Virus in volume shadow copy versoort backups

[roy-t]

Ik probeer al een paar dagen een backup te maken dmv de backup tool in Windows 7. Tot voorkort werkte dit goed, maar de laatste tijd krijg ik een foutmelding na een half uur: 0x810000037

Op het zelfde moment krijg ik een popup van mijn virusscanner:


Na wat zoeken blijkt dat de backup software de volume shadow copy gebruikt om bestanden op te halen als ze gelocked zijn.

Anyway ik geprobeerd de volume shadow copy te verwijderen via configuratie scherm->system->protection->configure->delete maar na het opnieuw backupen kwam dezelfde melding weer alleen verscheen nu HarddiskVolumeShadowCopy13, daarna 14, etc.. ik kreeg het bestand maar niet weg uit de volume shadow copy en ik weet niet hoe ik het nu moet aanpakken.

[Nielson]

Even uit en later weer inschakelen van systeemherstel werkt ook niet?

[roy-t]

Ik heb het uitgezet, maar ook nu gebeurde weer exact het zelfde (VolumeShadowCopy14 deze keer). ... Ik snap er echt niets van.

[zkiwi]

Hier hebben ze er ook over gediscuseerd. Je schijnt ze via de command prompt te kunnen verwijderen,

[roy-t]

zkiwi schreef op dinsdag 28 juni 2011 @ 16:46:
Hier hebben ze er ook over gediscuseerd. Je schijnt ze via de command prompt te kunnen verwijderen,

Goede tip, ik heb het net via de commandline geprobeerd, maar daar is niets te vinden:



Edit: ik heb ook geprobeerd de backup te draaien met de volume shadow copy service op disabled, maar dan stopt de backup meteen met een andere error, dus dat gaat helaas niet door.

[ Voor 17% gewijzigd door roy-t op 28-06-2011 16:56 ]

[Nielson]

Hier staan nog een paar opties: http://www.sevenforums.co...estore-points-delete.html

[roy-t]

Damn, na die tip in CCLeaner geprobeerd de system restore points te deleten, maar het laatste restore point ka ik niet deleten... wel gek dat er geen shadow copies meer zijn, maar nog wel system restore points.

[Nielson]

Wel even gereboot tussendoor? Misschien zijn er nog bestanden in gebruik. Misschien ook even veilige modus proberen, rest van de virussen ed heb je al verwijderd?

[Jarno]

Het zit in Java zie ik, al eens geprobeerd dat te verwijderen? Of met shreddersoftware of bijvoorbeeld unlocker?

[roy-t]

Hmm, ik zal het zo even in veilige modus proberen, en daar nog een keer alles verwijderen, wel een hardnekkig probleem zeg, ook jammer dat je sowieso niet aan Windows Backup kan wijs maken om de shadow copy te gebruiken (bij andere backup software waarmee ik experimenteerde kon dat wel) aan de andere kant was die andere backup software voor de rest dan weer ruk .

[dezejongeman]

ik zou gewoon kijken of je de paritie kan mounten in een linux bootcd of dergelijke want op dat moment kan het bestand waarschijnlijk niet draaien omdat het windows nodig zal hebben. alleen zul je dan nog even rechten op dat bestand moeten krijgen zodat je het kunt verwijderen.

[roy-t]

@Jarno
Het zit in het SVC, daar kan ik niet direct bij, maar ik heb de origine waar de kopie is gemaakt verwijderd (samen met de hele JAVA Cache folder)

@dezejongeman

Het Shadow Volume Copy zit in het NTFS filesystem en is geen bestand maar een shaduw kopie tbv systeem herstel, ik denk niet dat ik daar met een linux boot cd bij kan

[roy-t]

Na een frisse start vandaag, nogmaals alles herhaald in veilige modus, waarna na een reboot de backup nu bijna af is, ik vermoed dat het nu gefixed is.

Hierna zal ik systeem herstel maar weer aanzetten, hopelijk komt er niet vaak een virus in want dit is wel een heel gedoe.

Anyhow, bedankt voor de tips!