基本介紹
進程信息
系統進程： 是
後台程式： 是
使用網路： 否
硬體相關： 否
常見錯誤： 未知N/A
記憶體使用： 未知N/A
Adware: 否
病毒： 否
木馬: 否
描述
spoolsv.exe用於將Windows印表機任務傳送給本地印表機，快取列印數據等 ，通常情況下他會隨著系統啟動啟動。注意spoolsv.exe也有可能是Backdoor.Ciadoor.B木馬。該木馬允許攻擊者訪問你的計算機，竊取密碼和個人數據。該進程的安全級別是建議立即刪除。
木馬進程
進程信息
描述:
這個垃圾軟體利用將msicn\msibm.dll插入多個進程的方法對系統進行監控，在system32下創建如下的東西：
wmpdrm.dll
1116\
msicn\msibm.dll
msicn\ube.exe
msicn\plugins\
spoolsv\spoolsv.exe(這個還長得像微軟列印服務，shit！！）
註冊表加入如下垃圾：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CLASSES_ROOT\CLSID\\InprocServer32]
@="%System%\wmpdrm.dll"
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho]
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho.1]
[HKEY_CLASSES_ROOT\TypeLib\]
[HKEY_CLASSES_ROOT\Interface\]
然後每隔4秒左右對以上東西進行監控，前後互相照應，讓你無從下手
啟動項 c:/windows/system32/spoolsv/spoolsv.exe -printer
cfs2…… 相關檔案、目錄：
%System%\wmpdrm.dll
%System%\1116\
%System%\msicn\msibm.dll
%System%\msicn\ube.exe
%System%\msicn\plugins\
%System%\spoolsv\spoolsv.exe
%System%\spoolsv\spoolsv.exe，有一個啟動項：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
運行後會調用%System%\msicn\msibm.dll，創建%System%\1116\目錄，備份用。
%System%\1116\目錄是備份目錄，裡面是%System%\wmpdrm.dll、%System%\msicn\和%System%\spoolsv\spoolsv.exe的備份。
%System%\msicn\msibm.dll，會插入多個指定進程，大約每4秒鐘監視恢復檔案（從%System%\1116\目錄）和註冊表信息（啟動項、BHO）：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"spoolsv"
[HKEY_CLASSES_ROOT\CLSID\\InprocServer32]
@="%System%\wmpdrm.dll"
註："spoolsv"的數據不會被監視，所以修改它的數據也不會被恢復，只有刪除"spoolsv"才會被恢復。
secp.exe是個安裝程式，安裝以下檔案：
%System%\wmpdrm.dll
%System%\msicn\ube.exe
%System%\msicn\plugins\（目錄里4個dll檔案）
%System%\wmpdrm.dll是一個BHO，%System%\msicn\ube.exe像是卸載程式。
另外，在%System%\和%System%\msicn\目錄里還有有一些從遠程下載來的cpz、vxd檔案，比如：
ava.vxd
guid.vxd
plgset.vxd
safep.vxd
%System%\wmpdrm.dll作為BHO被調用後，會嘗試調用%System%\spoolsv\spoolsv.exe和%System%\msicn\msibm.dll。
註：如果%System%\spoolsv\spoolsv.exe沒有被運行或被調用，也就不會備份還原，好像它就是用來備份的。
另外……
在“開始選單”>>“程式”里 可能 會有一項“NavAngel”，裡面有個捷徑NavAngel.lnk，指向：%System%\spoolsv\spoolsv.exe -ctrlfun:4,3
“添加/刪除程式”里有一項“NavAngel”，對應命令是：%System%\spoolsv\spoolsv.exe -ctrlfun:4,2
還有一項“WinDirected 2.0”，對應命令是：%System%\spoolsv\spoolsv.exe -uninst
還可能會有mscache\目錄，從名字看像是存放臨時快取檔案的。
BHO相關註冊表信息：
[HKEY_CLASSES_ROOT\CLSID\]
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho]
[HKEY_CLASSES_ROOT\wmpdrm.cfsbho.1]
[HKEY_CLASSES_ROOT\TypeLib\]
[HKEY_CLASSES_ROOT\Interface\]
是否中毒
1、點開始－運行，輸入msconfig，回車，打開實用配置程式，選擇“啟動”， 感染以後會在啟動項裡面發現運行Spoolsv.exe的啟動項， 每次進入windows會有NTservice的對話框。
2、打開系統盤，假設C糟，看是否存在C:\WINDOWS\system32\spoolsv資料夾，裡面有個spoolsv.exe檔案，有“傲訊瀏覽器輔助工具”的字樣說明，正常的spoolsv.exe印表機緩衝池檔案應該在C:\WINDOWS\system32目錄下。
3，打開任務管理器，會發現spoolsv.exe進程，而且CPU占用率很高。
清除方法
1、重新啟動，開機按F8進入安全模式。
2、點開始－運行，輸入cmd，進入dos。
利用rd命令刪除以下目錄（如果存在）（ 在dos視窗下輸入：rd(空格）C:\WINDOWS\system32\spoolsv/s，回車，出現提示，輸入y回車，即可刪除整個目錄。）：
C:\WINDOWS\system32\msibm
C:\WINDOWS\system32\spoolsv
C:\WINDOWS\system32\bakcfs
C:\WINDOWS\system32\msicn
spoolsv.exe利用del命令刪除下面的檔案（如果存在）（比如在dos視窗下輸入：del(空格）C:\windows\system32\spoolsv.exe，回車，即可刪除被感染的spoolsv.exe，這個檔案可以在防毒結束後在別的正常的機器上複製正常的spoolsv.exe貼上到
C:\windows\system32資料夾。）：
C:\windows\system32\spoolsv.exe
C:\WINDOWS\system32\wmpdrm.dll
3、重啟按F8再次進入安全模式。
（1）桌面右鍵點擊我的電腦，選擇“管理”，點擊“服務和應用程式”-“服務”，右鍵點擊
NTservice，選擇“屬性”，修改啟動類型為“禁用”。
、
（2）點開始，運行，輸入regedit，回車打開註冊表，點選單上的編輯，選擇查找，查找含有spoolsv.exe的註冊表項目，刪除。可以利用F3繼續查找，將含有spoolsv.exe的註冊表項目全部刪除。
4、若以上操作完成後,仍然有該進程。請桌面右鍵點擊我的電腦，選擇“管理”，點擊“服務和應用程式”-“服務”，右鍵點擊print spooler，選擇“屬性”，先點“停止”然後修改啟動類型為手動或“禁用”。隨後重複以上步驟。
我還遇到一種情況：經檢查，不是以上所描述的病毒，但經常占CPU 100%，但是連續關進程幾次，便不再出現，奇怪。
如上所述，在system32里有 spool資料夾。直接把 \PRINTERS 下的檔案刪除，便解決了這個問題。
這可能不是“病毒”問題，而是系統的故障，但出現了還是很麻煩的。
防毒後處理
病毒清了後你的SPOOLSV.EXE檔案就沒有了，且在服務里你的後台列印print spooler也不能啟動了，當然印表機也不能運行了，在運行里輸入“services.msc”後，在“print spooler”服務中的“常規”項里的“執行檔路徑”也變得不可用，如啟動會顯示“錯誤3:找不到系統路徑”的錯誤，這是因為你的註冊表的相關項也刪了，（在上面清病毒的時候）
解決方法：
1:在安裝光碟里I386目錄下把SPOOLSV.EX_檔案複製到SYSTEM32目錄下改名為spoolsv.exe,當然也可以在別人的系統時把這個檔案拷過來，還可以用NT/XP的檔案保護功能，即在CMD里鍵入SFC/SCANNOW全面修復，反正你把這個檔案恢復就可以了。
2:修改註冊表即可：進入“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Spooler”目錄下，新建一個可擴充字元串值，取名：“ImagePath”，其值為：“C:\WINDOWS\system32\spoolsv.exe”（不要引號）再進入控制臺中啟動列印服務即可。
占用cpu
前幾天，太太的筆記本遇到了spoolsv.exe占cpu 99%的的問題，要我幫她重新安裝作業系統。我是懶得重裝的，所以在網上搜尋了一下：大部分關於這個問題的文章都是將相關列印後台服務給禁用解決的，可是這樣就不能列印了，豈不有點因噎廢食？ 後來從國外網站上找到了這篇文章：tim's journal: spoolsv.exe hogging 99% of cpu - the fix
解決方法其實很簡單，假設你已經使用了防毒軟體排除了病毒和已經使用防間諜軟體排除了惡意軟體的影響：
而原因在Microsoft網站上也有文檔說明：Windows後台列印程式沒有刪除列印作業後台檔案導致的列印程式可能會反覆地嘗試對該列印作業進行後台處理
微軟的解釋
Windows 2000後台列印程式沒有刪除列印作業後台檔案
症狀
您向印表機傳送列印作業時，後台列印程式在列印作業完成後可能沒有從 資料夾刪除列印後台檔案，因而後台列印程式可能會反覆地嘗試對該列印作業進行後台處理。
該列印後台檔案的存在並不會阻止其他列印作業的後台處理。
原因
如果列印作業的列印後台檔案具有隻讀屬性，就會發生這種問題。
解決方案
為避免發生此問題，請不要在列印後台檔案位於資料夾中時更改它的屬性。
要解決此問題，請刪除唯讀屬性，然後將該後台檔案從資料夾中刪除。
要刪除唯讀屬性，請右鍵單擊 Windows資源管理器或我的電腦中的後台檔案，單擊屬性，單擊清除唯讀複選框，然後單擊確定。
有關如何在 Windows 2000 中刪除檔案的更多信息，請單擊開始，單擊幫助，單擊索引選項卡，鍵入刪除，然後雙擊刪除檔案主題。
狀態
這種現象是設計所導致的。
更多信息
默認情況下，列印後台檔案只有存檔屬性。列印後台檔案屬性只會在以下情況下發生更改：當檔案位於 資料夾中時，程式更改了它的屬性；或者，用戶或管理員特意更改了檔案屬性。
回到頂端
1:在安裝光碟里I386目錄下把SPOOLSV.EX_檔案複製到SYSTEM32目錄下改名為spoolsv.exe,當然也可以在別人的系統時把這個檔案拷過來, 可以NT/XP的檔案保護功能,即在CMD里鍵入SFC/SCANNOW全面修復,反正 你把這個檔案恢復就可以了。
2:修改註冊表,在新建一個可擴充字元串值取名為“ImagePath”然後在多字元串值再修改為(%systemRoot%\system32\spoolsv.exe)或者=“c:\windows\system32\spoolsv.exe”就可以了,再在電腦服務裡面把Print Sppooler啟動一下服務就可以了
按照我給 說的方法, 就可以列印
------------------------------------------------------------------
如果只想解決CPU100%的問題.那刪了不錯.是可以解決.但是要真正解決實質的問題,如下操作:
打開檔案後將其Printers下的檔案全部刪除.便可解決!
丟失
spoolsv.exe 丟失這是一個盜號木馬導致，其感染相關檔案並載入起來，一旦防毒軟體刪除被感染的檔案，就會導致相關組件缺失，導致運行網遊時彈出系統檔案丟失提示或者印表機不能使用
修複方法
電腦系統檔案經常會受到病毒的侵擾，導致系統檔案丟失、損壞。從網上下載系統檔案進行替換，可能會因為系統檔案版本與作業系統不相符造成不兼容的情況；建議使用專業的系統檔案修復工具進行修復。
1、下載可牛防毒系統急救箱。
2、點擊“開始急救”，進行一鍵式修復，智慧型匹配與作業系統相符的系統檔案。
3、使用可牛免費防毒對電腦進行全面掃描，清除電腦中存在的潛在危險。
也可以使用金山網盾進行修復：
第一步：下載包含瀏覽器修復功能的金山網盾
第二步 安裝金山網盾3.5,安裝完以後點擊主界面右側的【修復瀏覽器】的按鈕 （或者點擊【瀏覽器修復】選項卡－點擊【立即掃描】）
spoolsv.exe第三步 發現威脅，點擊【立即處理】按鈕，修復完成以後，根據提示重啟系統或者鍵盤按 【F5】刷新桌面。
