Xóa tệp - quyền truy cập bị từ chối ngay cả với / F

Tôi đang cố xóa một tệp thực thi, nhưng nó không thành công với lỗi Access bị từ chối thậm chí thêm vào /Fđể buộc nó là del /F system.exe. Tôi đang sử dụng một Dấu nhắc lệnh nâng cao.

Cố gắng xóa tệp thông qua Windows Explorer mang lại kết quả như sau:

Tôi đã đi vào các thuộc tính bảo mật của thực thi. Nổi bật là các mục cấp phép kỳ lạ có thể ngăn tôi xóa tệp này:

Ban đầu, nó không cho phép tôi xóa các mục; các tùy chọn đã bị mờ đi. Tôi đã thực hiện takeown /F C:\ProgramData\994146\system.exe, xóa các mục, thêm các mục cung cấp cho tôi toàn quyền và đóng hộp thoại. Lỗi vẫn tồn tại. Khi tôi mở lại Cài đặt bảo mật nâng cao, các mục đã trở lại.

Thư mục mẹ của system.exe, 994146, hoàn toàn vô hình trong ProgramData. Tôi có "hiển thị các tập tin ẩn" trên ProgramData. Tôi đã phải tự nhập đường dẫn trong thanh địa chỉ của Windows Explorer. Tôi cũng không chắc chắn làm thế nào để chỉnh sửa các thuộc tính của 994146 vì tôi không thể chọn nó trong hệ thống phân cấp tệp.

Đặt các quy trình xấu trên băng:

1. Tải xuống và chạy Process Explorer (từ Microsoft) với tư cách Quản trị viên
2. Trong menu Tùy chọn > VirusTotal.com, bật Kiểm tra VirusTotal.com và chấp nhận thỏa thuận cấp phép
3. Một cột mới sẽ xuất hiện có tiêu đề VirusTotal với một số như 0/57. Số đầu tiên cho biết có bao nhiêu máy quét vi-rút nghĩ rằng quá trình bị nhiễm. Số thứ hai cho biết có bao nhiêu tệp quét. 0/57sẽ chỉ ra một quy trình sạch trong khi 19/57sẽ chỉ ra 19 máy quét nghĩ rằng quy trình này là xấu.
4. Đối với bất kỳ quy trình nào được gắn cờ là bị nhiễm, nhấp chuột phải và Tạm dừng (không giết)
5. Khi tất cả các quy trình đáng ngờ đã bị đình chỉ, hãy tiêu diệt chúng cùng một lúc
6. Nếu bất kỳ quy trình bị nhiễm mới nào xuất hiện lại, hãy tạm dừng chúng và không giết chúng
7. Thay đổi quyền truy cập tệp trên tệp thực thi không mong muốn của bạn để lấy lại Toàn quyền, sau đó xóa tệp
8. Khi bạn đã xóa tệp, bạn cần ngay lập tức chuyển sang quét máy tính để tìm phần mềm độc hại

Nếu điều này không hiệu quả, thì hãy dập lửa:

1. Tải xuống và chạy Process Monitor (cũng từ Microsoft) và chạy với tư cách Quản trị viên
2. Trên Lọc đơn nhấp Lọc ...
3. Tạo một điều kiện lọc để khớp với tệp của bạn như sau:
4. Nhấp vào Thêm rồi OK
5. Thay đổi quyền trên tệp của bạn
6. Xem lại đầu ra của Monitor Monitor. Bạn sẽ thấy rằng explorer.exetruy cập tệp (đó là bạn, thay đổi quyền). Tìm kiếm bất kỳ quy trình nào khác chạm vào tệp ... rất có thể là quy trình cuối cùng để làm như vậy. Đây rất có thể sẽ là quá trình độc hại của bạn.
7. Sử dụng Process Explorer để tạm dừng quá trình đó ( PIDgiá trị được hiển thị bởi Process Monitor cũng được hiển thị bởi Process Explorer)
8. Hãy thử thay đổi quyền / xóa tệp một lần nữa

Đây là "chown.bat" của tôi (unix folks sẽ cười tôi khi sử dụng tên đó). Tôi đã ghép nó lại với nhau từ nhiều giải pháp khác nhau ... Mỗi lần không hoạt động, tôi lại thêm nhiều thứ khác. Những thứ SetACL tôi chỉ khám phá vào năm 2014 hoặc 2015. Điều này chưa bao giờ làm tôi thất bại:

    for /r %fn in (*.*)  SetACL -on "%fn" -ot file -actn clear -clr dacl,sacl
    takeown /F * /R /D  Y
    icacls   *.* /T /C /grant YOURUSERACCOUNTNAMEHERE:(D,WDAC)
    icacls    .  /T /C /grant administrators:F System:F everyone:F

SetACL là tiện ích của bên thứ 3 cần có trong đường dẫn của bạn.