Security Essentials: restaura um arquivo em quarentena para um local diferente?

Question

Eu tenho um arquivo que o Security Essentials colocou em quarentena "à vista" que desejo restaurar para realizar algumas análises adicionais.

No entanto, o arquivo foi armazenado no meu servidor NAS. Isso significa que eu tinha acessado o servidor inserindo \192.168.1.5 na minha caixa Executar, inserindo as credenciais e navegando até a pasta. O Security Essentials removeu o item e o armazenou em quarentena. Não consigo restaurar o item da quarentena, com o código de erro 0x80508014 .

Minha pesquisa mostra que esse erro indica que o SE não pode acessar o caminho no qual o arquivo original estava e sugere recriar o caminho. O problema é que eu não removi nenhuma pasta, então o caminho já existe. A escavação adicional parece indicar que o problema é que o SE não pode acessar o compartilhamento de rede porque o compartilhamento está conectado à sessão da minha conta de usuário e não ao SYSTEM ou ao Administrator. O SE lista o caminho do arquivo original nos detalhes como file:\192.168.1.5\storage\research\file.exe , de modo que parece que o SE está tentando restaurar diretamente o arquivo para esse local e não pode fazê-lo porque o processo SE não tem acesso à conexão de compartilhamento. / p>

Eu tentei abrir um prompt de comando do administrador e conectar manualmente o compartilhamento de rede à sessão do administrador usando net use , mas isso não ajudou.

Existe uma maneira de direcionar o SE para restaurar um arquivo em quarentena para um local diferente daquele em que ele foi originalmente encontrado? Eu não vejo uma maneira para eu poder dar acesso ao processo SE para o compartilhamento de rede para que ele possa restaurar o arquivo.

    

Answer 1

Ocorreu um problema semelhante quando o Windows 10 Defender colocou em quarentena alguns arquivos da minha caixa NAS.

Em um prompt de comando (aberto como administrador), consegui usar a ferramenta de linha de comando para listar os arquivos em quarentena:

c:\Program Files\Windows Defender>MpCmdRun.exe -restore -listall

The following items are quarantined:

XXX
XXX

Então usei a opção -restore junto com -Path para restaurar em um caminho local:

c:\Program Files\Windows Defender>MpCmdRun.exe -restore -All -Path C:\Path\To\Restore

Depois disso, consegui copiar os arquivos de volta para minha unidade de rede (que agora está na lista de exclusões!).

    

Answer 2

Quando você executou o comando net use no prompt de comando administrativo, você também executou / iniciou a interface SE a partir desse prompt de comando?

net use \192.168.1.5\ipc$ /user:username pwd
net use \192.168.1.5\storage /user:username pwd
"C:\Program Files\Microsoft Security Client\msseces.exe"

Na minha experiência, isso é necessário porque o processo SE não deve ser executado apenas com o mesmo ID de usuário, mas com a mesma sessão. Se você executar net use em um prompt de comando administrativo, ele poderá não ter nenhum efeito sobre o aplicativo administrativo SE se o SE foi lançado separadamente do prompt de comando.