Ich habe einen Kunden, bei dem wird eine neue Programmversion nach einiger Zeit durch eine alte Programmversion ersetzt. Ich kann keine Regelmässigkeit feststellen. Ich ersetzte die alte EXE-Datei mit der neuen EXE-Datei (Einfach drüber kopieren). Er arbeitet damit 2-3 Tage. Dann ist plötzlich die alte EXE-Datei wieder da. Ist mir früher nicht aufgefallen, da ich beim Programmstart nie die zuletzt verwendete Programmversion kontrolliert habe. Nun protokolliere ich aus diversen Gründen beim Start die Programmversion. Dadurch ist es mir erst aufgefallen.

Hat jemand eine Idee, wer der Übeltäter sein könnte? Schon jemand so etwas erlebt?

Hallo,
die Systemwiederherstellung könnte es sein.
Beim Programme-Ordner: Explorer/Eigenschaften/Vorgängerversion oder so ähnlich.

Überprüft. Kein Eintrag bei Vorgängerversion

Von wo kommt denn die "alte" her würde ich mich fragen?
Eventuell mal so etwas wie DirMon integrieren um das herauszufinden... nur so ein Gedanke.
(DirMon ist eine Komponente die Verzeichnisse überwachen kann)

Ist die Software via MSI installiert worden?
Dann wird diese "repariert".

Zitat von bernau:

Überprüft. Kein Eintrag bei Vorgängerversion

Ich bin mir nicht sicher ob eine Wiederherstellung die über die Wiederherstellungspunkte passiert ist wirklich über die "NTFS-Schattenkopien" ablaufen die man dann im Explorer bei Rechtsklick -> "Vorgängerversionen" sieht. Nur weil man jetzt, nach der Ersetzung, nichts angezeigt bekommt würde ich nicht darauf schließen dass es auf keinen Fall die Systemwiederherstellung sein kann.

Schau mal in der Windows-Ereignisanzeige, da könnte man evtl. schlau draus werden.

Vieleicht ist auch grade noch eine Transaction aktiv und wird nach paar Tagen abgebrochen/zurükgerollt?

Ich hatte zwar noch keine Zeit mich mit Transaktionen und Schattenkopieen im NTFS bzw. in der Registry besschäftigt,
aber eigentlich sollte eine fremde Transaction oder Schattenkopie keine Auswirkung auf Dateien haben (denke/hoffe ich mal), die im Explorer kopiert wurden,
obwohl dann eher andresrum, dass dort die Datei auch überschrieben wurde und die Transaction dann committed wird.


NTFS führt doch ein Changelog/Journal?
Da müsste man doch nachsehen können, wann zuletzt diese Datei geändert wurde (vielleicht auch wer)
ntfs logfile parser

Da Microsoft das "Transaktionen unter NTFS" abgekündigt hat da es laut ihnen praktisch niemand je benutzt hat kann man davon ausgehen dass er es auch nicht tut 😉

Zitat von bernau:

Ich habe einen Kunden, bei dem wird eine neue Programmversion nach einiger Zeit durch eine alte Programmversion ersetzt. Ich kann keine Regelmässigkeit feststellen. Ich ersetzte die alte EXE-Datei mit der neuen EXE-Datei (Einfach drüber kopieren). Er arbeitet damit 2-3 Tage. Dann ist plötzlich die alte EXE-Datei wieder da. Ist mir früher nicht aufgefallen, da ich beim Programmstart nie die zuletzt verwendete Programmversion kontrolliert habe. Nun protokolliere ich aus diversen Gründen beim Start die Programmversion. Dadurch ist es mir erst aufgefallen.

Hat jemand eine Idee, wer der Übeltäter sein könnte? Schon jemand so etwas erlebt?

Ja, aber nicht mit installierten Programmen, sondern mit (ADS-)Datenbankdateien. Kunde ändert Daten, am nächsten Tag waren die Daten wieder auf dem vorherigen Stand. Es war der Virenscanner - der hatte die Software nach einem Update als "potenziell unsicher" eingestuft und in einer Sandbox ablaufen lassen (ohne das man das gemerkt hätte). Alle Änderungen an Dateien, die die Software gemacht hat, waren jeweils nach dem abendlichen Programmende stillschweigend wieder rückgängig gemacht worden. Aufgefallen ist da erst nach einigen Tagen.

Welches Antivirenprogramm war das denn?

Ich würde als erstes einmal mit Everything auf der Festplatte nach der Datei suchen, ggf. auch über die genaue Größe.