我打开了两个系统自带的画图程序（C:\WINDOWS\system32\mspaint.exe），进行一些简单的图像编辑操作。我从其中一个画图程序向另一个画图程序复制，然后保存，这时，瑞星之剑就将画图程序拦截，弹出警告窗口。正在执行保存操作的那个画图程序被强行关闭，正在保存的图片文件变成了空的，0字节。反复试过多次，都这样，真是好烦。
我把 mspaint.exe 上传到在线查毒网站，众多杀毒引擎都没查到病毒。
瑞星之剑升级到最新的 v1.0.0.44，还是这样。

用户系统信息：Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.0.2661.102 Safari/537.36

是中文版操作系统
Windows XP Pro SP3
简体中文版
MSDN（VOL）那个版本

我在 C 盘搜索到 4 个 mspaint.exe 文件。

C:\WINDOWS\system32\mspaint.exe
文件名称: C:\WINDOWS\system32\mspaint.exe
文件大小: 332288 字节
文件版本: 5.1.2600.5918 (xpsp_sp3_gdr.091216-2054)
修改时间: 2009年12月17日 星期四, 15:40:23
MD5: 209DC6D892F62B328BCCEA1612595E12
SHA1: E84F10659E3CB761A56830F061541218181078BA
CRC32: 01367DAA

C:\WINDOWS\system32\dllcache\mspaint.exe
文件名称: C:\WINDOWS\system32\dllcache\mspaint.exe
文件大小: 332288 字节
文件版本: 5.1.2600.5918 (xpsp_sp3_gdr.091216-2054)
修改时间: 2009年12月17日 星期四, 15:40:23
MD5: 209DC6D892F62B328BCCEA1612595E12
SHA1: E84F10659E3CB761A56830F061541218181078BA
CRC32: 01367DAA

以上两个文件完全相同，就是正在使用的。不是 Windows XP SP3 原版文件，应该是补丁更新后的新文件。

C:\WINDOWS\$hf_mig$\KB978706\SP3QFE\mspaint.exe
文件名称: C:\WINDOWS\$hf_mig$\KB978706\SP3QFE\mspaint.exe
文件大小: 332288 字节
文件版本: 5.1.2600.5918 (xpsp_sp3_qfe.091216-2118)
修改时间: 2009年12月17日 星期四, 15:37:39
MD5: 3EA0991299C73591FE8AA04E49034163
SHA1: 34A20005ACBCCFA96C34C19A9A9BA057E73ABB90
CRC32: D074C515

这个文件与正在使用的那个文件不同，版本号和修改日期都有细微差别。

C:\WINDOWS\$NtUninstallKB978706$\mspaint.exe
文件名称: C:\WINDOWS\$NtUninstallKB978706$\mspaint.exe
文件大小: 332288 字节
文件版本: 5.1.2600.5512 (xpsp.080413-2105)
修改时间: 2008年04月14日 星期一, 20:00:00
MD5: 3A2D58BBFEC98A36D17545A44DF32A7F
SHA1: 1F7DF685C8824D442DBF846055E0DF357E76D088
CRC32: 6ECFB1D8

这个文件与其它3个文件不同，看版本号和修改日期，应该是 Windows XP SP3 原版文件，更新替换掉的。

另外，我还有一个笔记本，操作系统是联想 OEM 版的 Windows XP Pro SP3 简体中文版，不是 MSDN（VOL）那个版本，但是 mspaint.exe 同样被误杀。大概补丁更新以后文件都是一样的吧，具体是否相同，我还没仔细看。




打开 mspaint.exe，保存一次没问题，再保存一次就被误杀。


误报病毒问题不大，但是正在保存的图片变成 0 字节，这个就比较麻烦。如果图片或其它类型文档的编辑器被误杀，重要文档变为 0 字节，又没做备份，那可太恐怖了。


希望改进。