刚刚重装的系统，是XPSP2，发现进程里有两个spoolsv，一个的用户名是我的用户名Isabel Kwok，另一个的用户名是System，而且目前都没有占用很大的内存和CPU，看起来貌似是正常的,用瑞星查杀，没有报告有病毒。

但重装系统之前该进程只有一个的，用瑞星18.19.42杀了毒，没有发现病毒。请问各位，两个spoolsv中是不是有一个是病毒/木马的伪装啊？

下面这张图瑞星防火墙“系统状态”里“进程信息”的抓图，图里瑞星防火墙用红字标出了一些进程。其中，nvsvc32是显卡的进程，ADeck是声卡的进程，那Windows下的spoolsv为什么会被标出来呢？System32下的另外一个spoolsv又为什么不标出呢?

还有就是，我按照红字标出的spoolsv的路径去找这个进程文件，发现Windows目录下并没有这个文件，但System32目录下的那个spoolsv我找到了。

另外，刚刚我趁红字spoolsv进程在活动时，按照从瑞星防火墙“系统状态”的“网络活动”中查出的监听端口的IP地址查了下，连接的是浙江宁波的一个电信用户【我是湖南的铁通用户】

请各位再看看～～

新增hijackthis扫描日志2份，见18－19楼


【图片传上来以后貌似看不清楚，请点击查看】

引用:

【南宫古竑的贴子】conime.exe是输入法编辑器相关程序 spoolsv  Windows打印任务控制程序，如果没有打印机，可以在服务里面中止此项启动 ...........................

谢谢你告诉我~~

引用:

【bettertiger的贴子】不知道你开启了打印机了没，我的打印机关闭，就一个system的进程啊。应该是正常的吧，如果怀疑中了木马就杀毒吧。 ...........................

我没有连接打印机~~

会奇怪这个进程主要是因为之前一直都是一个这个spoolsv进程的，现在突然多了一个~~

我用瑞星杀过毒了，没有检测到病毒~~~

奇怪的事情又发生了，刚刚查看进程表，又多了对“双胞胎”进程，进程名：wuauclt~~

真是越来越奇怪，这和我开了系统还原有没有关系呢？我以前都是关闭系统还原的（所以不出现双胞胎进程？？）~~~~~

问题的发展顺序：主贴1楼→5楼→8楼

引用:

【南宫古竑的贴子】我原先只有两个rundll32进程，还有scvchost多了一个，后来把百毒搜的那个是么东西删掉了，那两个进程就没了，我也不知道那些东西算不算病毒或木马，是用HJ删的。 还有进程信息如果自己不放心可以在网上搜索，就是怕正常进程被感染，那要导出日志，请高手帮忙。 ...........................

可是我没有安装那些讨厌的东西啊～～～

而且我系统是今天才重装的，还是新的咧～～～

还有，HJ是什么啊？？～～

疯了进程又变了，svchost从5个变成了6个，wuauclt恢复成1个，spoolsv2个，多了2个mspaint(这个是XP画图的进程吗？)

烦啊

问题的发展顺序：主贴1楼→5楼→8楼

引用:

【南宫古竑的贴子】同感同感我也没办法了，高手帮忙 ...........................

看起来你的 情况 比我的严重，你的svchost比我的多2个～～

就没有高手来帮帮我们这些小菜吗？～～

我知道那些进程是系统的正常进程

我疑惑的是进程的 数量和以前不一样

【spoolsv以前是一个，现在是两个；svchost以前只有五个，现在有六个】

特别是系统还是刚刚装好，没有进行任何设置的情况下～～～

下面这张图瑞星防火墙“系统状态”里“进程信息”的抓图，图里瑞星防火墙用红字标出了一些进程。其中，nvsvc32是显卡的进程，ADeck是声卡的进程，那Windows下的spoolsv为什么会被标出来呢？System32下的另外一个spoolsv又为什么不标出呢?

还有就是，我按照红字spoolsv的路径去找这个进程文件，发现Windows目录下并没有这个文件。

另外，刚刚我趁红字spoolsv进程在活动时，按照从瑞星防火墙“系统状态”的“网络活动”中查出的监听端口的IP地址查了下，连接的是浙江宁波的一个电信用户【我是湖南的铁通用户】

请各位再看看～～

Logfile of HijackThis v1.99.1
Scan saved at 14:20:06, on 2006-3-27
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
F:\Program Files\Rising\Rav\CCenter.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.exe
F:\Program Files\Rising\Rav\Ravmond.exe
F:\Program Files\Rising\Rfw\rfwsrv.exe
C:\WINDOWS\system32\spoolsv.exe
F:\Program Files\Rising\Rav\RavStub.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\spoolsv.exe
F:\Program Files\Rising\Rfw\RfwMain.exe
C:\WINDOWS\system32\conime.exe
F:\Program Files\Rising\Rav\RavTask.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\VIAudioi\SBADeck\ADeck.exe
C:\WINDOWS\system32\ctfmon.exe
F:\Program Files\Rising\Rav\Ravmon.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\svchost.exe
F:\Program Files\HijackThis\HijackThis.exe

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\spoolsv.exe
O2 - BHO: ThunderIEHelper - {0005A87D-D626-4B3A-84F9-1D9571695F55} - C:\WINDOWS\system32\xunleibho_v14.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O2 - BHO: QQIEHelper - {54EBD53A-9BC1-480B-966A-843A333CA162}? - (no file)
O2 - BHO: MMSAssist - {6671A431-5C3D-463d-A7CF-5587F9B7E191}? - (no file)
O3 - Toolbar: 卡卡上网安全助手 - {DB9ECD4F-FB8F-4311-B3CE-90B976C2707C} - C:\WINDOWS\system32\kakatool.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RavTask] "F:\Program Files\Rising\Rav\RavTask.exe" -system
O4 - HKLM\..\Run: [RfwMain] "F:\Program Files\Rising\Rfw\rfwmain.exe" -Startup
O4 - HKLM\..\Run: [StormCodec_Helper] "F:\Program Files\Ringz Studio\Storm Codec\StormSet.exe" /S /opti
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NVMCTRAY.DLL,NvTaskbarInit
O8 - Extra context menu item: &使用迅雷下载 - F:\Program Files\Thunder Network\Thunder\geturl.htm
O8 - Extra context menu item: &使用迅雷下载全部链接 - F:\Program Files\Thunder Network\Thunder\getallurl.htm
O8 - Extra context menu item: 上传到QQ网络硬盘 - F:\Program Files\Tencent\QQ\AddToNetDisk.htm
O8 - Extra context menu item: 导出到 Microsoft Excel(&x) - res://F:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: 添加到QQ自定义面板 - F:\Program Files\Tencent\QQ\AddPanel.htm
O8 - Extra context menu item: 添加到QQ表情 - F:\Program Files\Tencent\QQ\AddEmotion.htm
O8 - Extra context menu item: 用QQ彩信发送该图片 - F:\Program Files\Tencent\QQ\SendMMS.htm
O8 - Extra context menu item: 用比特精灵下载(&B) - F:\Program Files\BitSpirit\bsurl.htm
O9 - Extra button: (no name) - {6671A433-5C3D-463d-A7CF-5587F9B7E191}? - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: MMSAssist工具条设置 - {6671A433-5C3D-463d-A7CF-5587F9B7E191}? - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b} - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b}? - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra 'Tools' menuitem: 腾讯QQ - {c95fe080-8f5d-11d2-a20b-00aa003c157b}? - F:\Program Files\Tencent\QQ\QQ.EXE
O9 - Extra button: 易趣购物 - {DE607143-AC19-423e-862A-2D70ABDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - Extra 'Tools' menuitem: 易趣购物 - {DE607143-AC19-423e-862A-2D70ABDF119A}? - http://click2.ad4all.net/url2/urlmanage/url.asp?id=5 (file missing)
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6} - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: (no name) - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6}? - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra 'Tools' menuitem: QQ炫彩工具条设置 - {DEDEB80D-FA35-45d9-9460-4983E5A8AFE6}? - F:\Program Files\Tencent\QQ\QQIEHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683}? - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: 访问瑞星网站 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E444} - http://www.rising.com.cn/?u=RSTB (file missing)
O9 - Extra button: 访问卡卡社区 - {FF2DE7A6-ECB1-4CBC-9C0E-D92A9E66E445} - http://www.ikaka.com/?u=RSTB (file missing)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1143322968062
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1143322935578
O17 - HKLM\System\CCS\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O17 - HKLM\System\CS2\Services\Tcpip\..\{38260AD0-F939-40A6-8666-8D7C70929388}: NameServer = 61.187.191.3
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Rising Proxy  Service (RfwProxySrv) - Beijing Rising Technology Co., Ltd. - f:\program files\rising\rfw\rfwproxy.exe
O23 - Service: Rising Personal Firewall Service (RfwService) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rfw\rfwsrv.exe
O23 - Service: Rising Process Communication Center (RsCCenter) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rav\CCenter.exe
O23 - Service: RsRavMon Service (RsRavMon) - Beijing Rising Technology Co., Ltd. - F:\Program Files\Rising\Rav\Ravmond.exe