rausfinden wer Programm automatisch startet

[Lemmy]

Hallo,

bei einem Kunden habe ich das Problem, dass "meine" Software automatisch beim Systemstart gestartet wird - allerdings nicht "richtig": Im Taskmanager taucht diese bei den Prozessen nicht auf, dafür aber im Reiter "Details". Gestartet wird die mit den Rechten des angemeldeten Benutzers, allerdings lässt sich der Task nicht schließen. Ach ja: Ein Fenster bzw. gestartetes Programm ist natürlich nicht zu sehen...

Unter den Diensten (nein ist kein Dienst, sondern ein normales Programm) ist das Programm nicht enthalten, ebenso nicht im Autostart im Taskmanager. Im AUtostartverzeichnis des Benutzers schaue ich heute mittag mal nach.

Hat noch jemand ne Idee an welcher Stelle ich sonst noch schauen kann?

[CCRDude]

Jeder Prozess hat auch eine Parent ID, die angibt, welcher Prozess ihn gestartet hat. Je nach Startvorgang muss der Prozess mit der Parent ID gar nicht mehr vorhanden sein... kann aber :)

Ansonsten würde ich z.B. im Task Scheduler auch mal schauen.

[Lemmy]

wo finde ich die ParentID?

[Bernhard Geyer]

Hast du eine COM-Schnittstelle in deinem Programm?
Also ein Automatisierungsschnittstelle so das dein Programm von jemand per COM gestartet wird.

[Aviator]

Hast du mal mit dem ProcessExplorer nachgeschaut ob der dir mehr sagen kann?

Ansonsten könntest du evtl. ein Logging Feature in deine Anwendung einbauen wo du dir die benötigten Informationen ziehst und abspeicherst.

[Hobbycoder]

Unter welchem Benutzerkontext läuft der Prozess?
Wird er bei Windowsstart bereits geladen, oder erst nach Benutzeranmeldung?
Sprich, hat er überhaupt die Möglichkeit nach dem Start seine GUI anzuzeigen / zu erzeugen?

[Lemmy]

Zitat:

Zitat von Bernhard Geyer (Beitrag 1369251)

Hast du eine COM-Schnittstelle in deinem Programm?
Also ein Automatisierungsschnittstelle so das dein Programm von jemand per COM gestartet wird.

Nope, das Programm fungiert max. als Com Client

Zitat:

Zitat von Aviator (Beitrag 1369253)

Hast du mal mit dem ProcessExplorer nachgeschaut ob der dir mehr sagen kann?

Ansonsten könntest du evtl. ein Logging Feature in deine Anwendung einbauen wo du dir die benötigten Informationen ziehst und abspeicherst.

nein, das könnte ich noch versuchen ob der ProcessExplorer was aussagt. Logging ist eingebaut, aber das gibt aktuell nur aus, dass es gestartet wird - aber nicht von wem und warum :-)

Zitat:

Zitat von Hobbycoder (Beitrag 1369255)

Unter welchem Benutzerkontext läuft der Prozess?
Wird er bei Windowsstart bereits geladen, oder erst nach Benutzeranmeldung?
Sprich, hat er überhaupt die Möglichkeit nach dem Start seine GUI anzuzeigen / zu erzeugen?

Wie oben angegeben unter dem Kontext des angemeldeten Benutzer - anhand der ProzessID vermute ich, dass der Start erst spät, also ggf. während des Anmeldeprozesses passiert. Daher auch die Kontrolle des AUtostart - wobei beim Taskmanager im Autostart-Register das Programm wie gesagt nicht verzeichnet ist. Um 13 Uhr habe ich wieder Zugriff auf den Rechner....

[bra]

Mal den Autostart und die Aufgabenplanung prüfen, ob das dort irgendwo gestartet wird.
Falls das nichts hilft, könnte man auch den ProcessMonitor einfach mal mit laufen lassen und dann im Datei-Zugriffslog prüfen, wer das gestartet hat.

[p80286]

ggf. autoruns mal fragen!

Gruß
K-H

[nahpets]

Stellen, die mir so einfallen:

Registry
(Für alle Benutzer prüfen, nicht nur den konkret betroffenen.)
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\RunOnce

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunOnceEx
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\RunServices
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Servic es

Verzeichnisse
AutoStart des Users
AutoStart für "Alle"
AutoStart der User, die normalerweise nicht sichtbar sind (Localservice, Networkservice, ...)

Dort überall unbedingt auch verstecke Dateien überprüfen.

Wo liegt die Software?

Hat da eventuell (oder auch sonstwo) einer 'ne AutoRun.inf hingelegt, die das Programm startet.
Die AutoRun.Inf funktioniert nicht zur für CD-Laufwerke.

Der Prozess-Explorer hat mir bisher immer die Quelle jeglicher Software und den "Verursacher" des Aufrufes verraten können. Man muss sich halt ggfls. mal durch alle seine Optionen durchklicken.

Wenn man im Prozess-Explorer in der "Titelzeile" des Listview auf Process klickt, wird sortiert: Aufsteigend und absteigend nach Namen, sowie Prozess mit "untergeordneten" Prozessen, das ist eine Baumansicht, in der man ggfls. durch Klicken auf das + vor einem Prozess die von ihm aufgerufenen Prozesse sichtbar machen kann.

Zeugs, dass aus der Registry gestartet wurde, solltes Du eher unterhalb von System finden, Autostart und Konsorten eher unter explorer.exe.

Steht Dein Programm unter einem anderen Prozess, so ist dieser (höchstwahrscheinlich) der "Verbrecher".

Hilft alles nix:

Per Virenscanner prüfen, ob Dein Programm auf diesem Rechner irgendwie zu 'nem Zombie mutiert (worden) ist.
(Programm gegen neue Version (frische Exe) austauschen - wenn Windows den Zugriff, trotz laufendem Prozess - was eher unwahrscheinlich ist - zulässt.)
Geht das, prüfen, ob es die Exe auch noch "Andernorts" gibt.

Dass das Programm im Benutzerkontext läuft, heißt nicht zwingend was. Es könnte auch sein, dass ein anderer Benutzer die Software mit den Benutzerangaben des angemeldeten Benutzers startet.

Gibt es auf dem Rechner mehrere Benutzer?

Wenn ja, wird die Software bei den Anderen auch automatisch gestartet?
Bei allen? (Eher ein benutzerunabhängiges Problem.)

Wenn nein, dann dürfte das ein "Benutzerproblem" sein.

Im Zweifelsfalle das Programm an eine andere Stelle verschieben (soweit möglich) und prüfen, ob der "Autostart" dann weg ist.
In der Ereignisanzeige prüfen, ob da Meldungen bezüglich des Programmes zu finden sind.

An allen oben genannten Stellen alles entfernen (Verzeichnisse bzw. Registryeinträge umbenennen) um auszuschließen, dass da irgendein "indirekter" Aufruf stattfinden kann.
Startet das Programm dann immer noch?

Bist Du sicher, dass es sich um Dein Programm an der Dir bekannten Stelle (auf welchem Laufwerk auch immer) handelt oder nicht eventuell um eine Kopie von anderer Stelle? (Die ggfls. aufgrund von fehlenden "Abhängigkeiten" (DLLs oder so) nicht richtig starten kann.)

Gibt es auf diesem Rechner oder für diesen Benutzer weitere "Auffälligkeiten", die nichts mit Deiner Software zu tuen haben und von denen Du (bisher) nichts weißt?
Es könnte ja durchaus ein anderes Problem geben, von dem halt Deine Software zufällig auch betroffen ist.

Wenn alle Stricke reißen, dann sowas benutzen:
Autostart-Manager
AutoRuns (gehört, wie der Prozessexplorer, zur Sysinternals Suite)

Manche meiner Vorschläge mögen absurd klingen, aber im Zweifelsfalle, wenn keine "vernünftige" Ursache zu finden ist, halt trotzdem mal nachschauen.