На форуме было два вопроса о проблемах в RECYCLE и System Volume Information
У меня есть аналогичные. Антивирусники обнаруживали в этих папках файлы с паролем, которые отсутствовали раньше. Удалять отказывались.
Ситуация сдвинулась с мертвой точки.
Сегодня NOD32 нашел TMAgent в RECYCLE и предположил, что в System Volume Information есть модифицированный Win32 Start Page.