C: \ SYSTEM.SAV preenchido com arquivos suspeitos. Posso apagar esta pasta?

Question

Eu tentei passar pela minha unidade C (SSD) para limpar arquivos enquanto estava ficando sem armazenamento, e encontrei uma pasta chamada SYSTEM.SAV . É uma pasta oculta em letras maiúsculas completas.

Lá eu encontrei logs sobre o Amazon Shopping, o Netflix assistindo, o registro "flushing", assim como um arquivo chamado PostFBI.bcmd com este conteúdo:

@Echo off
IF EXIST X:\HideScrn.flg (del /f /q X:\HideScrn.flg)
IF EXIST c:\CTOERROR.flg (
    CALL C:\system.sav\ExitProc\util\CTOPanic.cmd
) ELSE (
    IF EXIST C:\system.sav\Flags\Win7.flg CALL C:\system.sav\ExitProc\Util\rmshowfinish.cmd
)
@Echo on

Isso parece muito suspeito para mim. Eu olhei para as datas dos logs e a maioria é de dois anos atrás. Lembro-me de ter sido bombardeado por virusses e restaurar meu pc. Então eu suponho que é disso que eles estão aqui.

Posso excluir esses arquivos / a pasta inteira?

    

Answer 1

Algumas pesquisas do Google descobriram que isso é usado pelo HP Recovery Manager (consulte as versões: Windows Vista , Windows 7 , Windows 8 , Windows 10 ). O Netflix / Amazon / etc. os arquivos podem realmente se referir ao "bloatware" pronto para uso com o qual o sistema foi enviado. O mais antigo dos meus laptops, um HP Pavilion dv6z-3000, tinha essa pasta em um ponto (e o IIRC foi criado quando executei a recuperação).

Pelo que posso dizer, o software de recuperação usa uma partição de recuperação e essa pasta é criada durante o processo de recuperação. Provavelmente não é malicioso, embora você possa querer verificá-lo para ter certeza de que não foi infectado. Não tenho certeza se a exclusão interromperá a recuperação, mas você pode tentar compactá-la em um arquivo e removê-la para economizar espaço.

    

Answer 2

Esses arquivos foram colocados pela HP enquanto o computador estava em reparo ou durante o processo de recuperação se você estivesse usando a unidade flash de recuperação.

O reparo da HP os colocou no meu novo laptop, que eu reformatei antes de enviá-los e os deixei no meu computador quando eles retornaram para mim.

Sendo curioso, então eu corri um relatório do sistema para ver o que ocorreu durante o tempo em que ele estava sendo reparado, e ele mostra 2.217 arquivos foram instalados no meu computador enquanto eles estão em seu poder, incluindo todos os arquivos system.sav. p>

A HP negou ter ouvido falar desses arquivos e afirmou que eles apenas substituíram a minha tela, portanto não foram responsáveis, mas não conseguiram responder como chegaram lá, pois eu os reformatei para as configurações de fábrica antes de enviá-los para reparo. / p> Além disso, depois que a HP substituiu a placa-mãe e o disco rígido em meu computador (mantive o disco rígido original como prova), eles me enviaram duas unidades flash para reinstalar o sistema operacional e, durante a instalação, um bloco apareceu na tela. a instalação estava ocorrendo sob algo chamado "FBI DEBUG MODE", antes de desaparecer e o processo de instalação continuar.

No entanto, uma vez que a instalação foi feita, os arquivos system.sav estavam de volta, assim como todos os outros arquivos que a HP manteve que eles não tinham conhecimento.

Uma rápida verificação mostra que os arquivos estão em ambas as unidades flash que eles me enviaram, por isso, qualquer dúvida sobre a origem deles é agora discutível.

Vou dar à HP mais uma chance de aderir a isso antes de decidir o que fazer, já que o vírus resultante devastou minha rede, infectando tudo o que ele toca.