Problème avec "spoolsv.exe"

[stin07bis]

fais 1 tour ici...

 

http://www.sophos.fr/virusinfo/analyses/trojgraybirda.html

 

@+

Modifié le 22 février 2005 par stin07bis

[stin07bis]

regarde si tu as ces clefs....

 

 

Troj/Graybird-A se copie dans le dossier système Windows avec le nom de fichier spoolsv.exe et paramètre les entrées de registre suivantes de façon à ce que le cheval de Troie soit exécuté au démarrage de Windows :

 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\SPOOLSV

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\SPOOLSV

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\SPOOLSV

 

Une entrée "Run" sera ajoutée au fichier win.ini, ce qui provoquera l'exécution du cheval de Troie au redémarrage de Windows.

 

@+

Modifié le 22 février 2005 par stin07bis

[dany-78]

stin07bis Je te remercie pour le lien et les explications ..

 

J'ai vérifié minutieusement le registre et les clefs ne s'y trouvent pas ! De plus, j'ai fait un nouveau contrôle avec le Norton anti-virus et tout est ok !

A priori ce ne serait pas un trojan (Troj/Graybird-A ) la cause de ce problème...

 

Je ne sais plus quoi faire ni où chercher .... Je ne comprends pas..

[ipl_001]

Bonsoir dany-78, Choupinou, bad-and-mad, tesgaz, stin07bis, bonsoir à tous,

 

Spoolsv peut être un élément infectieux !

Voici ce qu'en dit CastelCops :

Added as a result of the CIADOOR.B VIRUS! Note - "Spoolsv.exe" is located in the Windows or Winnt directory, and not in System32, like the legitimate Spoolsv.exe system file

(source : http://computercops.biz/StartupList.html )

Voir aussi -> http://securityresponse.symantec.com/avcen....ciadoor.b.html

 

Un autre lien :

What is spoolsv.exe? Is spoolsv.exe spyware or a virus? Process name: Print+Fax Spooler

 

Product: Windows

 

Company: Microsoft

 

File: spoolsv.exe

 

Security Rating:

 

The spooler service is responsible for managing spooled print/fax jobs.

 

Note: The spoolsv.exe file is located in the c:\windows\System32 folder. In other cases, spoolsv.exe is a virus, spyware, trojan or worm! Check this with Security Task Manager.

 

Virus with same name:

Backdoor.Ciadoor.B - Symantec Corporation -> http://securityresponse.symantec.com/avcen....ciadoor.b.html

VBS.Masscal.Worm (vbs) - Symantec Corporation -> http://securityresponse.symantec.com/avcen...sscal.worm.html

Hacktool.Privshell - Symantec Corporation -> http://securityresponse.symantec.com/avcen....privshell.html

(source : http://www.neuber.com/taskmanager/process/spoolsv.exe.html )

[stin07bis]

bon, essaye ce dernier lien...si cela marche pas, et si tu a suivi les conseils de tesgaz..

il te faudrai rechercher cet exe....et voir ou il se trouve exactement...

 

http://securityresponse.symantec.com/avcen....ciadoor.b.htm

 

 

@+

 

 

je suis trop trop tard ...

Modifié le 22 février 2005 par stin07bis

[dany-78]

Merci.. ipl_001, stin07bis tous les autres pour votre aide ( j'en ai bien besoin ! ).

 

Dans ce que dis ipl_001, il y a une chose que je trouve étrange :

 

...."The spooler service is responsible for managing spooled print/fax jobs.

 

Note: The spoolsv.exe file is located in the c:\windows\System32 folder.

In other cases, spoolsv.exe is a virus, spyware, trojan or worm! Check this with Security Task Manager" ...

 

Donc "spoolsv.exe" se trouve dans c:\windows\System32, et s'il est présent dans d'autres dossiers il s'agirait d'un virus, trojan ...etc ! (si j'ai bien compris)

 

Or j'ai fait une recherche dans mes dossiers et "spoolsv.exe" est dans :

 

C:\WINDOWS\Prefetch

C:\WINDOWS\system32

C:\WINDOWS\ServicePackFiles\i386

C:\WINDOWS\SoftwareDistribution\Download\dfd63227c75f2f41fff1e2c80885381e

 

Donc... je suis contaminé ? Il y a un trojan ou un virus ?

 

[stin07bis]

tout est semble normal sauf ceci....

 

C:\WINDOWS\SoftwareDistribution\Download\dfd63227c75f2f41fff1e2c80885381e

 

si tu pouvais faire 1 scan antivirus sur celui-ci tout seul, pour voir ce que cela donne ???

 

attend l'avis d'autre....parce que là je ne suis pas sur de moi...

@+

Modifié le 22 février 2005 par stin07bis

[dany-78]

stin07bis

j'ai analysé "C:\WINDOWS\SoftwareDistribution\Download\dfd63227c75f2f41fff1e2c80885381e" ... et d'après l'anti-virus tout es ok ("Aucne menace détectée")

[ipl_001]

Rebonsoir dany-78, stin07bis, bonsoir à tous,

...

Donc "spoolsv.exe" se trouve dans c:\windows\System32, et s'il  est présent dans d'autres dossiers il s'agirait d'un virus, trojan ...etc ! (si j'ai bien compris)

 

Or j'ai fait une recherche dans mes dossiers et "spoolsv.exe" est dans :

 

C:\WINDOWS\Prefetch

C:\WINDOWS\system32

C:\WINDOWS\ServicePackFiles\i386

C:\WINDOWS\SoftwareDistribution\Download\dfd63227c75f2f41fff1e2c80885381e

 

Donc... je suis contaminé ? Il y a un trojan ou un virus ?

 

466471[/snapback]

J'ai fais un copier-coller de la page citée mais leurs explications ne te donnent pas ces précisionscar c'est du standard Windows !

 

Les 3 répert. que tu cites (autres que System32) sont des sortes de répliques de System32... disons que ce sont des dossiers système normaux ! Pas de virus là !

 

Prefetch : tu peux virer le fichier si tu veux !

I386 : c'est le répertoire qui contient les éléments utilisés lors de l'installation

Software distribution : c'est un répertoire correspondant à des mises à jour système, téléchargées par Windows.

[stin07bis]

il me semble qu'on a fait a peu près le tour....

maintenant, si tu déinstallait ton imprimante, es ce que cela donnerai les mêmes symtomes????

 

@+

 

euh, je viens de lire tes post..en déinstallant t'a pas ces problemes....

t'a regarder dans les programmes de demarrage??? (on sait jamais)..

Modifié le 23 février 2005 par stin07bis