Suche Tool, was mir den Urspung/ersetller (Programm) einer Datei anzeigt

[Xnfi01]

Hi zusammen,

wir haben in der Firma einen PC wo ein Porgramm (unbekannt) immer wieder Dateien erstellt. Nun möchten wir herausfinden welches Programm diese Dateien erstellt, gibts da ein Tool für Windows?

Vielen dank.

 

[Lord_Dragon]

Rechtsklick und dann auf Eigenschaften?

 

[dvor]

Mehr als das kann man auch nicht machen. Entweder steht die gewünschte Information in den Metainformationen der Datei, oder eben nicht. Dort kann jeder hineinschreiben was er will. Somit ist der Wahrheitsgehalt unzuverlässig.

 

[Xnfi01]

Rechtsklick und dann auf Eigenschaften?

Nein, da steht nicht welches Programm die Datei erstellt hat, evtl. der Benutzer, aber mir geht es um das Programm auf dem Rechner, welches für die Erstellung verantwortlich war.

 

[tRITON]

https://docs.microsoft.com/en-us/sysinternals/downloads/filemon

Und dann halt filtern (CREATE), eingrenzen und der Prozess finden, alternative:

https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

 

[Graphixx]

Erstellt das Programm jedesmal eine neue Datei oder überschreibt es die alte ? Bei letzterem kann jedes Tool zur Verzeichnisüberwachung das relativ eindeutig auslesen, sollte auch mit dem ProcessMonitor gehen.

Wenn jedes mal ein neues File erstellt wird könnte man aber auch mal im Angebot der diveresen Foldermonitor Tools suchen. Ich bin mir fast sicher das es da was gibt das auch neu erstellte Dateien entsprechend protokolliert.

Filemonitor, Verzeichnisüberwachung...in die Richtung solltest Du suchen.

Hier wäre ein ähnliches Thema:

Programm gesucht zur Überwachung von Daten/Dateien​

MfG

Edit: Welche Namen und Endungen haben die erstellten Dateien ? Vielleicht kann auch jemand hier im Forum direkt was dazu sagen, wenn es nicht gerade tmp Files sind. Erspart unter Umständen viel Arbeit

 

[Xnfi01]

https://docs.microsoft.com/en-us/sysinternals/downloads/filemon

Und dann halt filtern (CREATE), eingrenzen und der Prozess finden, alternative:

https://docs.microsoft.com/en-us/sysinternals/downloads/procmon

Es ist ja kein Prozess der läuft, es ist einfach eine Datei in einem Ordner, dess Ursprung ich gerne wissen möchte.

Erstellt das Programm jedesmal eine neue Datei oder überschreibt es die alte ?

Immer eine neue mit "anscheinend" Zufallnamen.

 

[Joe58]

Edit: Welche Namen und Endungen haben die erstellten Dateien ? Vielleicht kann auch jemand hier im Forum direkt was dazu sagen, wenn es nicht gerade tmp Files sind. Erspart unter Umständen viel Arbeit

Beantworte mal die Frage von @Graphixx

 

[tRITON]

@Xnfi01: Du verstehst das Problem nicht. Das Dateisystem hält keine Informationen wer eine Information erstellt hat, also welches Program, nur welcher User und wer darauf zugriff haben soll.

DU muss also überwachen WAS die Informationen erstell und dazu mit den oben geannten Tools suchen.

 

[IBISXI]

mmer eine neue mit "anscheinend" Zufallnamen.

Mensch, machs nicht so spannend.
Hat die Datei auch eine Endung?
Wie heißt die Datei jetzt?
Wie hieß Sie davor.
Was ist deren Inhalt?
Wie groß sind die Dinger?
Mal versucht die einfach mit einem Texteditor zu öffen ob Hinweise enthalten sind?

Mal alle laufenden Prozesse durchforstet was es sein könnte?

 

[Graphixx]

Immer eine neue mit "anscheinend" Zufallnamen

Hm, das ist nicht optimal Ist die Dateiendung auch immer anders oder bleibt die gleich ?

Es ist ja kein Prozess der läuft, es ist einfach eine Datei in einem Ordner, dess Ursprung ich gerne wissen möchte.

Doch, für Windows ist das Programm in dem Moment in dem es ausgeführt wird bzw. die Datei erstellt ein laufender Prozess. Kannst Du ja auch im Taskmanager sehen. Die Unterscheidung Apps, Programme, Tools und was weiss ich sind nur für uns die vor dem Bildschirm sitzen, für ein OS sind das alles erstmal lediglich Prozesse.

MfG

 

[Enz0]

Einfach mal Process Monitor laufen lassen mit Filter für "Operation" und "Path" auf das jeweilige Verzeichnis, dann wird man beim nächsten Eintritt auch ein Ergebnis bekommen (hier per Beispiel eine .txt erstellt über cmd)