作者junorn (威廉华勒斯)
看板AntiVirus
标题[方案] 这两天的倒数60秒
时间Sat Sep 27 12:55:51 2008
没样本....报告没几个
所以一切还是不明
不过目前是有一个共通点是会产生底下几个档案
Windows\system32\sprint.dll
但应该是不少人删了之後隔没多久又有
如果有碰到这样的情形
请先开启工作管理员
找spoolsv.exe这个程序将它关闭
然後找C:\windows\system32\spoolsv.exe
找到之後将这几个档案删除掉
删掉後找正常的spoolsv.exe补上
这边暂时提供一个载点，但能称多久不知道
http://sylovanas.myweb.hinet.net/Temp/spoolsv.exe
先这样看看吧我也不知道这样有没有办法救回来，因为完全没任何资料
另外就是如果有装ms office的人建议上面的动作都作过之後
将他重新安装，直觉和office有关系 (看sprint.dll之後的直觉)
另外在提一点，现在的病毒技术已经能作到在修改档案後
该档案表面看起来不会有任何变化 ( 像修改日期改变，建立日期改变等等的 )
建议是用数位签章的方式去检查。 (不是指看公司档案资讯那一些的，不是看那个)
--
人间世称做缘 相连的红线不停缠绕
脆弱而惹人悲怜的彼岸花 愤怒、伤感、终日以泪洗面
在凌晨零时的夜幕中 为你消除无法平息的怨恨
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 220.132.171.86
1F：推 hzc0725:您不是有提供一个rar档 有全套的spoolsv.exe吗? 怎麽没了 09/27 12:59
2F：→ hzc0725:喔 看错了 在18156篇 所以要用哪个替换比较好阿? 谢谢 09/27 12:59
3F：→ hzc0725:是要用您这篇的单一档 还是用rar档里的 分别替换? 09/27 13:00
4F：推 scotttomlee:不对...18156是我有问题的... 09/27 13:03
5F：推 hzc0725:哇哩咧 还好我还没用 XD 注明一下吧 09/27 13:04
6F：→ scotttomlee:抱歉~ 我刚刚去修了一下...(加上注明) 09/27 13:05
7F：→ scotttomlee:不过我的NOD扫不到sprint.dll (好像也没这个档... 09/27 13:08
※ 编辑: junorn 来自: 220.132.171.86 (09/27 13:43)
8F：推 gensty:NOD 9/25就扫到了sprint.dll 09/27 13:49
9F：推 kenny1300175:我NOD 9/26都扫不到= = 09/27 13:50
10F：推 idaer:C:\windows\system32\dllcache\spoolsv.exe 这个md5如果是 09/27 14:28
11F：→ idaer:6e4d4a38a64473b375a3e8c2df621e5c 那就是正常的 拿我电脑里 09/27 14:29
12F：→ idaer:的档案比对的~被病毒修改的spoolsv.exe似乎会挂载sprint.dll 09/27 14:30
14F：→ jetzake:目前有听说spoolsv.exe、MsMpEng.exe、svchost.exe触发 09/27 14:33
15F：→ jetzake:看了18155篇winlogon好像也会有问题....= =A 09/27 14:35
16F：推 tjfu:我把spoolsv移除後 目前RPC正常中 已经好几小时了 09/27 14:38
17F：推 scotttomlee:换了板大的spoolsv.exe後 目前RPC正常中 09/27 15:18
18F：→ junorn:光看MD5不行，因为版本一大堆...0rz 09/27 15:30
19F：推 zha0:所以 rpc 错是因为 spoolsv loadlibrary 不起来吗 ? 09/27 15:30
20F：→ zha0:测一下把 sprint.dll 杀掉 spoolsv 保留，重开看看会不会 rpc 09/27 15:30
21F：→ zha0:出错 XDXD 09/27 15:31
22F：→ zha0:比较希望 rpc 出错是经由 remote 摸起来的 XDXD 09/27 15:31
23F：推 koflll:想请问一下版大，如何停止Spoolsv的工作，而且我怎麽删都删 09/27 17:46
24F：→ koflll:不掉这个档，刚刚已经用版大提供的数位签章方式检查过确定 09/27 17:46
25F：→ koflll:不是这个档了 09/27 17:46
26F：→ koflll:确定为Unsigned了 09/27 17:47
27F：→ koflll:而且我找不到dllcache资料夹，希望版众能帮忙解决一下^^" 09/27 17:48
28F：→ junorn:开工作管理员把他关掉就好了 09/27 18:13
29F：推 koflll:工作管理员是在控制台里面吗？~"~，找好久都找不到 = =" 09/27 18:19
30F：推 scotttomlee:用18164扫spoolsv.exe发现Heuristic.Malware 09/27 18:20
31F：→ junorn:ctrl+alt+del 09/27 18:21
32F：推 koflll:感谢j版主，已顺利删除且更新为版主所提供的spoolsv档了 09/27 18:28
33F：→ koflll:在此感谢版主的热心提供解答，感激~~~^^ 09/27 18:28
34F：推 melody1984:我是在安全模式下系统还原QQ目前还在观察中 09/27 21:40
35F：→ melody1984:昨天更新微软今天就这样了QQ 09/27 21:41
36F：推 musk158:请问我spoolsv无法砍掉，那板大提供的那个要怎麽移过去？ 09/28 15:16
37F：→ musk158:请问是直接剪下贴上，还是要执行？ 09/28 15:17
※ 编辑: junorn 来自: 220.132.171.86 (09/29 14:45)