瑞星卡卡安全论坛

刚刚重装的系统，是XPSP2，发现进程里有两个spoolsv，一个的用户名是我的用户名Isabel Kwok，另一个的用户名是System，而且目前都没有占用很大的内存和CPU，看起来貌似是正常的,用瑞星查杀，没有报告有病毒。

但重装系统之前该进程只有一个的，用瑞星18.19.42杀了毒，没有发现病毒。请问各位，两个spoolsv中是不是有一个是病毒/木马的伪装啊？

下面这张图瑞星防火墙“系统状态”里“进程信息”的抓图，图里瑞星防火墙用红字标出了一些进程。其中，nvsvc32是显卡的进程，ADeck是声卡的进程，那Windows下的spoolsv为什么会被标出来呢？System32下的另外一个spoolsv又为什么不标出呢?

还有就是，我按照红字标出的spoolsv的路径去找这个进程文件，发现Windows目录下并没有这个文件，但System32目录下的那个spoolsv我找到了。

另外，刚刚我趁红字spoolsv进程在活动时，按照从瑞星防火墙“系统状态”的“网络活动”中查出的监听端口的IP地址查了下，连接的是浙江宁波的一个电信用户【我是湖南的铁通用户】

请各位再看看～～

新增hijackthis扫描日志2份，见18－19楼


【图片传上来以后貌似看不清楚，请点击查看】










附件: 5957702006327171030.jpg

conime.exe是输入法编辑器相关程序
spoolsv  Windows打印任务控制程序，如果没有打印机，可以在服务里面中止此项启动

不知道你开启了打印机了没，我的打印机关闭，就一个system的进程啊。应该是正常的吧，如果怀疑中了木马就杀毒吧。

引用:

【南宫古竑的贴子】conime.exe是输入法编辑器相关程序 spoolsv  Windows打印任务控制程序，如果没有打印机，可以在服务里面中止此项启动 ...........................

谢谢你告诉我~~

引用:

【bettertiger的贴子】不知道你开启了打印机了没，我的打印机关闭，就一个system的进程啊。应该是正常的吧，如果怀疑中了木马就杀毒吧。 ...........................

我没有连接打印机~~

会奇怪这个进程主要是因为之前一直都是一个这个spoolsv进程的，现在突然多了一个~~

我用瑞星杀过毒了，没有检测到病毒~~~

奇怪的事情又发生了，刚刚查看进程表，又多了对“双胞胎”进程，进程名：wuauclt~~

真是越来越奇怪，这和我开了系统还原有没有关系呢？我以前都是关闭系统还原的（所以不出现双胞胎进程？？）~~~~~

问题的发展顺序：主贴1楼→5楼→8楼


附件: 5957702006326201932.jpg

我原先只有两个rundll32进程，还有scvchost多了一个，后来把百毒搜的那个是么东西删掉了，那两个进程就没了，我也不知道那些东西算不算病毒或木马，是用HJ删的。
还有进程信息如果自己不放心可以在网上搜索，就是怕正常进程被感染，那要导出日志，请高手帮忙。

引用:

【南宫古竑的贴子】我原先只有两个rundll32进程，还有scvchost多了一个，后来把百毒搜的那个是么东西删掉了，那两个进程就没了，我也不知道那些东西算不算病毒或木马，是用HJ删的。 还有进程信息如果自己不放心可以在网上搜索，就是怕正常进程被感染，那要导出日志，请高手帮忙。 ...........................

可是我没有安装那些讨厌的东西啊～～～

而且我系统是今天才重装的，还是新的咧～～～

还有，HJ是什么啊？？～～

疯了进程又变了，svchost从5个变成了6个，wuauclt恢复成1个，spoolsv2个，多了2个mspaint(这个是XP画图的进程吗？)

烦啊

问题的发展顺序：主贴1楼→5楼→8楼


附件: 5957702006326204112.jpg

同感同感我也没办法了，高手帮忙

附件: 6381392006326210426.GIF

引用:

【惜朝de情人的贴子】 可是我没有安装那些讨厌的东西啊～～～ 而且我系统是今天才重装的，还是新的咧～～～ 还有，HJ是什么啊？？～～ ...........................

新手用的扫描工具，对付病毒的！！hijackthis
我也不知道有没有用，不过不用满电脑去找那些该死的错误文件

引用:

【南宫古竑的贴子】同感同感我也没办法了，高手帮忙 ...........................

看起来你的 情况 比我的严重，你的svchost比我的多2个～～

就没有高手来帮帮我们这些小菜吗？～～

我狂晕……这些大都是系统进程。关键的不是进程本身，而是进程加载的模块有没有问题。病毒和木马常常作为模块加载进程。两位别光着急，总得发个HJ日志上来，让高手帮你看看呀。如果看不出来，还有icesword呢。HJ全名HijackThis，http://forum.ikaka.com/topic.asp?board=67&artid=5188931有得下。日志可以发到反浏览器劫持论坛或反病毒论坛，那里看这个的人比较多。

引用:

【轩辕小聪的贴子】我狂晕……这些大都是系统进程。关键的不是进程本身，而是进程加载的模块有没有问题。病毒和木马常常作为模块加载进程。两位别光着急，总得发个HJ日志上来，让高手帮你看看呀。如果看不出来，还有icesword呢。HJ全名HijackThis，http://forum.ikaka.com/topic.asp?board=67&artid=5188931有得下。日志可以发到反浏览器劫持论坛或反病毒论坛，那里看这个的人比较多。 ...........................

题外话，那么晚还有热心人
我的日志和ice和以前一样，正常，因为和以前对比是一样的（排除扫描不出的病毒项），但是开了几个不正常的软件，所以！！！
关掉就解决了.

正常啊
这是系统进呈

附件: 583152200632790308.JPG

Wuauclt.exe是Windows自动升级管理程序。该进程会不断在线检测更新。

我知道那些进程是系统的正常进程

我疑惑的是进程的 数量和以前不一样

【spoolsv以前是一个，现在是两个；svchost以前只有五个，现在有六个】

特别是系统还是刚刚装好，没有进行任何设置的情况下～～～

下面这张图瑞星防火墙“系统状态”里“进程信息”的抓图，图里瑞星防火墙用红字标出了一些进程。其中，nvsvc32是显卡的进程，ADeck是声卡的进程，那Windows下的spoolsv为什么会被标出来呢？System32下的另外一个spoolsv又为什么不标出呢?

还有就是，我按照红字spoolsv的路径去找这个进程文件，发现Windows目录下并没有这个文件。

另外，刚刚我趁红字spoolsv进程在活动时，按照从瑞星防火墙“系统状态”的“网络活动”中查出的监听端口的IP地址查了下，连接的是浙江宁波的一个电信用户【我是湖南的铁通用户】

请各位再看看～～

附件: 5957702006327140607.jpg

Logfile of HijackThis v1.99.1
Scan saved at 14:20:06, on 2006-3-27
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
F:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
F:\Program Files\Rising\Rav\Ravmond.exe
F:\Program Files\Rising\Rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
F:\Program Files\Rising\Rav\RavStub.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\spoolsv.exe
F:\Program Files\Rising\Rfw\RfwMain.exe
C:\WINDOWS\system32\conime.exe
F:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\VIAudioi\SBADeck\ADeck.exe
C:\WINDOWS\system32\ctfmon.exe
F:\Program Files\Rising\Rav\Ravmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\svchost.exe
F:\Program Files\HijackThis\HijackThis.exe

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\spoolsv.exe
O2 - BHO: ThunderIEHelper - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v14.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162}? - (no file)
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191}? - (no file)
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RavTask] "F:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [RfwMain] "F:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [StormCodec_Helper] "F:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NVMCTRAY.DLL,NvTaskbarInit
O8 - Extra context menu item: &使用迅雷下载 - F:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - F:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - Extra context menu item: 上传到QQ网络硬盘 - F:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 导出到 Microsoft Excel(&x) - res://F:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - F:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - F:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - F:\Program Files\Tencent\QQ\SendMMS.htm
O8 - Extra context menu item: 用比特精灵下载(&B) - F:\Program Files\BitSpirit\bsurl.htm
O9 - Extra button: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191}? - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191}? - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b}? - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b}? - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: 易趣购物 - {DE607143-AC19-423e-862A-2D70ABDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE607143-AC19-423e-862A-2D70ABDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6}? - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6}? - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: 访问瑞星网站 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E444} - http://www.rising.com.cn/?u=RSTB (file missing)
O9 - Extra button: 访问卡卡社区 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E445} - http://www.ikaka.com/?u=RSTB (file missing)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1143322968062
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1143322935578
O17 - HKLM\System\CCS\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O17 - HKLM\System\CS2\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - f:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rav\Ravmond.exe

Logfile of HijackThis v1.99.1
Scan saved at 14:20:17, on 2006-3-27
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
F:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
F:\Program Files\Rising\Rav\Ravmond.exe
F:\Program Files\Rising\Rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
F:\Program Files\Rising\Rav\RavStub.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\spoolsv.exe
F:\Program Files\Rising\Rfw\RfwMain.exe
C:\WINDOWS\system32\conime.exe
F:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\VIAudioi\SBADeck\ADeck.exe
C:\WINDOWS\system32\ctfmon.exe
F:\Program Files\Rising\Rav\Ravmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\svchost.exe
F:\Program Files\HijackThis\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\spoolsv.exe
O2 - BHO: ThunderIEHelper - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v14.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162}? - (no file)
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191}? - (no file)
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RavTask] "F:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [RfwMain] "F:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [StormCodec_Helper] "F:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NVMCTRAY.DLL,NvTaskbarInit
O8 - Extra context menu item: &使用迅雷下载 - F:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - F:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - Extra context menu item: 上传到QQ网络硬盘 - F:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 导出到 Microsoft Excel(&x) - res://F:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - F:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - F:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - F:\Program Files\Tencent\QQ\SendMMS.htm
O8 - Extra context menu item: 用比特精灵下载(&B) - F:\Program Files\BitSpirit\bsurl.htm
O9 - Extra button: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191}? - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191}? - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b}? - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b}? - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: 易趣购物 - {DE607143-AC19-423e-862A-2D70ABDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE607143-AC19-423e-862A-2D70ABDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6}? - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6}? - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: 访问瑞星网站 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E444} - http://www.rising.com.cn/?u=RSTB (file missing)
O9 - Extra button: 访问卡卡社区 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E445} - http://www.ikaka.com/?u=RSTB (file missing)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1143322968062
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1143322935578
O17 - HKLM\System\CCS\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O17 - HKLM\System\CS2\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O18 - Protocol: about - {3050F406-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: cdl - {3DD53D40-7B8B-11D0-B013-00AA0059CE02} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: cdo - {CD00020A-8B95-11D1-82DB-00C04FB1625D} - C:\Program Files\Common Files\Microsoft Shared\Web Folders\PKMCDO.DLL
O18 - Protocol: dvd - {12D51199-0DB5-46FE-A120-47A3D7D937CC} - C:\WINDOWS\system32\msvidctl.dll
O18 - Protocol: file - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ftp - {79EAC9E3-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: gopher - {79EAC9E4-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: http - {79EAC9E2-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: https - {79EAC9E5-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ipp - (no CLSID) - (no file)
O18 - Protocol: its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - Protocol: javascript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: local - {79EAC9E7-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: mailto - {3050F3DA-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: mhtml - {05300401-BCBC-11D0-85E3-00C04FD85AB4} - C:\WINDOWS\system32\inetcomm.dll
O18 - Protocol: mk - {79EAC9E6-BAF9-11CE-8C82-00AA004BA90B} - C:\WINDOWS\system32\urlmon.dll
O18 - Protocol: ms-its - {9D148291-B9C8-11D0-A4CC-0000F80149F6} - C:\WINDOWS\system32\itss.dll
O18 - Protocol: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Program Files\Common Files\Microsoft Shared\Information Retrieval\MSITSS.DLL
O18 - Protocol: msdaipp - (no CLSID) - (no file)
O18 - Protocol: mso-offdap - {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\PROGRA~1\COMMON~1\MICROS~1\WEBCOM~1\10\OWC10.DLL
O18 - Protocol: res - {3050F3BC-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: tv - {CBD30858-AF45-11D2-B6D6-00C04FBBDE6E} - C:\WINDOWS\system32\msvidctl.dll
O18 - Protocol: vbscript - {3050F3B2-98B5-11CF-BB82-00AA00BDCE0B} - C:\WINDOWS\system32\mshtml.dll
O18 - Protocol: wia - {13F3EA8B-91D7-4F0A-AD76-D2853AC8BECE} - C:\WINDOWS\system32\wiascr.dll
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - f:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rav\Ravmond.exe

终止这个进程

C:\WINDOWS\spoolsv.exe

修复一下F2取消启动

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\spoolsv.exe

把这个文件压缩打包上报瑞星

引用:

【艾玛的贴子】终止这个进程 C:\WINDOWS\spoolsv.exe 修复一下F2取消启动 F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\spoolsv.exe 把这个文件压缩打包上报瑞星 ...........................

我已经用hijackthis修复了F2～

但是，我在系统盘Windows目录下找不到spoolsv.exe这个文件啊(隐藏文件里也没有)，只有系统盘Windows目录下System32文件夹里才有一个spoolsv.exe，是要把System32文件夹里的spoolsv.exe上报吗？

你用KILLBOX把C:\WINDOWS\spoolsv.exe复制，重启后删除试试

spoolsv.exe,卡巴可杀之。

附件: 4575222006327163046.jpg

引用:

【梅边吹笛的贴子】spoolsv.exe,卡巴可杀之。 ...........................

谢谢了，但是偶用卡巴会卡的什么都做不了

引用:

【艾玛的贴子】你用KILLBOX把C:\WINDOWS\spoolsv.exe复制，重启后删除试试 ...........................

谢谢艾玛大大～～

偶已经用KILLBOX已经删除并将此文件备份了～～

引用:

【梅边吹笛的贴子】spoolsv.exe,卡巴可杀之。 ...........................

你的文件位置不一样，不属同类问题




楼主的那款如果是瑞星最新病毒库查不出，建议上报瑞星

引用:

【艾玛的贴子】终止这个进程 C:\WINDOWS\spoolsv.exe 修复一下F2取消启动 F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\spoolsv.exe 把这个文件压缩打包上报瑞星 ...........................

引用:

【艾玛的贴子】你用KILLBOX把C:\WINDOWS\spoolsv.exe复制，重启后删除试试 ...........................

谢谢艾玛斑斑，已经删除该文件，重启后没有异常情况～～

并已经将文件打包上报瑞星～～