Ergebnis von VSSADMIN weiterverarbeiten (Consolenausgabe bzw. Ergebnis aus Textfile analysieren und String daraus weiterverwerten) (Dateiwiederherstellung aus Schattenkopiespeicher)

 vssadmin List Shadows /for=F:

vssadmin 1.1 - Verwaltungsbefehlszeilenprogramm des Volumeschattenkopie-Dienstes
(C) Copyright 2001-2013 Microsoft Corp.

Inhalte der Schattenkopiesatzkennung: {ade17f6d-454e-4ef8-8a32-bd70c425d24a}
   1 Schattenkopie(n) war(en) enthalten bei der Erstellungszeit:
         07.02.2016 12:00:15
      Schattenkopienkennung: {0bab55b0-8268-4e2e-bc9b-24119b867e8d}
         Ursprüngliches Volume: (F:)\\?\Volume{c646ac3e-c63b-4b7a-85e9-2b12e225c90c}\
         Schattenkopievolume: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy279
         Quellcomputer: Servername.domaene.local
         Dienstcomputer: Servername.domaene.local
         Anbieter: "Microsoft Software Shadow Copy provider 1.0"  
         Typ: ClientAccessible
         Attribute: Permanent, Clientzugänglich, Keine automatische Freigabe, Keine Verfasser, Differenziell

Inhalte der Schattenkopiesatzkennung: {9763e50e-04ff-43ba-9cc1-bd9e0b39f40e}
   1 Schattenkopie(n) war(en) enthalten bei der Erstellungszeit:
         08.02.2016 12:00:18
      Schattenkopienkennung: {ba26cc47-374e-4c87-8015-9725ea83131f}
         Ursprüngliches Volume: (F:)\\?\Volume{c646ac3e-c63b-4b7a-85e9-2b12e225c90c}\
         Schattenkopievolume: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy281
         Quellcomputer: Servername.domaene.local
         Dienstcomputer: Servername.domaene.local
         Anbieter: "Microsoft Software Shadow Copy provider 1.0"  
         Typ: ClientAccessible
         Attribute: Permanent, Clientzugänglich, Keine automatische Freigabe, Keine Verfasser, Differenziell

Inhalte der Schattenkopiesatzkennung: {52eb8777-d1d5-4765-a111-1032eb30d242}
   1 Schattenkopie(n) war(en) enthalten bei der Erstellungszeit:
         09.02.2016 12:00:23
      Schattenkopienkennung: {82b9140f-b0fa-407c-9458-d72fef5216c9}
         Ursprüngliches Volume: (F:)\\?\Volume{c646ac3e-c63b-4b7a-85e9-2b12e225c90c}\
         Schattenkopievolume: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy283
         Quellcomputer: Servername.domaene.local
         Dienstcomputer: Servername.domaene.local
         Anbieter: "Microsoft Software Shadow Copy provider 1.0"  
         Typ: ClientAccessible
         Attribute: Permanent, Clientzugänglich, Keine automatische Freigabe, Keine Verfasser, Differenziell

Inhalte der Schattenkopiesatzkennung: {8a536f6a-34d9-4f85-9de9-005d09fd3e99}
   1 Schattenkopie(n) war(en) enthalten bei der Erstellungszeit:
         10.02.2016 12:00:26
      Schattenkopienkennung: {3400f09b-1aeb-4931-ba0f-350e4167bac8}
         Ursprüngliches Volume: (F:)\\?\Volume{c646ac3e-c63b-4b7a-85e9-2b12e225c90c}\
         Schattenkopievolume: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy285
         Quellcomputer: Servername.domaene.local
         Dienstcomputer: Servername.domaene.local
         Anbieter: "Microsoft Software Shadow Copy provider 1.0"  
         Typ: ClientAccessible
         Attribute: Permanent, Clientzugänglich, Keine automatische Freigabe, Keine Verfasser, Differenziell

Inhalte der Schattenkopiesatzkennung: {02857ba9-c158-4145-955d-9cd19f276c18}
   1 Schattenkopie(n) war(en) enthalten bei der Erstellungszeit:
         10.02.2016 19:49:21
      Schattenkopienkennung: {448af96d-8aae-4da0-b32c-91953434ad51}
         Ursprüngliches Volume: (F:)\\?\Volume{c646ac3e-c63b-4b7a-85e9-2b12e225c90c}\
         Schattenkopievolume: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy286
         Quellcomputer: Servername.domaene.local
         Dienstcomputer: Servername.domaene.local
         Anbieter: "Microsoft Software Shadow Copy provider 1.0"  
         Typ: Backup
         Attribute: Differenziell

mklink /d C:\SHADOW \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy281\

@echo off & setlocal enabledelayedexpansion
chcp 1252
set "EncryptedFiles=C:\Skript\EncryptedFiles.txt"  
set "RecoveredFiles=C:\Skript\RecoveredFiles.txt"  
set "VirusFilesToDelete=C:\Skript\VirusFilesToDelete.txt"  
set "VirusFilesDeleted=C:\Skript\VirusFilesDeleted.txt"  
set "Nach="  
set "Nach2="  
set "ShadowMountPoint=C:\Shadow"  

if exist "%EncryptedFiles%" (del /Q "%EncryptedFiles%")  
if exist "%RecoveredFiles%" (del /Q "%RecoveredFiles%")  
if exist "%VirusFilesToDelete%" (del /Q "%VirusFilesToDelete%")  
if exist "%VirusFilesDeleted%" (del /Q "%VirusFilesDeleted%")  
if exist "%ShadowMountPoint%" (rd "%ShadowMountPoint%")  

cls
echo Bitte Dateiendung angeben die gesucht werden soll ( Beispiel:   .micro   )
echo.
set /p "Von=Eingabe:"  


cls
echo Bitte Laufwerk angeben, welches nach der angegebenen Dateiendung durchsucht 
echo werden soll. ( Beispiel:   F:   )
echo.
set /p "ZielLaufwerk=Eingabe:"  


cls
echo Falls nur ein Directory auf dem Laufwerk durchsucht werden soll, bitte angeben  
echo ( Beispiel:   \K010\ORGA\ZKE   )
echo Falls nicht, einfach ENTER druecken
echo.
set /p "Pfad=Eingabe:"  


cls
echo "%ZielLaufwerk%%Pfad%" wird nach Dateien mit der Endung "%Von%" durchsucht. Bitte warten.  
%ZielLaufwerk%
cd\ 
cd "%Pfad%"  
dir /s /b *%Von%>"%EncryptedFiles%"  
start notepad "%EncryptedFiles%"  


cls
echo Bitte Datum eingeben auf das die Dateien zurueckgesetzt werden sollen 
echo ( Beispiel:   08.02.2016   )
echo.
set /p "Datum=Eingabe:"  


cls
echo Suche ShadowCopyVolume und mounte es nach %ShadowMountPoint%...bitte warten.
for /f "delims=" %%a in ('powershell -Executionpolicy Bypass -command "gwmi win32_shadowcopy | select @{n='Drive';e={$v=$_.Volumename;(gwmi win32_volume | ?{$_.DeviceId -eq $v}).Driveletter}},DeviceObject,@{n='Datum';e={$_.ConvertToDateTime($_.InstallDate)}} | ?{$_.Datum.Date -eq (get-date '%Datum%') -and $_.Drive -eq '%ZielLaufwerk%'} | select -Expand DeviceObject"') do set "globalpath=%%a"  
mklink /d %ShadowMountPoint% %globalpath%\
ping -n 5 localhost>nul

cls
echo Sollen die gefundenen Dateien geloescht und aus dem Shadow Volume wiederhergestellt werden?
choice /M "Eingabe:"  
if errorlevel 2 (
  goto eof
) 	else if errorlevel 1 (
	cls
	echo Dateien werden wiederhergestellt...bitte warten
	for /f "usebackq delims=" %%i in ("%EncryptedFiles%") do set "Line=%%i" & del /Q "!Line!" & set "Line=!Line:%ZielLaufwerk%=%Nach2%!" & copy /Y "%ShadowMountPoint%!Line!" "%ZielLaufwerk%!Line!"  && echo "%ZielLaufwerk%!Line!">>"%RecoveredFiles%"  
	echo Vorgang beendet. 
	echo Die Dateien wurden wiederhergestellt, bitte kontrollieren.
	start notepad "%RecoveredFiles%"  
 	rd %ShadowMountPoint%
	echo.
	)


echo Moechten Sie das Laufwerk bzw. Pfad nach weiteren, vom Virus angelegten, 
echo Dateien durchsuchen und loeschen?
choice /M "Eingabe:"  
if errorlevel 2 (
  goto eof
) 	else if errorlevel 1 (
	cls
	echo Bitte Dateiname angeben der gesucht werden soll ( Beispiel:   HELP_RECOVER   )
	echo.
	set /p "Dateiname=Eingabe:"  
	cls
	echo "%ZielLaufwerk%%Pfad%" wird nach Dateien mit Namen "%Dateiname%*" durchsucht.  
	echo Bitte warten.
	%ZielLaufwerk%
	cd\ 
	cd "%Pfad%"  
	dir /s /b *%Dateiname%*>"%VirusFilesToDelete%"  
	start notepad "%VirusFilesToDelete%"  
	echo.
	)
	
	
cls
echo Sollen die gefundenen Dateien geloescht werden?
choice /M "Eingabe:"  
if errorlevel 2 (
  goto eof
) 	else if errorlevel 1 (
	cls
	echo Dateien werden geloescht...bitte warten
	for /f "usebackq delims=" %%I in ("%VirusFilesToDelete%") do del /Q "%%I" && echo %%I>>"%VirusFilesDeleted%"  
	cls
	color A
	echo Vorgang beendet. 
	echo Die Dateien wurden geloescht, bitte kontrollieren.
	echo Have a nice day.
	start notepad "%VirusFilesDeleted%"  
	)
pause
exit


:eof
cls
color C
echo Vorgang abgebrochen. Have a nice day.
pause
exit