请教电脑高手，我的电脑好象中病毒了，怎么回事？

分类: 电脑/网络 >>反病毒

问题描述:

这两天，我的电脑一天机就很慢，我打开任务管理器看到进程中有一个spoolsv.exe的进程CPU占用不100%，不知道这是什么东西，我把它结束掉，速度就快了，但一会儿它自已又开了，怎么回事，我用杀毒软件也杀不到，怎么办？？？？？？？？

解析:

spoolsv.exe - spoolsv

进程文件： spoolsv or spoolsv.exe

进程名称： Microsoft Printer Spooler Service

进程类别：其他进程

英文描述：

spoolsv.exe is a Microsoft Windows system executable which handles the printing process to your local printers. Note: spoolsv.exe is also a process which is registered as the Backdoor.Ciadoor.B Trojan. This Trojan allows attackers to access your

中文参考：

spoolsv.exe用于将Windows打印机任务发送给本地打印机。注意spoolsv.exe也有可能是Backdoor.Ciadoor.B木马。该木马允许攻击者访问你的计算机，窃取密码和个人数据。该进程的安全级别是建议立即删除。

出品者：Microsoft Corp.

属于：Microsoft Windows 2000 and later

系统进程：Yes

后台程序：Yes

网络相关：No

常见错误：N/A

内存使用：N/A

安全等级 (0-5): 0

间谍软件：No

广告软件：No

病毒：No

木马：No

2，这是"实中论坛gzyixin/bbs"初下小雪的解决之道

--SPOOLSV.EXE的解决方法

前几天感染了一个spoolsv.exe的木马病毒，怎么杀都杀不掉，杀了又来，最后找了下，发现spoolsv.exe的最新变种目前还没有哪个软件能杀掉，因此，将解决方法发布在这里，希望对大家有帮助

spoolsv.exe是一种延缓打印木马程序，它使计算机CPU使用率达到100%，从而使风扇保持高速嘈杂运转。目前网上提供的方法或许能够解决前期问题，但对最新的变种现象无能为力，

Ctrl+Alt+Delete停止spoolsv.exe运行进程

重启计算机进入安全模式，在C:/windows/system32/删除spoolsv.exe(或可用搜索方式删除C盘所有同名文件)

运行regedit，用查找方式找到并删除所有spoolsv文件。

我的电脑点击右键，选择管理，服务，禁用print spooler服务(目前网上提供的方法仅到此)

重启电脑进入系统常规模式，你会发现电脑还是处于高速运转，但在搜索中已找不到任何spoolsv相关文件。

Ctrl+Alt+Delete，你可以在进程中找到一个名为inter的后台运行程序，将其关闭即可。

强烈建议在应用以上步骤解决问题之后，运行反木马程序扫描并删除感染文件。

3，这是"广州易新penhouse/BBS"kira007的解决之道

近来网上出现一个很厉害的病毒。杀毒软件都不能杀死。唯有手工清除。。。以c盘系统为例

请打开你的电脑看看WINDOWS\system32文件夹里有没有这几个文件夹

C:\WINDOWS\system32\msibm\

C:\WINDOWS\system32\msi\

C:\WINDOWS\system32\mscache\

C:\WINDOWS\system32\spoolsv\

C:\WINDOWS\system32\1116\

如果有的话，恭喜你，你中毒了。具体表现为有个叫播霸的软件不请自来*******（*号部分作者省掉n个字，表达能力差，呵呵。）你把上述文件夹删除，四秒后再看看，删除的文件夹又出现了。真是可恶。本人是下载狂，在一下网站下载软件，不小心下载了病毒程序，运行而中招。。。。。以下是我综合网上的资料总结出来的手工清除方法。

首先进入安全模式，控制面板，打开添加或删除程序，卸载WinDirected 2.0。这个是罪魁祸首。删除 c:/windows/system32/spoolsv/文件夹

删除c:/windows/exploer.exe程序。（很像explorer.exe）

删除%System%\wmpdrm.dll

好了，以上是关键部分。

下面是从网上复制过来的比较有水平的方法。

下面是关于病毒的一些资料：

启动项 c:/windows/system32/spoolsv/spoolsv.exe -printer

cfs2…… 相关文件、目录：

%System%\wmpdrm.dll

%System%\1116\

%System%\msi\msibm.dll

%System%\msi\ube.exe

%System%\msi\plugins\

%System%\spoolsv\spoolsv.exe

%System%\spoolsv\spoolsv.exe，有一个启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"spoolsv"="%System%\spoolsv\spoolsv.exe -printer"

运行后会调用%System%\msi\msibm.dll，创建%System%\1116\目录，备份用。

%System%\1116\目录是备份目录，里面是%System%\wmpdrm.dll、%System%\msi\和%System%\spoolsv\spoolsv.exe的备份。

%System%\msi\msibm.dll，会插入多个指定进程，大约每4秒钟监视恢复文件（从%System%\1116\目录）和注册表信息（启动项、BHO）：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"spoolsv"

[HKEY_CLASSES_ROOT\CLSID\{0E674588-66B7-4E19-9D0E-2053B800F69F}\InprocServer32]

@="%System%\wmpdrm.dll"

注："spoolsv"的数据不会被监视，所以修改它的数据也不会被恢复，只有删除"spoolsv"才会被恢复。

还可能会从远程服务器下载文件：

fileliveupdate.ourxin/secp.exe

secp.exe是个安装程序，安装以下文件：

%System%\wmpdrm.dll

%System%\msi\ube.exe

%System%\msi\plugins\（目录里4个dll文件）

%System%\wmpdrm.dll是一个BHO，%System%\msi\ube.exe像是卸载程序。

另外，在%System%\和%System%\msi\目录里还有有一些从远程下载来的cpz、vxd文件，比如：

ava.vxd

guid.vxd

plgset.vxd

safep.vxd

%System%\wmpdrm.dll作为BHO被调用后，会尝试调用%System%\spoolsv\spoolsv.exe和%System%\msi\msibm.dll。

注：如果%System%\spoolsv\spoolsv.exe没有被运行或被调用，也就不会备份还原，好像它就是用来备份的。

另外……

在“开始菜单”>>“程序”里 可能 会有一项“NavAngel”，里面有个快捷方式NavAngel.lnk，指向：

%System%\spoolsv\spoolsv.exe -ctrlfun:4,3

“添加/删除程序”里有一项“NavAngel”，对应命令是：

%System%\spoolsv\spoolsv.exe -ctrlfun:4,2

还有一项“WinDirected 2.0”，对应命令是：

%System%\spoolsv\spoolsv.exe -uninst

还可能会有mscache\目录，从名字看像是存放临时缓存文件的。

BHO相关注册表信息：

[HKEY_CLASSES_ROOT\CLSID\{0E674588-66B7-4E19-9D0E-2053B800F69F}]

[HKEY_CLASSES_ROOT\wmpdrm.cf *** ho]

[HKEY_CLASSES_ROOT\wmpdrm.cf *** ho.1]

[HKEY_CLASSES_ROOT\TypeLib\{8B200623-3FC5-4493-8B49-DC2AD4830AF4}]

[HKEY_CLASSES_ROOT\Interface\{4A775183-9517-420E-9A13-D3DA47BB8A84}].

spoolsv.exe和windows的打印服务spoolsv.exe很类似，不要被它迷惑了，打印服务spoolsv.exe的目录是系统文件夹（以XP为例）system32\spoolsv.exe而此病毒的路径为system32\spoolsv\sploosv.exe

根据病毒信息提供偶得查杀方法:

1。进入系统目录system32删除文件夹spoolsv和mis以及1116

2。开始菜单运行regedit打开注册表编辑器，找到

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"spoolsv"="%System%\spoolsv\spoolsv.exe -printer" 删除该项

3。在注册表编辑器中打开下面的分支并使用组合键ctrl+f进行查找如下内容：

[HKEY_CLASSES_ROOT\CLSID\{0E674588-66B7-4E19-9D0E-2053B800F69F}

[HKEY_CLASSES_ROOT\wmpdrm.cf *** ho

[HKEY_CLASSES_ROOT\wmpdrm.cf *** ho.1

[HKEY_CLASSES_ROOT\TypeLib\{8B200623-3FC5-4493-8B49-DC2AD4830AF4}

[HKEY_CLASSES_ROOT\Interface\{4A775183-9517-420E-9A13-D3DA47BB8A84}

找到以后进行删除

4。运行注册表清里软件清理注册表，比如超级兔子，优化大师，恶意软件清理助手等都可以，此步骤也可以不执行

spoolsv.exe （如果你家没有打印机，那它就是病毒

正常spoolsv进程信息

进程文件： spoolsv or spoolsv.exe

进程名称： Microsoft Printer Spooler Service

描述：

spoolsv.exe用于将Windows打印机任务发送给本地打印机。注意spoolsv.exe也有可能是Backdoor.Ciadoor.B木马。该木马允许攻击者访问你的计算机，窃取密码和个人数据。该进程的安全级别是建议立即删除。

出品者： Microsoft Corp.

属于：Microsoft Windows 2000 and later

系统进程： 是

后台程序： 是

使用网络： 否

硬件相关： 否

常见错误： 未知N/A

内存使用： 未知N/A

安全等级 (0-5): 0

间谍软件： 否

Adware: 否

病毒： 否

木马: 否

木马spoolsv进程信息:

描述:

这个垃圾软件利用将msicn\msibm.dll插入多个进程的方法对系统进行监控，在system32下创建如下该死的东西：

wmpdrm.dll

1116\

msicn\msibm.dll

msicn\ube.exe

msicn\plugins\

spoolsv\spoolsv.exe(这个还长得像微软打印服务，shit！！）

注册表加入如下垃圾：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"spoolsv"="%System%\spoolsv\spoolsv.exe -printer"

[HKEY_CLASSES_ROOT\CLSID\\InprocServer32]

@="%System%\wmpdrm.dll"

[HKEY_CLASSES_ROOT\wmpdrm.cfsbho]

[HKEY_CLASSES_ROOT\wmpdrm.cfsbho.1]

[HKEY_CLASSES_ROOT\TypeLib\]

[HKEY_CLASSES_ROOT\Interface\]

然后每隔4秒左右对以上东西进行监控，前后互相照应，让你无从下手

启动项 c:/windows/system32/spoolsv/spoolsv.exe -printer

cfs2…… 相关文件、目录：

%System%\wmpdrm.dll

%System%\1116\

%System%\msicn\msibm.dll

%System%\msicn\ube.exe

%System%\msicn\plugins\

%System%\spoolsv\spoolsv.exe

%System%\spoolsv\spoolsv.exe，有一个启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"spoolsv"="%System%\spoolsv\spoolsv.exe -printer"

运行后会调用%System%\msicn\msibm.dll，创建%System%\1116\目录，备份用。

%System%\1116\目录是备份目录，里面是%System%\wmpdrm.dll、%System%\msicn\和%System%\spoolsv\spoolsv.exe的备份。

%System%\msicn\msibm.dll，会插入多个指定进程，大约每4秒钟监视恢复文件（从%System%\1116\目录）和注册表信息（启动项、BHO）：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"spoolsv"

[HKEY_CLASSES_ROOT\CLSID\\InprocServer32]

@="%System%\wmpdrm.dll"

注："spoolsv"的数据不会被监视，所以修改它的数据也不会被恢复，只有删除"spoolsv"才会被恢复。

还可能会从远程服务器下载文件：

http://liveupdate.ourxin.com/secp.exe

secp.exe是个安装程序，安装以下文件：

%System%\wmpdrm.dll

%System%\msicn\ube.exe

%System%\msicn\plugins\（目录里4个dll文件）

%System%\wmpdrm.dll是一个BHO，%System%\msicn\ube.exe像是卸载程序。

另外，在%System%\和%System%\msicn\目录里还有有一些从远程下载来的cpz、vxd文件，比如：

ava.vxd

guid.vxd

plgset.vxd

safep.vxd

%System%\wmpdrm.dll作为BHO被调用后，会尝试调用%System%\spoolsv\spoolsv.exe和%System%\msicn\msibm.dll。

注：如果%System%\spoolsv\spoolsv.exe没有被运行或被调用，也就不会备份还原，好像它就是用来备份的。

另外……

在“开始菜单”>>“程序”里 可能 会有一项“NavAngel”，里面有个快捷方式NavAngel.lnk，指向：%System%\spoolsv\spoolsv.exe -ctrlfun:4,3

“添加/删除程序”里有一项“NavAngel”，对应命令是：%System%\spoolsv\spoolsv.exe -ctrlfun:4,2

还有一项“WinDirected 2.0”，对应命令是：%System%\spoolsv\spoolsv.exe -uninst

还可能会有mscache\目录，从名字看像是存放临时缓存文件的。

BHO相关注册表信息：

[HKEY_CLASSES_ROOT\CLSID\]

[HKEY_CLASSES_ROOT\wmpdrm.cfsbho]

[HKEY_CLASSES_ROOT\wmpdrm.cfsbho.1]

[HKEY_CLASSES_ROOT\TypeLib\]

[HKEY_CLASSES_ROOT\Interface\]

判别自己是否中毒:

1、点开始－运行，输入msconfig，回车，打开实用配置程序，选择“启动”， 感染以后会在启动项里面发现运行Spoolsv.exe的启动项， 每次进入windows会有NTservice的对话框。

2、打开系统盘，假设C盘，看是否存在C:\WINDOWS\system32\spoolsv文件夹，里面有个spoolsv.exe文件，有“傲讯浏览器辅助工具”的字样说明，正常的spoolsv.exe打印机缓冲池文件应该在C:\WINDOWS\system32目录下。

3，打开任务管理器，会发现spoolsv.exe进程，而且CPU占用率很高。

清除方法：

1、重新启动，开机按F8进入安全模式。

2、点开始－运行，输入cmd，进入dos。

利用rd命令删除以下目录（如果存在）（ 在dos窗口下输入：rd(空格）C:\WINDOWS\system32\spoolsv/s，回车，出现提示，输入y回车，即可删除整个目录。）：

C:\WINDOWS\system32\msibm

C:\WINDOWS\system32\spoolsv

C:\WINDOWS\system32\bakcfs

C:\WINDOWS\system32\msicn

利用del命令删除下面的文件（如果存在）（比如在dos窗口下输入：del(空格）C:\windows\system32\spoolsv.exe，回车，即可删除被感染的spoolsv.exe，这个文件可以在杀毒结束后在别的正常的机器上复制正常的spoolsv.exe粘贴到

C:\windows\system32文件夹。）：

C:\windows\system32\spoolsv.exe

C:\WINDOWS\system32\wmpdrm.dll

3、重启按F8再次进入安全模式。

（1）桌面右键点击我的电脑，选择“管理”，点击“服务和应用程序”-“服务”，右键点击

NTservice，选择“属性”，修改启动类型为“禁用”。

、

（2）点开始，运行，输入regedit，回车打开注册表，点菜单上的编辑，选择查找，查找含有spoolsv.exe的注册表项目，删除。可以利用F3继续查找，将含有spoolsv.exe的注册表项目全部删除。

4、若以上 *** 作完成后,仍然有该进程。请桌面右键点击我的电脑，选择“管理”，点击“服务和应用程序”-“服务”，右键点击print spooler，选择“属性”，先点“停止”然后修改启动类型为手动或“禁用”。随后重复以上步骤。

另外解决方案 直接删除C:\WINDOWS\system32\spool\PRINTERS 下的文件即可

我还遇到一种情况：经检查，不是以上所描述的病毒，但经常占CPU 100％，但是连续关进程几次，便不再出现，奇怪。

如上所述，在system32里有 spool文件夹。直接把 \PRINTERS 下的文件删除，便解决了这个问题。

这可能不是“病毒”问题，而是系统的故障，但出现了还是很麻烦的。

-----------------------------------------------------------------

微软的解释

Windows 2000 后台打印程序没有删除打印作业后台文件

症状

您向打印机发送打印作业时，后台打印程序在打印作业完成后可能没有从 %Systemroot%\System32\Spool\Printers 文件夹删除打印后台文件，因而后台打印程序可能会反复地尝试对该打印作业进行后台处理。

该打印后台文件的存在并不会阻止其他打印作业的后台处理。

原因

如果打印作业的打印后台文件具有只读属性，就会发生这种问题。

解决方案

为避免发生此问题，请不要在打印后台文件位于 %Systemroot%\System32\Spool\Printers 文件夹中时更改它的属性。

要解决此问题，请删除只读属性，然后将该后台文件从 %Systemroot%\System32\Spool\Printers 文件夹中删除。

要删除只读属性，请右键单击 Windows 资源管理器或我的电脑中的后台文件，单击属性，单击清除只读复选框，然后单击确定。

有关如何在 Windows 2000 中删除文件的更多信息，请单击开始，单击帮助，单击索引选项卡，键入删除，然后双击删除文件主题。

）

spoolsr.exe （这个也有可能是病毒

进程文件： spoolsr 或 spoolsr.exe

进程位置： WINDOWS\

程序名称： Troj_backdoor.spoolsr

程序用途： 后门木马病毒

程序作者：

系统进程： 否

后台程序： 是

使用网络： 是

硬件相关： 否

安全等级： 低

进程分析： 该病毒修改注册表创建系统服务issllyday项实现spoolsr.exe自启动，并在WINDOWS目录下生成svchost.exe或csrssddv.exe等。

）

其他都正常（svchost.exe有可能被木马插入）

UBE改定速巡航需要激活电脑或者更换车型游丝。

车型中有定速巡航功能，电脑里已有相应程序，电路中已预留接线，只不过没有配备定速巡航开关按键，电脑未被激活。只要安装原车巡航按键，激活电脑或换车型游丝即可。

激活电脑一般要到4S店或请专业人士才能实现。如果方向盘游丝通道不够，需更换相匹配的车型游丝。这种加装成本低，一般就几百元。

---