softnet

вирусы в System Volume Information

В этой теме 12 сообщений

Почему вирусы, обработанные антивирусом , в конце концов складываются в папку System Volume Information в переименованном виде. Пример " Заражен: троянская программа Trojan-Downloader.Win32.Banload.anu c:system volume information_restore{d93b5bd7-3b68-4657-9ef0-89432dfe7151}rp1a0002008.exe 178 КБ"

В папку System Volume Information вход из TotalCommander запрещен, вирусы можно обезвредить например самим антивирусом. Но почему они там оказываются ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Да спасибо, это я увидел "Что такое System Volume Information и почему там очень любят прятаться вирусы." Хотелось бы оригинальные ответы услышать, если можно, но конечно, в инете эта тема освещалась и обсуждалась. Если не затруднит, то вкратце.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Но почему они там оказываются ?

Потому что для системы они не вирусы, а файлы расширения которых входят в список, который необходимо резервировать функцией "Восстановление системы". Вот и все. Злого умысла в этом нет. Эти файлы не опасны, т.к. переименованы и не сидят в памяти. Опасность они будут представлять, если вы сделаете откат системы и зловреды попадут в нужное место, а в реестре будет команда на их запуск.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Но почему они там оказываются ?

Потому что перед лечением компа необходимо выключать SFC.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ну вобщем ясно, большое спасибо

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Но почему они там оказываются ?

Потому что перед лечением компа необходимо выключать SFC.

Этого как раз делать и не надо :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Этого как раз делать и не надо

Обоснуйте!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Этого как раз делать и не надо

Обоснуйте!

В случае получения кривых обновлений (около года назад для каспера и недавно для симантека) удаленные реал-тайм сканером файлы попадают в SFC. От туда их еще можно восстановить при следующей перезагрузке в сейф-мод.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Восстановление системы в win XP - довольно кривое средство. В частности, может при откате удалить ваши документы, сжатые в самокаспаковывающийся архив, или создать "мусор" из различных версий одного файла, в которых потом легко запутаться. Но за неимением другого служит неплохим "спасательным кругом".

Значительно лучше предварительно создать образ системного раздела и если придет беда восстанавливать его из заведомо исправной копии, а документы, часто изменяемые файлы, музыку, видео и т.п. хранить на отдельном разделе или диске. Уже не один год пользуюсь для создания и восстановления образа системного раздела Acronis True Image при отключенном "родном" восстановлении. После этого вопросы доступа к System Volume Information стали просто не актуальны. Что и рекомендую для softnet.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

На самом деле в Вашем случае необходимо:

Выключить восстанвовление системы;

Очистить файлы восстановления;

Пуск-Программы-Стадартные-Служебные-Очистка диска, при помощи этого инструмента можно удалить точки восстановления.

Примечание: в процессе работы ОС создает точки восстановления, в которые в том числе может попасть и вредоносная программа. Точки восстановления хранятся в папке - System Volume Information

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Даже после переустановки системы, без полного форматирования, даже при отключенном "Восстановлении системы" рекомендую проверять эти папки на всех логических дисках. Найдётся всё и вирусы в том числе! :)

Потом в свойствах папки включите общий доступ и удалите оттуда все папки, кроме двух файлов - если они ещё там, то вы поймёте какие это файлы. :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • PR55.RP55
      Или в этой теме:  http://www.tehnari.ru/f35/t257035/ FRST  по человечески отображает _отдельную задачу: Task: C:\Windows\Tasks\Chromium forem.job => Wscript.exe  C:\ProgramData\{56EE938D-DCAC-194B-5A6A-8709C0280CC7}\mofo.txt <==== ATTENTION ---------- А в uVS это опять всё в Инфо. файла. Что  смотреть Инфо.  сотен файлов ? "C:\Windows\system32\wscript.exe"
      "C:\ProgramData\{56EE938D-DCAC-194B-5A6A-8709C0280CC7}\mofo.txt"
      "68747470733a2f2f6b6174756e61712e636f6d"
      "433a5c50726f6772616d446174615c7b35364545393338442d444341432d313934422d354136412d3837303943303238304343377d5c63696c656461"
      "433a5c50726f6772616d446174615c7b35364545393338442d444341432d313934422d354136412d3837303943303238304343377d5c6365646f6c6564"
      "//B" "//E:jscript" "--IsErIk"   Что толку от информации - она, что есть, что её нет. Как мы видим оператор просто не видит данных.
    • PR55.RP55
      + Local Internet LTD
      Zawawa Software LLC ( условно\легальный майнер )
      emersontechnology.com
      MARIYA, TOV
      boissytechnology.com
    • PR55.RP55
      Тема:  https://forum.esetnod32.ru/forum6/topic14339/ Дело в том, что задача не отображается в списке, как самостоятельный объект. А  просто является частью записей Хрома. Само собой, что это неправильно.  
    • PR55.RP55
      cmad Если у вас на PC вирус - то вам нужно обратиться на один из специализированных форумов. Так в Случае, если у вас антивирус от: Kaspersky - то на их форум:  https://forum.kasperskyclub.ru/index.php?showforum=26 Dr.Web -то: https://forum.drweb.com/index.php?showforum=35 ESET NOD32: https://forum.esetnod32.ru/forum35/ Это нужно, чтобы удалить вирус и бесплатно расшифровать ваши файлы ( если возможно ).  
    • cmad
      кто нибудь лечился от шифровальщика ?  научите как...