瑞星卡卡安全论坛

F盘System Volume Information有两个可疑文件。已经关闭系统还原。

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

附件: MountPointManagerRemoteDatabase.rar

附件: tracking.log

这两个文件看不出问题来:default3:

个人认为两个文件都是正常的。

对了，你F盘的分区格式是FAT还是NTFS的？

我只有F盘是NTFS，难道NTFS分区就会有这两个文件，其他盘是FAT32，没有这两个文件。那个LOG文件用记事本打开是乱码。这两个文件可以删除吗？第一个文件是系统文件，名字带REMOTE远程意思，并且[这两个文件所处目录是系统还原目录，而我早就关闭了系统还原。

不是PE文件 ~

应该可以删除吧？不是必需的吧？

个人不建议删除，因为个人认为它们是正常的文件……:default7:

我的F盘没有安装任何程序，系统还原全盘关闭，F盘也不是系统盘。那么那两个文件是哪来的呢？首先不是我创建的，那么要么是某个程序创建的，要么是病毒创建的。
那两个文件我是用冰刃发现的，然后用管理员访问F:\System Volume Information,访问被拒绝。去掉简单文件夹共享，给F:\System Volume Information管理员完全控制权限。当时
F:\System Volume Information只有SYSTEM完全控制权限，其他任何用户无权访问。这种情况下，能在F:\System Volume Information目录下创建那两个文件的只能是SYSTEM进程。那两个文件创建日期是2006年10月，当时我是用江民。
看MountPointManagerRemoteDatabase这个文件，其中MountPoint应该和U盘有关。系统读取AUTORUN的内容写入注册表的MountPoint项。RemoteDatabase应该是远程数据基地的意思。我很怀疑正常程序会创建这两个文件藏身于F:\System Volume Information
并且任何用户无权访问。我怀疑是病毒残余。

谁能把那个LOG文件解密看看是什么内容？

我下载不了,那两个文件名是什么?

还有,附上乱码

一个是MountPointManagerRemoteDatabase，没有扩展名，显示为系统文件，一个是tracking.log。用记事本打开是乱码。

 附件: 您所在的用户组无法下载或查看附件

 附件: 您所在的用户组无法下载或查看附件

为什么现在上传个图片都不显示，而是显示为附件呢？

提供两个链接地址，个人认为那两个文件是NTFS分区下系统还原文件夹下的正常文件，可用冰刃发现MountPointManagerRemoteDatabase这个文件，但无需删除，：
http://board.verycd.com/t183771.html
http://hi.baidu.com/heiya/blog/item/563c972299d685f6d6cae229.html

谢谢了！真是高人！