扫描结果:

扫描结果 　时间

28%的杀软(10/36)报告发现病毒　 2010/03/17 09:43:08 (CST)

软件名称　软件版本　病毒库版本　病毒库时间　扫描结果　时间

a-squared　4.5.0.8　20100317063140　2010-03-17　Trojan.Win32.Pasta!IK　5.600

AntiVir　8.2.1.180　7.10.5.109　2010-03-16　TR/Pasta.afh　0.297

Arcavir　2009　201003161527　2010-03-16　-　0.326

Authentium　5.1.1　201003162149　2010-03-16　W32/Trojan2.MAQT (Exact)　1.230

AVAST!　4.7.4　100316-1　2010-03-16　-　0.072

AVG　8.5.720　271.1.1/2751　2010-03-17　-　2.597

BitDefender　7.81008.5464857　7.30809　2010-03-17　-　5.470

ClamAV　0.95.3　10584　2010-03-17　-　0.216

Comodo　3.13.579　4289　2010-03-16　TrojWare.Win32.Trojan.Agent.Gen　0.878

CP Secure　1.3.0.5　2010.03.17　2010-03-17　-　0.179

Dr.Web　5.0.1.12222　2010.03.17　2010-03-17　-　6.723

F-Prot　4.4.4.56　20100316　2010-03-16　W32/Trojan2.MAQT (exact)　1.247

F-Secure　7.02.73807　2010.03.16.12　2010-03-16　Trojan.Win32.Autoit.adz [AVP]　0.467

GData　19.10811/19.823　20100317　2010-03-17　-　6.911

Ikarus　T3.1.01.80　2010.03.16.75413　2010-03-16　Trojan.Win32.Pasta　6.015

Microsoft　1.5605　2010.03.16　2010-03-16　-　6.524

Norman　6.01.09　6.01.00　2010-02-10　-　4.008

nProtect　20100315.01　7762459　2010-03-15　-　4.731

Quick Heal　10.00　2010.03.15　2010-03-15　-　1.453

Sophos　3.05.4　4.51　2010-03-17　-　3.872

Sunbelt　3.9.2410.2　5922　2010-03-16　-　4.407

The Hacker　6.5.2.0　v00235　2010-03-16　Trojan/Agent.crgi　0.529

VBA32　3.12.12.2　20100315.2209　2010-03-15　-　3.192

ViRobot　20100316　2010.03.16　2010-03-16　-　0.428

VirusBuster　4.5.11.10　10.121.23/1974900　2010-03-17　-　2.960

卡巴斯基　5.5.10　2010.03.16　2010-03-16　Trojan.Win32.Autoit.adz　0.364

安博士V3　2010.03.17.00　2010.03.17　2010-03-17　-　1.080

安天　2.0.18　20100316.4012312　2010-03-16　Trojan/Win32.Pasta.bbu　0.120

江民杀毒　13.0.900　2010.03.16　2010-03-16　-　6.764

熊猫卫士　9.05.01　2010.03.16　2010-03-16　-　2.329

瑞星　20.0　22.39.01.07　2010-03-17　-　1.523

赛门铁克　1.3.0.24　20100311.002　2010-03-11　-　0.004

趋势科技　9.120-1004　6.926.01　2010-03-16　-　0.000

迈克菲　5.3.00　5922　2010-03-16　-　3.691

金山毒霸　2009.2.5.15　2010.3.16.22　2010-03-16　-　0.659

飞塔　4.0.14　11.586　2010-03-16　-　0.308　注意: 就算报告发现病毒，也可能是杀软误报，请根据查毒结果自行判断

反向工程分析，该文件为autoit编写的一个脚本文件，作用未知，但肯定非系统本身的东西，完全可以删除。