halbgott
Goto Top

Dateien erscheinen immer wieder auf Desktop

Moin Moin,

vorweg muss ich sagen, dass ich das ganze schon etliche Male gegoogelt habe und einfach nichts passen gefunden habe. Es gibt zwar Leute, die ein ähnliches Problem haben, doch da war die Lösung meistens ein Programm das im Hintergrund mitstartet und die Dateien immer wieder neu erstellt.

zum eigentlichen Problem:
Egal ob ich einen Ordner, eine Verknüpfung oder eine Word-Datei von meinem Desktop lösche, sie erscheint IMMER bei der nächsten Anmeldung wieder auf dem Desktop. Habt ihr eine Idee was ich falsch eingestellt habe oder wieso das so ist?

HjJackThis habe ich schon laufen lassen, doch auch das Programm bestätigt mir, dass keine weiteren Programme im Hintergrund laufen, die dafür verantwortlich sein könnten. Ein Trojaner würde ich mal dank sehr guter Virensoftware kategorisch ausschließen.

Als Betriebssystem nutze ich Windows 7 64Bit Prof.

Vielen Dank für eure Hilfe im Vorweg.

Content-ID: 219109

Url: https://administrator.de/forum/dateien-erscheinen-immer-wieder-auf-desktop-219109.html

Ausgedruckt am: 23.12.2024 um 13:12 Uhr

DerWoWusste
DerWoWusste 11.10.2013 aktualisiert um 13:17:52 Uhr
Goto Top
Moin.

Beschreibe doch mal, was genau dort angelegt wird. Name, Endung, Inhalt (ggf. mal mit Notepad reinschauen).
Ein Trojaner würde ich mal dank sehr guter Virensoftware kategorisch ausschließen.
AV-Software erkennt nur Viren, nachdem diese Ihrem Hersteller gemeldet wurden - neue Viren kann Sie nur maximal heuristisch erkennen. Kategorisch kannst du das also unmöglich ausschließen.
pieh-ejdsch
pieh-ejdsch 11.10.2013 aktualisiert um 13:19:55 Uhr
Goto Top
Moin,

Werden die Dateien, Links und Ordner nur in den Papierkorb geschoben oder komplett gelöscht?
Sind die Dateien ausführbar?
Ist eine Syncronisierung eingerichtet?
Wie aktuell ist Deine Software? Insbesondere Java, Flash, Silverlight, WU, etc.!
Gibt es ein Startscript oder sind Befehle im Systemstart verzeichnet?
Mit was für Rechten bist Du angemeldet?

Erstelle Schreibgeschützte Dateinamen von den Ordnern sowie schreibgeschützte Ordnernamen von Dateien/Links.
Dokumentname.doc <--Ordnername
Verknüpfung von XY.lnk  <--Ordnername
Vielleicht erscheint dann eine Fehlermeldung beim Start.

Gruß Phil
Halbgott
Halbgott 14.10.2013 um 08:15:00 Uhr
Goto Top
Guten Morgen

"Beschreibe doch mal, was genau dort angelegt wird. Name, Endung, Inhalt (ggf. mal mit Notepad reinschauen)."

Es sind Dateien und Endungen jeder Art. Zum Beispiel hatte ich gestern eine Netviewer Sitzung und Netviewer ist so eingestellt, dass bei jeder Sitzung 2 Dateien auf den Desktop gespeichert werden. Ich habe diese nach der Sitzung gelöscht und beide waren heute Morgen wieder da.
Außerdem sind es Beispielweise 2 Docs. Eins habe ich selbst erstellt und das andere habe ich mir von irgendwo mal auf den Desktop geschoben. Auch Verknüpfungen kann ich nicht vom Desktop löschen ohne dass sie beim nächsten Neustart wieder erscheinen.

Die Dateien werden nur in den Papierkorb geschoben. Es macht aber kein Unterschied ob ich diesen Papierkorb leere und die Dateien komplett lösche oder die Dateien einfach im Papierkorb lasse.
Java, Adobe, Windows-Updates und Virensoftware ist auf dem neuesten Stand. Es wird im Autostart nur Outlook ausgeführt. In der Systemkonfiguration zeigen folgende weitere Programme im Systemstart:
Realtek HD Audio-Manager
Intel Common User Interface (C:\Windows\system32\igfxtray.exe)
Intel Common User Interface (C:\Windows\system32\hkcmd.exe)
Intel Common User Interface (C:\Windows\system32\igfxpers.exe)
ThinVantage Communications Utility
Power Manager
Adobe Reader and Acrobat manager
RapidBoot HDD Accelerator
Intel Services Manager
Adobe Acrobat
AcroTray - Adobe Acrobat Distiller helperapplication
F-Secure Management Agent
F-Secure CUIF
Microsoft Office 2010
Mircosoft Outlook 2010
Microsoft OneNote

Ich bin mit Administratoren-Rechten angemeldet. Prüfe als nächstes mir das Recht mal wegzunehmen und mich als normaler Benutzer anzumelden.
DerWoWusste
DerWoWusste 14.10.2013 um 08:25:51 Uhr
Goto Top
Ok, es sind also allesamt Dir bekannte Dateien, die "wiederauferstehen".
Gut, Du kannst die NTFS-Überwachung des Ordners "c:\users\deinname\Desktop" nutzen, um zu schauen, welcher Prozess die Dateien erzeugt. Leer auch mal den Papierkorb nach dem Wegwerfen.
Halbgott
Halbgott 14.10.2013 um 11:07:22 Uhr
Goto Top
Moin,

wie wende ich die Überwachung an? Bei Rechtsklick auf den Ordner Desktop erscheint in den Eigenschaften kein Reiter mit Überwachung (auch nicht wenn ich das als Administrator versuche).

Es werden jetzt die gelöschten Word-Dokumente usw. nicht mehr wiederhergestellt, dadurch, dass ich mir die Administratorenrechte weggenommen habe und mich als normaler Benutzer anmelde. Es erscheint jedoch noch ein Order mit dem Namen "CDFiles". Dieser wurde mit der Software "Patchloader" installiert. Patchloader ist eine Software aus der PCWelt, die es möglich macht Windows 7 + Updates herunterzuladen und eine WindowsCD mit Updates zu erstellen. Das Programm habe ich schon lange gelöscht und dessen Registrierungseinträge ebenfalls.
DerWoWusste
DerWoWusste 14.10.2013 um 11:16:55 Uhr
Goto Top
Die Einrichtung ist hier beschrieben: http://support.microsoft.com/kb/325898
Halbgott
Halbgott 14.10.2013 um 11:29:05 Uhr
Goto Top
Ich habe mir jetzt bei den lokalen Sicherheitsrichtlinien eingestellt, dass Prozessnachverfolgung und Verzeichnisdienstzugriffe überwacht werden. Wie lese ich das ganze jetzt aus und/oder stelle das spezifisch für meinen Desktop Ordner ein? Die Registerkarte Überwachung erscheint noch immer nicht.
DerWoWusste
DerWoWusste 14.10.2013 um 11:47:36 Uhr
Goto Top
Steht da drin. Die Ergebnisse erscheinen im Sicherheitslog der Ereignisprotokollierung (eventvwr.exe).
Der gesuchte Reiter: Rechtklick auf c:\...\desktop - Eigenschaften - Sicherheit - erweitert ->Überwachung.
Halbgott
Halbgott 14.10.2013 um 13:54:00 Uhr
Goto Top
Ich habe jetzt die Überwachung für meinen Benutzer auf Vollzugriff für Erfolgreich und Fehler eingerichtet, den Ordner gelöscht und neugestartet. Der Ordner erscheint wie erwartet wieder auf dem Desktop. Wo lasse ich mir nun den Prozess anzeigen, der für die Erstellung des Ordners zuständig ist.
DerWoWusste
DerWoWusste 14.10.2013 um 17:00:36 Uhr
Goto Top
Wenn Du mal ganz genau hinsiehst: ich habe das eben geschrieben.
Halbgott
Halbgott 16.10.2013 um 09:16:23 Uhr
Goto Top
"Ich habe jetzt die Überwachung für meinen Benutzer auf Vollzugriff für Erfolgreich und Fehler eingerichtet, den Ordner gelöscht und neugestartet. Der Ordner erscheint wie erwartet wieder auf dem Desktop. " Schaue ich nun in den Sichereitslog des Ereignisprotokolls - indem ich in dem Protokoll nach dem Ordnernamen suche, so finde ich nur den Eintrag indem beschrieben wird, dass ich die Überwachungseinstellungen geändert habe:
Die Überwachungseinstellungen für ein Objekt wurden geändert:

Antragsteller:
Sicherheits-ID: zensiert
Kontoname: zensiert
Kontodomäne: zensiert
Anmelde-ID: zensiert

Objekt:
Objektserver: Security
Objekttyp: File
Objektname: C:\Users\zensiert\Desktop\CDFiles
Handle-ID: 0x334

Prozessinformationen:
Prozess-ID: 0x610
Prozessname: C:\Windows\System32\dllhost.exe

Überwachungseinstellungen:
Originalsicherheitsbeschreibung:
Neue Sicherheitsbeschreibung: S:ARAI(AU;OICIIDSAFA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-21-884491043-2090814608-1039276024-3020)
DerWoWusste
DerWoWusste 16.10.2013 um 09:36:23 Uhr
Goto Top
Stell die Überwachung nicht für die einzelnen Dateien ein, sondern für den Ordner Desktop.
Halbgott
Halbgott 16.10.2013 um 12:13:03 Uhr
Goto Top
Habe jetzt nur für den Ordner Desktop den Sicherheitslog eingestellt. Dann habe ich den löschen und neustarten Vorgang durchgeführt und einen Blick ins Protokoll geworfen. Leider wird zur Erstellung dieses Ordners noch immer nichts angezeigt.
DerWoWusste
DerWoWusste 16.10.2013 um 12:58:13 Uhr
Goto Top
Ok, kann es sein, dass Du diese Überwachung nicht vererbt hast? Ohne weitere Einstellung wird sie vererbt, prüf bitte mal auf den neu entstandenen Dateien, ob auf diesen die Überwachungseinstellung geschrieben wurde.
Setze die Üw.-einstellung für die Gruppe "jeder" auf Erfolg und Misserfolg bei allem auf angehakt.

Geht es dann immer noch nicht, sehen wir weiter.
Halbgott
Halbgott 16.10.2013 um 15:25:54 Uhr
Goto Top
Im wieder erstellen Ordner auf dem Desktop ist jetzt unter Überwachungseinstellungen zu finden, dass die Sicherheitseinstellungen von c:\users\zensiert.zenzierst\desktop\ geerbt wurden. Leider zeigt das Ereignissprotokoll / Sicherheit noch immer nichts was darauf hindeutet an face-sad
DerWoWusste
DerWoWusste 16.10.2013 aktualisiert um 15:39:33 Uhr
Goto Top
Und Gruppe "jeder" war wie beschrieben berücksichtigt?
Wenn ja, dann läuft da etwas sehr seltsames ab, es wird mit anderen Mechanismen als üblich gearbeitet. Es ist zwar möglich, die NTFS-Überwachung als Admin zu umgehen, aber nicht so ohne Weiteres, sondern nur absichtlich.

Hast Du irgendwelche Software drauf, die arbeitet wie eine Wächterkarte und Zustände einfriert? Tut mir Leid, mir gehen die Ideen aus ;-}
Edit: Du schriebst oben ja, Du hast die Überwachung für Deinen Benutzer eingerichtet, das wäre falsch, Du musst Sie für Gruppe "jeder " einrichten.
Halbgott
Halbgott 17.10.2013 um 08:19:16 Uhr
Goto Top
Ich erklär nochmal detailgetreu was ich genau getan habe:
1. in den lokalen Sicherheitsrichtlinien die Überwachungsrichtlinie angepasst auf:
Prozessnachverfolgung überwachen (Erfolgreich, Fehler)
Verzeichnisdienstzugriff überwachen (Erfolgreich, Fehler)
2. In den Eigenschaften des Ordners C:\Users\zensiert.ZENSIERT\Desktop bei Sicherheit die Gruppe Jeder hinzugefügt und einen Vollzugriff erteilt.
3. Weiter bei Erweitert und dem Reiter Überwachung den Hinweis "Sie müssen über administrative Rechte verfügen und die Berechtigung zur Anzeige der Überwachungseigenschaften des Objektes besitzen. Möchten Sie den Vorgang fortsetzen?" mit Fortsetzen bestätigt.
4. Es erscheint ein Fenster in dem "Überwachungseinträge" angezeigt werden sollten. Des weiteren sind unten 2 Kästchen. Vererbbare Überwachungseinträge des übergeordneten Objektes einschließen (X) und Bestehende vererbbare Überwachungseinträge aller untergeordneten Objekte durch vererbbare Überwachungseinträge dieses Objektes ersetzen.()

Das einzige, was ich in diesem Fenster machen kann ist einen Überwachungseintrag für einen Benutzer aus der Domäne zu erstellen. Ich habe dies auch schonmal mit meinem Benutzer versucht und bei Erfolg und Fehler einen Vollzugriff erteilt, jedoch ändert das nichts daran, dass keine Überwachungseinträge bzw. Ereignisse im Ereignissprotokoll hinsichtlich des immer wieder erstellten Ordners angezeigt werden.
DerWoWusste
DerWoWusste 17.10.2013 um 09:20:42 Uhr
Goto Top
Ok, Fehler klar geworden: Du must I der Sicherheitsrichtlinie die Überwachung für Objektzugriffe einschalten.
Halbgott
Halbgott 17.10.2013 um 09:59:28 Uhr
Goto Top
Meinst du lokale Richtlinien -> Sicherheitsoptionen -> "Überwachung: Zugriff auf globale Systemobjekte prüfen"?
Auch das bringt keinen Erfolg. Ich habe eben einfach mal ein neuen Ordner erstellt. Nichtmal das wird im Eventlog->Sicherheit angezeigt.
DerWoWusste
DerWoWusste 17.10.2013 um 10:05:40 Uhr
Goto Top
Nein.
"Objektzugriffsversuche überwachen" heißt der Vogel.
Halbgott
Halbgott 17.10.2013 um 11:03:19 Uhr
Goto Top
Juhu, ich bekomme eine Anzeige!!

Ein Handle zu einem Objekt wurde angefordert.

Antragsteller:
tSicherheits-ID: ZENSIERT\zensiert
Kontoname: zensiert
Kontodomäne: ZENSIERT
tAnmelde-ID: 0x3fca1

Objekt:
Objektserver: Security
Objekttyp: File
Objektname: C:\Users\zensiert.zensiert\Desktop\CDFiles
Handle-ID: 0xbe4

Prozessinformationen:
Prozess-ID: 0x13c
Prozessname: C:\Windows\System32\svchost.exe

Zugriffsanforderungsinformationen:
Transaktions-ID: {00000000-0000-0000-0000-000000000000}
Zugriffe: SYNCHRONIZE
Attribute schreiben

Zugriffsgründe: SYNCHRONIZE: Gewährt durch Dface-sadA;OICIID;FA;;;S-1-5-21-884491043-2090814608-1039276024-3020)
Attribute schreiben: Gewährt durch Dface-sadA;OICIID;FA;;;S-1-5-21-884491043-2090814608-1039276024-3020)

Zugriffsmaske: 0x100100
tFür die Zugriffsüberprüfung verwendete Berechtigungen: -
Eingeschränkte SID-Anzahl: 0

Nur ehrlich gesagt weiß ich nicht, was mir diese Meldung sagen soll :/
DerWoWusste
DerWoWusste 17.10.2013 um 11:26:20 Uhr
Goto Top
Deine "Zensiert"-Info ist das, was Du brauchst. Dort steht der Nutzer drin, der Zugegriffen hat bzw. das Konto, welches das getan hat? Wer ist das, Du?
Halbgott
Halbgott 17.10.2013 um 11:28:26 Uhr
Goto Top
Ja, das ist mein Benutzerkonto in der Domäne.
DerWoWusste
DerWoWusste 17.10.2013 um 11:39:19 Uhr
Goto Top
Ok. Dann wird es in Deinem Namen ausgeführt. Der Prozess ist, wie die Überwachung sagt, svchost.exe. Läuft irgendein Dienst in Deinem Nutzerkontext?
Halbgott
Halbgott 18.10.2013 um 08:01:14 Uhr
Goto Top
Nein, es läuft kein Dienst in meinem Nutzerkontext. Habe heute morgen einen anderen Eintrag dazu bekommen.

Ein Handle zu einem Objekt wurde angefordert.

Antragsteller:
tSicherheits-ID: ZENSIERT\zensiert
Kontoname: zensiert
Kontodomäne: ZENSIERT
tAnmelde-ID: 0x3e582

Objekt:
Objektserver: Security
Objekttyp: File
Objektname: \Device\HarddiskVolumeShadowCopy1\Users\zensiert.ZENSIERT\Desktop\CDFiles
Handle-ID: 0xeb4

Prozessinformationen:
Prozess-ID: 0x4
Prozessname:

Zugriffsanforderungsinformationen:
Transaktions-ID: {00000000-0000-0000-0000-000000000000}
Zugriffe: SYNCHRONIZE
Attribute lesen

Zugriffsgründe: SYNCHRONIZE: Gewährt durch Dface-sadA;OICIID;FA;;;S-1-5-21-884491043-2090814608-1039276024-3020)
Attribute lesen: Gewährt durch Dface-sadA;OICIID;FA;;;S-1-5-21-884491043-2090814608-1039276024-3020)

Zugriffsmaske: 0x100080
tFür die Zugriffsüberprüfung verwendete Berechtigungen: -
Eingeschränkte SID-Anzahl: 0
DerWoWusste
DerWoWusste 18.10.2013 um 09:13:51 Uhr
Goto Top
Moin.

Kein Prozessname, nur ine ID? Keine Ahnung, wieso. Kann Dir nicht sagen, was da vorgeht.
Würde nun mit einem neuen Nutzerprofil weitertesten.
Halbgott
Halbgott 18.10.2013 um 09:35:03 Uhr
Goto Top
Moin,

der Ordner wird NUR auf diesem einem Benutzerprofil auf dem Desktop erstellt. Wenn ich mich mit anderen Profilen anmelde (egal ob Admin oder nicht) wird der Ordner nicht erstellt.
Halbgott
Halbgott 21.10.2013 um 10:08:01 Uhr
Goto Top
Problem solved!!!

Bisher habe ich den Ordner immer unter C:\Benutzer\zensiert.ZENSIERT\Desktop gelöscht. Nachdem ich den Ordner gelöscht habe, habe ich nochmal im Serverprofil nachgesehen \\Servername\user_profil\zensiert\desktop und musste feststellen, dass der Ordner noch immer dort vorhanden war. Als ich den Ordner dort händisch gelöscht habe erschien der Ordner nicht mehr auf dem Desktop beim Neustart. Einzige frage die noch bleibt ist, warum die Synchronisation beim Löschen einer Datei von meinem Desktop nicht funktioniert.