[решено] Что за папка $OSBACKUP$ ?

[напильник]

здравствуйте. недавно на флешках и всех разделах жесткого появилась пустая папка $OSBACKUP$
не удаляется. удалил из линукса, при загрузке винды опять появилась.
в нете ничего внятного не нашел. в просмотре событий винды тоже ничего.
что-то с архивацией связано, наверное. так то не мешает, интересно просто, что винда без моего ведома творит.
винда 7х64 оригинал.

[raddy]

недавно на флешках и всех разделах жесткого появилась пустая папка $OSBACKUP$
не удаляется. »
А какой антивирус используется?

[напильник]

А какой антивирус используется? »
Kaspersky Free. только что сделал полную проверку. нашел кое-что. что-то лежит на жестком давным давно, раньше при проверках оставлял. игры, программы крякнутые. что-то из нового нашел из той же категории. сейчас всё удалил, ничего не оставил.
опять удалил папку из линукса, опять она в винде появилась на всех разделах.

[напильник]

в безопасном режиме папка удаляется. если после удаления опять перезагрузить в безопасный режим, папка не появляется.

[Iska]

напильник, прочтите http://www.outsidethebox.ms/10368/ и действуйте, как там указано.

[напильник]

Iska, не помогло. в автозагрузке еще раньше пробовал всё отключать. в службах не майкрософта только служба касперского была включена. тоже тыкал "отключить всё".
пробовал узнать какой процесс блокирует папку при удалении с помощью LockHunter, Unlocker, ProcessExplorer, монитор ресурсов - везде пусто.

[Vadikan]

напильник, делайте логи http://forum.oszone.net/showthread.php?&t=98169

Перенесено из 7

[напильник]

вот, сделал. установлено два браузера - мозила и хром. кто-то мозилой пользуется, кто-то хромом.
первый лог с мозилой, второй с хромом:

[akok]

Cezurity Antivirus нужно удалить (или это у вас сканер стоит?)

Панель управления\Система и безопасность\Резервное копирование и восстановление (Windows 7) - какие там настройки?

Скачайте Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве ('https://safezone.cc/threads/17759/').

[напильник]

Cezurity Antivirus нужно удалить »
давно удалил. видимо, не всё вычистил.
Панель управления\Система и безопасность\Резервное копирование и восстановление (Windows 7) »
нашел только такое: Панель управления\Система и безопасность\Архивация и восстановление - архивация данных не настроена.
восстановление (защита) системы отключено.
по остальному попозже.

[напильник]

150158

[akok]

давно удалил. видимо, не всё вычистил. »
Вот утилита для удаления следов http://www.cezurity.com/temp/remover/Cezurity_Antivirus_Remover.exe

rtmpdump - сами устанавливали?
И эти настройки системы:
HKU\S-1-5-21-2273658178-282014630-1779785071-1000\...\Policies\Explorer: [NoInstrumentation] 1
HKU\S-1-5-21-2273658178-282014630-1779785071-1000\...\Policies\Explorer: [NoDrivesInSendToMenu] 1
HKU\S-1-5-21-2273658178-282014630-1779785071-1000\...\Policies\Explorer: [NoInternetOpenWith] 1
HKU\S-1-5-21-2273658178-282014630-1779785071-1000\...\Policies\Explorer: [HideSCAHealth] 1
HKU\S-1-5-21-2273658178-282014630-1779785071-1000\...\Policies\Explorer: [HideSCAVolume] 1
Групповые политики?
GroupPolicy: Restriction <==== ATTENTION
GroupPolicy\User: Restriction <==== ATTENTION

Отключите до перезагрузки антивирус.
Выделите следующий код:
Start::
CreateRestorePoint:
HKU\S-1-5-21-2273658178-282014630-1779785071-1000\...\MountPoints2: {52b00c56-59f2-11e7-b145-002586e3f81f} - G:\
AlternateDataStreams: C:\Windows\nircmd.exe:.gltth [162]
AlternateDataStreams: C:\Windows\system32\shellstyle.dll:.gltth [20]
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве ('http://safezone.cc/threads/17760/').

Windows Firewall is disabled. - сами отключили?

[напильник]

rtmpdump - сами устанавливали? »
помогали.
Групповые политики? »
да, вроде настраивал там винду после установки.
Windows Firewall is disabled. - сами отключили? »
служба Брандмауэр Windows работает (автоматический запуск). не отключал.
AlternateDataStreams: C:\Windows\nircmd.exe:.gltth [162]
AlternateDataStreams: C:\Windows\system32\shellstyle.dll:.gltth [20] »
обьясните чайнику суть команд. любопытно.
лог прилагаю. я так понял, первая команда на создание точки восстановления. отключено оно у меня.

[напильник]

Up!
ау, спецы! всё на этом?
сделаем зарядку для мозгов, продолжим..

[Sandor]

Проблема еще актуальна?

[напильник]

кнчно, актуальна. иначе я бы отписался.

[Sandor]

Скачайте Malwarebytes' Anti-Malware (https://downloads.malwarebytes.com/file/mb3/). Установите.
На вкладке "Параметры" - "Личный кабинет" ("Settings" - "My Account") нажмите кнопку "Деактивировать ознакомительную Premium-версию".
На вкладке "Проверка" - "Полная проверка" нажмите кнопку "Начать проверку". Дождитесь окончания проверки.
Самостоятельно ничего не удаляйте!!!
Нажмите кнопку "Сохранить результат - Текстовый файл (*.txt)". Имя сохраняемому файлу дайте любое, например, "scan".
Отчёт прикрепите к сообщению.
Подробнее читайте в руководстве. (https://safezone.cc/threads/28958/)

[напильник]

проблема решена. заглянул в установку-удаление программ, в списке торчит Cezurity Antivirus. хотя удалял его раньше и недавно с помощью утилиты из поста akok. вроде потом пропадал из списка. ладно, нажал удалить, вылезло окошко, что-то само сделало. из списка исчез. после этого папка $OSBACKUP$ без проблем везде удалилась. перезагружал-выключал, пока чисто.
Malwarebytes Anti-Malware просканировал, лог прилагаю. там ярлык из автозагрузки на скрипт rtmpdump (с iptv связано). не думаю, что вредно. а что про остальные обнаруженные посоветуете?
спасибо всем за помощь!
пс: это внучка мне удружила с Cezurity Antivirus. что-то искала в инете и по ошибке установила.

[Sandor]

Кроме
Backdoor.Agent.Gen, C:\USERS\SHIFR\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\1.lnk, Проигнорировано пользователем, [746], [218110],1.0.3576

все остальное можно удалить (поместить в карантин).

Проверьте уязвимые места:

Загрузите SecurityCheck by glax24 & Severnyj (http://tools.safezone.cc/glax24/SecurityCheck/SecurityCheck.exe) и сохраните утилиту на Рабочем столе
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Прикрепите этот файл к своему следующему сообщению.

[напильник]

сделал