Подозрительный A0010164.exe

[boq]

Позавчера Авира (Avira AntiVir Personal) стала находить как троян A0010164.exe.
Находит его только гвард в папке на одном диске: I:\System Volume Information.

Собственно вот пример лога:
Virus or unwanted program 'TR/Crypt.XPACK.Gen [trojan]'
detected in file 'I:\System Volume Information\_restore{64F57FD2-0AF9-4CFA-832F-67D5F2018B21}\RP22\A0010164.exe.
Action performed: Deny access

Все, что остается сделать - запретить доступ. Излечить не получается.

Сканер Авиры его не находит. А гвард, создается впечатление, находит только в случае простоя системы в неактивном состоянии и переходе в экран "выбора пользователя". Но строгой зависимости - "переход в ждущий режим" -> срабатывание гварда на A0010164.exe при выходе - обнаружить не могу. То есть, то нет.

Поиск другими антивирями, в том числе Доктором Вебом (CureIt) и AVZ ничего в этом направлении не дает.

Примерно месяц назад уже столкнулся с этой проблемой. Разобраться не успел. Система накрылась (возможно по этой причине), переустановил. Но решать эту проблему постоянной переустановкой - хлопотно очень и совсем не хочется.

Прошу помощи.

[Rene-gad]

Отключите системное восстановление, как написано в правилах. Потом повторите логи.

[boq]

Собственно так и сделал. Включил после записи логов.

[Rene-gad]

Собственно так и сделал. Включил после записи логов.

Откуда, по Вашему, эта строчка?

Версия Windows: 5.2.3790, Service Pack 2 ; AVZ работает с правами администратора
Восстановление системы: включено

[boq]

Странно, сейчас повторю.

[boq]

Проблема не во мне. Как видно на картинке, несмотря на отключение восстановления AVZ пишет: "Восстановление системы: включено".

Поэтому переделывать остальные 2 теста пока не стал.

Что делаю не так?

[Rene-gad]

- Выполните скрипт

begin
setavzpmstatus(true);
RebootWindows(true);
end.

После перезагрузки повторите логи

[boq]

Выполнил. С отключенным восстановлением, но АВЗ все равно пишет "включено". Или это уже не важно?

[Rene-gad]

У Вас Винда 64-битная, АВЗ с такими не дружит
В логах ничего подозрительного. Авира продолжает войну?

[boq]

Сегодня нет. Но и возможностей (длительных простоев), когда такое случалось, пока не было.

В прошлый раз похоже было. Пару простоев в день и три десятка алертов (когда заходишь в систему, "жмакать" на "дени" устаешь). Потом тишина. Потом опять алерты. А через несколько дней системы перестала грузиться.

И не знаю как этот файл из этой папки выдрать. Причем такие папки ж на каждом диске, но алерты идут только на I.

По гуглю есть только "иностранные" упоминания об этом файле, но "лечили" их какой-то экзотикой, которую, к примеру, тут не приветствуют.

[Rene-gad]

И не знаю как этот файл из этой папки выдрать.

Это не проблема: http://support.microsoft.com/kb/309531/ru
Но проще всего - отключать системное восстановление полностью.

Добавлено через 1 минуту

По гуглю есть только "иностранные" упоминания об этом файле

Так это же переименованный НЕИЗВЕСТНО-КТО в системном восстановлении. Искать в гугле по этому имени бессмысленно.