› 看板 AntiVirus 關於我們 聯絡資訊
作者junorn (威廉華勒斯)
看板AntiVirus
標題[方案] 這兩天的倒數60秒
時間Sat Sep 27 12:55:51 2008
沒樣本....報告沒幾個 所以一切還是不明 不過目前是有一個共通點是會產生底下幾個檔案 Windows\system32\sprint.dll 但應該是不少人刪了之後隔沒多久又有 如果有碰到這樣的情形 請先開啟工作管理員 找spoolsv.exe這個程序將它關閉 然後找C:\windows\system32\spoolsv.exe 找到之後將這幾個檔案刪除掉 刪掉後找正常的spoolsv.exe補上 這邊暫時提供一個載點，但能稱多久不知道 http://sylovanas.myweb.hinet.net/Temp/spoolsv.exe 先這樣看看吧我也不知道這樣有沒有辦法救回來，因為完全沒任何資料 另外就是如果有裝ms office的人建議上面的動作都作過之後 將他重新安裝，直覺和office有關係 (看sprint.dll之後的直覺) 另外在提一點，現在的病毒技術已經能作到在修改檔案後 該檔案表面看起來不會有任何變化 ( 像修改日期改變，建立日期改變等等的 ) 建議是用數位簽章的方式去檢查。 (不是指看公司檔案資訊那一些的，不是看那個) -- 人間世稱做緣 相連的紅線不停纏繞 脆弱而惹人悲憐的彼岸花 憤怒、傷感、終日以淚洗面 在凌晨零時的夜幕中 為你消除無法平息的怨恨 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 220.132.171.86
推 hzc0725:您不是有提供一個rar檔 有全套的spoolsv.exe嗎? 怎麼沒了 09/27 12:59
→ hzc0725:喔 看錯了 在18156篇 所以要用哪個替換比較好阿? 謝謝 09/27 12:59
→ hzc0725:是要用您這篇的單一檔 還是用rar檔裡的 分別替換? 09/27 13:00
推 scotttomlee:不對...18156是我有問題的... 09/27 13:03
推 hzc0725:哇哩咧 還好我還沒用 XD 註明一下吧 09/27 13:04
→ scotttomlee:抱歉~ 我剛剛去修了一下...(加上註明) 09/27 13:05
→ scotttomlee:不過我的NOD掃不到sprint.dll (好像也沒這個檔... 09/27 13:08
※ 編輯: junorn 來自: 220.132.171.86 (09/27 13:43)
推 gensty:NOD 9/25就掃到了sprint.dll 09/27 13:49
推 kenny1300175:我NOD 9/26都掃不到= = 09/27 13:50
推 idaer:C:\windows\system32\dllcache\spoolsv.exe 這個md5如果是 09/27 14:28
→ idaer:6e4d4a38a64473b375a3e8c2df621e5c 那就是正常的 拿我電腦裡 09/27 14:29
→ idaer:的檔案比對的~被病毒修改的spoolsv.exe似乎會掛載sprint.dll 09/27 14:30
推 jetzake:http://0rz.tw/c24Ne <==mobile01的類似討論 09/27 14:32
→ jetzake:目前有聽說spoolsv.exe、MsMpEng.exe、svchost.exe觸發 09/27 14:33
→ jetzake:看了18155篇winlogon好像也會有問題....= =A 09/27 14:35
推 tjfu:我把spoolsv移除後 目前RPC正常中 已經好幾小時了 09/27 14:38
推 scotttomlee:換了板大的spoolsv.exe後 目前RPC正常中 09/27 15:18
→ junorn:光看MD5不行，因為版本一大堆...0rz 09/27 15:30
推 zha0:所以 rpc 錯是因為 spoolsv loadlibrary 不起來嗎 ? 09/27 15:30
→ zha0:測一下把 sprint.dll 殺掉 spoolsv 保留，重開看看會不會 rpc 09/27 15:30
→ zha0:出錯 XDXD 09/27 15:31
→ zha0:比較希望 rpc 出錯是經由 remote 摸起來的 XDXD 09/27 15:31
推 koflll:想請問一下版大，如何停止Spoolsv的工作，而且我怎麼刪都刪 09/27 17:46
→ koflll:不掉這個檔，剛剛已經用版大提供的數位簽章方式檢查過確定 09/27 17:46
→ koflll:不是這個檔了 09/27 17:46
→ koflll:確定為Unsigned了 09/27 17:47
→ koflll:而且我找不到dllcache資料夾，希望版眾能幫忙解決一下^^" 09/27 17:48
→ junorn:開工作管理員把他關掉就好了 09/27 18:13
推 koflll:工作管理員是在控制台裡面嗎？~"~，找好久都找不到 = =" 09/27 18:19
推 scotttomlee:用18164掃spoolsv.exe發現Heuristic.Malware 09/27 18:20
→ junorn:ctrl+alt+del 09/27 18:21
推 koflll:感謝j版主，已順利刪除且更新為版主所提供的spoolsv檔了 09/27 18:28
→ koflll:在此感謝版主的熱心提供解答，感激~~~^^ 09/27 18:28
推 melody1984:我是在安全模式下系統還原QQ目前還在觀察中 09/27 21:40
→ melody1984:昨天更新微軟今天就這樣了QQ 09/27 21:41
推 musk158:請問我spoolsv無法砍掉，那板大提供的那個要怎麼移過去？ 09/28 15:16
→ musk158:請問是直接剪下貼上，還是要執行？ 09/28 15:17
※ 編輯: junorn 來自: 220.132.171.86 (09/29 14:45)