Замена файлов на ярлык.

[Roman Zakharov]

Есть сетевое хранилище файлов. При открытии, был обнаружен один ярлык вместо списка папок. В свойствах ярлыка прописан путь "%windir%\system32\cmd.exe /c start _ & _\DeviceManager.exe & exit". Касперский удаляет ДевайсМенеджер, но при открытии ярлыка он, соответственно, появляется снова.

Посоветуйте решение проблемы.

Изменено 27 июня, 2019 пользователем Roman Zakharov

[oit]

@Roman Zakharov, обратитесь сюда: https://forum.kasperskyclub.ru/index.php?showforum=26

Правила https://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url]

[Sandor]

Виноват. Это я перенес из лечения и не отметил. Поскольку сказано

Есть сетевое хранилище файлов

я и предположил, что логи будут не информативны.

[andrew75]

@Roman Zakharov, В свойствах проводника включите опцию "Показывать скрытые файлы и папки"

Скорее всего все папки на сетевом хранилище сейчас скрытые.

Дальше удалите там папку "start _ & _" вместе со всем содержимым и поменяйте атрибуты файлов и папок.

[Roman Zakharov]

@Roman Zakharov, В свойствах проводника включите опцию "Показывать скрытые файлы и папки"

Скорее всего все папки на сетевом хранилище сейчас скрытые.

 

Показ скрытых файлов и папок был включен. Все папки и файлы, которые были в корневом каталоге, находятся сейчас в этом безымянном ярлыке.

 

@Roman Zakharov, Дальше удалите там папку "start _ & _" вместе со всем содержимым и поменяйте атрибуты файлов и папок.

 

Данная папка отсутствует.

[andrew75]

Веб-интерфейс у сетевого хранилища есть? Зайдите через него и посмотрите что там происходит.

Судя по этой теме - http://forum.oszone.net/thread-338090.html там должна быть скрытая папка "_" в корне сетевого диска.

 

В свойствах проводника снимите временно галочку "скрывать защищенные системные файлы"

 

Или попробуйте через "Пуск - Выполнить" перейти в папку "\\имя_сет_хранилища\_"

Изменено 27 июня, 2019 пользователем andrew75

[Roman Zakharov]

Да, веб-интерфейс есть. Зашли, посмотрели, ничего особенного не происходит. Через него также при создании и переносе папок их смывает в папку с нижним подчеркиванием. Она нашлась, кстати. В ней постоянно создается и потом удаляется Каспером DeviceManager.exe.

[andrew75]

Значит скорее всего вирус сидит на одном из компьютеров в вашей сети и оттуда восстанавливается на шаре.

Изменено 28 июня, 2019 пользователем andrew75

[regist]

@Roman Zakharov, а сетевое хранилище к чему подключено?

 

Касперский удаляет ДевайсМенеджер

А касперский где стоит или как вы им проверяете?

 

 

Данная папка отсутствует.

Папка скорее всего называется _ (то есть просто нижний прочерк), а остальное что вы искали как название это команды cmd.

[andrew75]

 

 

Папка скорее всего называется _

папку они уже нашли, только вирус там восстанавливается .

 

@Roman Zakharov, прогоняйте каждый компьютер KVRT или CureIt-ом.

Когда удалите источник заражения, можно будет восстановить папки на сетевом хранилище.

Изменено 28 июня, 2019 пользователем andrew75

[kmscom]

@andrew75, вы забыли рекомендовать Kaspersky Rescue Disk

[oit]

А лучше включать доступ по одному пользователю. Будет видно после кого

[andrew75]

@kmscom, да собственно неважно чем. Судя по всему, вирус достаточно старый, он должен быть во всех базах.

Подозреваю что на зараженном компьютере антивируса либо вообще нет, либо он отключен.

 

@oit, если только отключить все компьютеры от сети, удалить вирус на сетевом хранилище и подключать по одному. 

Изменено 28 июня, 2019 пользователем andrew75

[regist]

 

 

Дальше удалите там папку "start _ & _" вместе со всем содержимым

1) Папка получается "_".
2) Если я правильно понимаю

 

Все папки и файлы, которые были в корневом каталоге, находятся сейчас в этом безымянном ярлыке.

Все файлы и папки сейчас как раз находятся внутри этой папки "_", так что прежде чем её удалять надо все оттуда перенести, а иначе восстановить можно будет только спец. утилитами для восстановления удалённых файлов.

3) Прежде чем заниматься переносом этих файлов надо вылечить вирус, а то из-за самодеятельности при активном вирусе могут файлы потеряться окончательно.

[andrew75]

@regist, вы правильно понимаете, только тему не дочитали. Я потом разобрался с командой и понял, как называется папка. И ТС ее нашел:

 

... папку с нижним подчеркиванием. Она нашлась, кстати. В ней постоянно создается и потом удаляется Каспером DeviceManager.exe.

 

Так что теперь задача стоит в том, чтобы определить откуда восстанавливается вирус и удалить источник.

Изменено 28 июня, 2019 пользователем andrew75