Nun, ein Virenscanner untersucht die Datei beim Zugriff, ob ein Virus enthalten ist.
Wenn der Virus aber wie in vorliegendem Fall auf dem Client sitzt und nur die Dateien öffnet, verschlüsselt und schließt, kann der Scanner den unerlaubten Zugriff nicht prüfen bzw. merken.
Dies betrifft aber halt sämtliche Server.
Ein einziger infizierter Client im Netzwerk (Intranet hinter der Firewall) korrumpiert das gesamte Netzwerk.