Zanim doradzisz mi opcję zapisywania moich plików i formatowania dysku za pomocą gparted , proszę zrozumieć, że mogłem zrobić te godziny wstecz i zajęłoby to tylko kilka minut. Właściwie to chcę zrozumieć, co się tu naprawdę dzieje. Sytuacja niszczy wszystkie moje doświadczenia zdobyte przez lata.
Miałem wrażenie, że jeśli włożę zainfekowany wirusem dysk flash do mojego komputera z systemem Ubuntu, wszystko, co muszę zrobić, to po prostu usunąć pliki wirusów i jestem gotowy.
Dzisiaj zebrałem niektóre pliki w sformatowanym dysku flash NTFS z komputera z systemem Windows, w pełni wiedząc, że komputer jest zainfekowany wirusem. Po włożeniu dysku flash do mojego komputera stwierdziłem, że rzeczywiście zgromadził on wiele plików i folderów. Usunąłem większość z nich. Jedynym wykazującym twardą odporność jest katalog RECYCLER (i jego podkatalogi).
Atrybuty tego katalogu.
drwx------ 1 masroor masroor 4.0K May 7 16:01 RECYCLER/
Jeśli wykonam rmpolecenie,
sudo rm -rvf RECYCLER/
Dostaję długi wynik w linii,
rm: cannot remove `RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/OagFrAIX.exe': Input/output error
rm: cannot remove `RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/viJbcvrJ.cpl': Input/output error
<rest snipped>
Co ciekawe, wyżej wymienione pliki są wyświetlane przez lskomendę z niezliczonym zestawem atrybutów.
ls -l RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/
ls: cannot access RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/OagFrAIX.exe: Input/output error
ls: cannot access RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/viJbcvrJ.cpl: Input/output error
total 0
-????????? ? ? ? ? ? OagFrAIX.exe
-????????? ? ? ? ? ? viJbcvrJ.cpl
Jeśli spróbujesz znaleźć atrybuty tych szkodliwych folderów,
ls -dl RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/
Dostaję,
drwx------ 1 masroor masroor 4096 May 7 15:58 RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/
Polecenie, chmodaby świat RECYCLER był zapisywalny w świecie, kończy się niepowodzeniem.
sudo chmod -vR ugo+w RECYCLER/
Dane wyjściowe są w wierszu.
mode of `RECYCLER/' changed from 0700 (rwx------) to 0722 (rwx-w--w-)
mode of `RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537' changed from 0700 (rwx------) to 0722 (rwx-w--w-)
chmod: cannot access `RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/OagFrAIX.exe': Input/output error
<snipped>
Te foldery zawierały wiele .exeinnych plików, z których większość już pomyślnie usunąłem (oprócz wyżej wymienionych).
Jeśli sprawdzę atrybuty jednego z tych folderów,
lsattr -ad RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/
dostaję
lsattr: Inappropriate ioctl for device While reading flags on RECYCLER/S-2-4-27-3777257131-1806073332-421880436-8537/
Uruchomiłem clamtkna tym urządzeniu, jak sugerowano tutaj . Jednak nie znajduje zagrożenia.
Rozumiem, że mogę po prostu zapisać gdzieś zawartość dysku flash, a następnie sformatować ją. Jednak jestem bardziej zainteresowany ustaleniem, które atrybuty zostały ustawione w tych folderach, które są odporne na dalsze zmiany. (I zdecydowanie chcę też wyleczyć mój dysk flash.)
AKTUALIZACJA 1
W nawiązaniu do komentarza Patro .
- Gdy foldery są odwiedzane, pliki z niezliczonymi atrybutami nie są wyświetlane, nawet gdy próbuję wyświetlić je jako pliki ukryte.
- Usunięcie tych plików kończy się niepowodzeniem. Komenda
rm -rvf *w kataloguS-2-4-27-3777257131-1806073332-421880436-8537kończy się niepowodzeniem z błędem wejścia / wyjścia.
AKTUALIZACJA 2
Po komentarzach od soulsource i girardengo próbowałem uruchomić
ntfscki ntfsfix. Również ta kwestia pomogło.
Oto wyniki.
ntfsck
sudo ntfsck /dev/sdc1
Unsupported: replay_log()
Unsupported: check_volume()
Checking 7796 MFT records.
Unsupported cases found.
ntfsfix
sudo ntfsfix -d /dev/sdc1
Mounting volume... OK
Processing of $MFT and $MFTMirr completed successfully.
NTFS volume version is 3.1.
NTFS partition /dev/sdc1 was processed successfully.
Ale początkowa sytuacja nadal się utrzymuje. Nie było żadnej poprawy.
AKTUALIZACJA 3 (ROZWIĄZANE)
Jak zalecono w tym poście , włożyłem dysk do komputera z systemem Windows i uruchomiłem (z terminala),
chkdsk <drive letter> /R
Było mnóstwo działań dotyczących sprawdzania i naprawy. Pojawiły się również wiadomości dotyczące złych sektorów. Zadanie zostało ukończone w mniej niż minutę. Potem odkryłem, że dla odzyskanych obszarów utworzono kilka nowych folderów.
Ponownie włożyłem dysk flash do komputera z systemem Linux, a folder RECYCLER można usunąć bez problemu.
Jako dodatkowy krok, sformatowałem teraz dysk (używając gparted do NTFS), ponieważ uważam, że uzyskałem wgląd.
Wygląda na to, że wirus rzeczywiście może powodować (tymczasowy / miękki) problem sprzętowy. Szczegółowe wyjaśnienie techniczne znajduje się w wyżej wymienionym poście .
ntfsfixaby spróbować poprawić błędy.