Überwachungstool für W7 gesucht: Welches Programm hat Ordner erstellt

[mel 10]

Hallo, guten Tag!

 

Seit ein paar Tagen finde ich immer wieder einen Ordner "Eigene" unter den Eigenen Dateien. Der Ordner beinhaltet keinerlei Dateien, ich kann ihn problemlos löschen aber nach kurzer Zeit ist er wieder da. Auf Viren und Trojaner habe ich bereits gescannt, der Rechner ist sauber. Gibt es ein Tool welches mir mehr Auskünfte über den "Ersteller" des Ordners geben kann? Ich habe bereits von Microsoft den Process Explorer benutzt, konnte den Schuldigen damit aber nicht ausfindig machen.

 

Hat Jemand eine Idee, wie ich den Prozess oder das Programm finden kann?

 

Vielen Dank, Mel

[ChrisRa 42]

Ja, ProcMon.

 

https://technet.microsoft.com/de-de/sysinternals/processmonitor.aspx

[Sunny61 807]

Irgendeine Gruppenrichtlinie? Ordnerumleitung?

[mel 10]

Irgendeine Gruppenrichtlinie? Ordnerumleitung?

 

Wo finde ich Informationen über die Gruppenrichtlinie und Ordnerumleitungen?

 

Sorry, dass ich erst jetzt wieder antworte, ich hatte den Ordner gestern vor Threaderstellung gelöscht und er ist erst jetzt eben wieder aufgetaucht.

 

@ChrisRa ProcMon habe ich mir besorgt, habe damit auch ein anderes Problem schon lösen können aber wie nutze ich dieses Tool um festzustellen, welches Programm den Ordner erstellt hat?

[Sunny61 807]

Wo finde ich Informationen über die Gruppenrichtlinie und Ordnerumleitungen?

Administrative Commandline öffnen: gpresult /H & gpresult.html [ENTER]. Anschließend das HTML-File öffnen und auswerten.

[ChrisRa 42]

aber wie nutze ich dieses Tool um festzustellen, welches Programm den Ordner erstellt hat?

 

Wird der Ordner in regelmäßigen Abständen erzeugt? Du schmeißt einfach den Capture an, wartest bis der Ordner erstellt wurde. Anschließend filterst du die Ergebnisse nach z.B. "Path contains Eigene". Dann musst du mal weiter schauen. Der Ordner wird wahrscheinlich im Kontext des Explorer erstellt? Das weiß ich jetzt nicht genau. 

[daabm 1.366]

Wenn es nur um diesen einen Ordner geht: Procmon-Filter vorher schon setzen, "Drop filtered Events" - sonst kann das arg groß werden :)