Der Virus war nicht auf der AS/400 aktiv sondern auf dem Windowsrechner mit einer zugelassenen Freigabe.
Ein Scanner auf der AS/400 hätte da nichts gemerkt.
Ein Windows/Linuxserver merkt das auch nicht da ja die reinen Dateizugriffe durchaus beabsichtigt sein können.
Schließlich kann man seine Verzeichnisse ja auch selber ohne Virus verschlüsseln.

Das klingt ja böse nach einem "Erpresser-Virus".