KB » Computer » Programma- en file-analyse

Programma- en file-analyse

Introductie
Naamgeving - programma's, services en gegevens
Actieve programma's
Programma's die actief zijn bij het starten van de PC
HijackThis
Programma's uitschakelen met Msconfig
Programma's die controleren op updates uitschakelen
Programma's die het starten versnellen uitschakelen
Programma's in het systeemvak die niets zinvols doen
Diverse andere programma's uitschakelen
Naamgeving van programma's en services
Speciale mappen en bestanden
Links

Introductie

Deze pagina is gewijd aan het achterhalen van wat voor programma's er in verschillende stadia (tijdens het starten, nu) op de PC draaien, wat ze doen en betekenen, wat gewone bestanden voor doel hebben, en over hoe je ongewenste programma's kan uitschakelen.

Voor het verkrijgen van informatie zijn een aantal handige gratis programma's beschikbaar, en een aantal websites. En er zijn diverse websites die geautomatiseerd een analyse kunnen maken van je PC of waar andere deskundige gebruikers je met plezier willen helpen.

Voor het uitschakelen van programma's zou ik de voorkeur geven aan Autoruns, tenzij je een beetje nerveus wordt van de enorme hoeveelheid uitvoer die dat programma produceert. In dat geval kan je het beste eerst eens kijken naar Msconfig, evt. met ondersteuning van informatie uit HijackThis.

Naamgeving - programma's, services en gegevens

Als eerste moet je onderscheid maken tussen bestanden die uitsluitend gegevens bevatten, en bestanden die uitvoerbare code bevatten.

Ik ga het hier alleen over de 2e categorie hebben, verschillende soorten programma's. Vaak zitten in het bestand van een programma trouwens wel stukjes gegevens.

De belangrijkste 2 categorieen programma's zijn "normale" programma's, zoals ze gestart worden door gebruikers (denk bv. aan Verkenner, je mail-programma of je browser), en de services.

Het gemeenschappelijke kenmerk van beide categorieën is dat ze zelfstandig kunnen draaien, en in die zin is het dan ook moeilijk een verschil te zien tussen beide. Maar services worden doorgaans gestart door het besturingssysteem, hoewel je ze als gebruiker ook kan stoppen, starten of zelfs definitief uitschakelen. Zie mijn pagina over dit onderwerp.

De categorie programmatuur waar ik het hier niet over ga hebben is die, die niet zelfstandig draait. Daarbij moet je bv. denken aan DLL-bestanden, bibliotheken met kleine stukjes programma die gedeeld en aangeroepen worden door andere programma's.

Eigenschappen van programma's en services

Afhankelijk van welk programma je gebruikt om te kijken naar programma's en/of services zie je verschillende namen voor dezelfde eigenschappen.

Actieve programma's

Deze sectie is gewijd aan de de programma's die actief zijn op het moment dat je de PC aan het onderzoeken bent.

Taakbeheer (Task Manager)

Dit programma is op elke Windows PC standaard aanwezig. Het is te starten via Start - Uitvoeren (Run) - taskmgr, gevolgd door Enter

In het tabblad Processen (Processes) zie je alle processen die nu actief zijn. Het tabblad Applicaties (Applicatons) is minder bruikbaar. In feite komt elke regel op dit tabblad overeen met een open venster op je desktop, maar je ziet er niets over alle achtergrondprocessen (en dat zijn er veel).

Process Explorer (versie 15.05)

Dit programma biedt veel meer mogelijkheden dan Taakbeheer (Task Manager). Het is te downloaden bij Microsoft, en hoeft niet geinstalleerd te worden.

Een aantal nuttige manieren om Process Explorer te gebruiken:

Klik op Options - Verify Image Signatures. In de kolom Verified Signer kan je zien of het programma veilig is bevonden door bv. Microsoft. Bij het zoeken naar ongewenste software op je PC kan je je vooral concentreren op de unverified programma's.
Door de programma's in een boomstructuur weer te geven (Ctrl+T (T van tree), of klikken op View - Show Process Tree) kan je zien door welk programma een programma gestart is.
De standaardkleuren geven aan om wat voor soort programma het gaat, bv. een service (roze) of een programma dat (bewust of onbewust) door de gebruiker gestart is (blauw).
In de kolom Comment kan je je eigen commentaar toevoegen. Als je dat voor alle onbekende en vreemde programma's eenmalig doet, kan je makkelijk in de gaten houden of er nieuwe programma's op je PC verschijnen (omdat die dan geen commentaar hebben).
22-1-2012: In de op dit moment beschikbare versie van Process Explorer zit een bug, waardoor het niet werkt. Probeer evt. een oudere versie te pakken te krijgen.
Je kan de uitvoer van Process Explorer naar een vriend of iemand op een forum sturen om advies te vragen. Klik daartoe op File - Save as.

Een zeer uitgebreide beschrijving van dit programma op de pagina over essentiële tools.

Programma's die actief zijn bij het starten van de PC

Autoruns (versie 11.1)

Deze sectie is gewijd aan de de programma's die gestart worden tijdens het starten van de PC.

Autoruns is te downloaden bij Microsoft, en hoeft niet geinstalleerd te worden.

Het programma verzamelt informatie over alle programma's die bij het starten van de PC ook gestart worden (op welke manier dan ook). Sommige ervan voeren maar een kleine actie uit en verdwijnen dan (bv. het controleren op updates), andere (bv. je mailprogramma) blijven lopen (als je dat tenminste zo hebt ingesteld).

Je kan de informatie opslaan in een bestand, zodat bv. een vriend met meer kennis van zaken er naar kan kijken. Je doet dat als volgt: klik op File - Save, en kies dan in het invoerveld Save as type voor Text (*.txt) en niet voor wat er standaard staat (nl. AutoRuns Data (*.arn)).

Het meest interessante tabblad om naar te kijken is Logon. De informatie in deze categorie is vergelijkbaar met die in Msconfig, maar dan uitgebreider en overzichtelijker. Je kan met vinkjes (weghalen) programma's in het vervolg wel of juist niet meer laten starten.

HijackThis

Introductie

Dit programma laat programma's zien die nu draaien en die alleen in de startfase actief zijn, en deelt ze via een code (letter en cijfer) in categorieën in.

Er zijn op verschillende computerforums mensen die heel veel ervaring hebben met het analyseren van de uitvoer van HijackThis. Verder zijn er tegenwoordig een paar sites die de uitvoer automatisch analyseren.

Scannen met HijackThis en uitvoer evt. bewaren of versturen

Klik op Scan (linksonder).

Als je de uitvoer ergens naar toe wilt sturen of wilt bewaren klik je vervolgens op Save log (op dezelfde plaats waar eerst de Scan-knop zat).

Categorieën

Om te weten wat een categorie betekent klik je op een regel van die categorie. Klik dan op Info on selected item.... Je krijgt dan uitvoerige informatie.

Je kan een 1-regelig overzicht van alle categorieën krijgen door te klikken op Info... (rechts in beeld). Op dezelfde plek verschijnt dan de knop Back, waarmee je weer terug kan naar het vorige scherm.

Hulp bij interpretatie van de uitvoer

N.B. Vooral de websites, maar ook de forums (want je hebt geen idee van het kennisniveau van diegenen die je logfile beoordelen), zijn slechts een hulpmiddel voor mensen die toch al de nodige kennis van zaken hebben. Ik zou absoluut niet aanraden om programma's of andere componenten uit te schakelen puur en alleen gebaseerd op deze analyse. Website 2 markeert bv. bij mij een flink aantal items rood waar gegarandeerd niets mis mee is.

Forums en handleidingen

Als je klikt op de knop AnalyzeThis kom je automatische terecht op deze pagina. Links en rechts staan lijsten met forums waar je hulp kunt vragen. Rechts staan onder het kopje DUTCH een paar Nederlandstalige forums.

Nog iets lager in de rechterkolom staan een aantal links naar handleidingen voor het gebruik van HijackThis onder het kopje Hijack This Tutorials.

Website 1

Ga naar deze pagina.

Kopieer de complete inhoud van de logfile van HijackThis, en plak deze in het witte lege venster (met daarboven de tekst You can paste a logfile in this textbox). Klik dan op Analyze.

In de lijst die je als uitvoer krijgt moet je vooral kijken naar de regels met een oranje vraagteken (i.p.v. een groen vinkje). In de laatste kolom staat extra informatie (maar wel in het Engels).

Website 2

Ga naar deze pagina.

Kopieer de complete inhoud van de logfile van HijackThis, en plak deze in het witte lege venster onderaan de pagina. Klik dan op Parse.

In de uitvoer geven de kleuren aan wat men denkt van het item:

rood: bijna altijd verwijderen (volgens de website, niet doen als je er niet zelf ook enig verstand van hebt);
zwart: onbekend;
paars: ongewenst als je niet weet wat het is;
oranje: waarschijnlijk niet nodig;
blauw: meestal onschadelijk;
groen: meestal OK.

Uitschakelen van items

N.B.: Doe dit alleen als je zeker bent van je zaak!!!!!

Zet vinkjes in de aankruisvakjes van de programma's en andere componenten die je wilt uitschakelen. Klik dan op Fix checked.

Programma's uitschakelen met Msconfig

Introductie

Het programma Msconfig is onder bijna alle versies van Windows aanwezig. Dat is dan ook bijna het enige voordeel.

Je kan het o.a. gebruiken om er voor te zorgen dat bepaalde programma's niet meer gestart worden.

Nadelen

Helaas zie je met Msconfig lang niet alle automatisch startende programma's. In die gevallen kan je bv. Autoruns gebruiken.

Verder is het venster van Msconfig niet te vergroten. Dat betekent dat de informatie in het venster nauwelijks fatsoenlijk is te bekijken (gezien de lange regels). Je kan hooguit de breedte van de kolommen nog wat aanpassen.

Gebruik van Msconfig

Klik op Start - Programma's (Programs) - Uitvoeren (Run), en tik in msconfig, gevolgd door Enter.
Klik op het tabblad Opstarten (Startup).
Zoek het programma dat je wilt uitschakelen, en haal het vinkje in het vakje vooraan weg.

In de 1e kolom van de uitvoer van Msconfig (onmiddellijk na het vinkje) staan de gebruiksvriendelijke namen van de programma's. In de 2e kolom (Opdracht (Command)) staat de "route" naar het programma, de manier waarop Windows ze kan vinden. Kijk voor de naam van het programma vooral naar de 1e kolom en het eind van de 2e kolom (na de laatste '\'). (Verschuif evt. de grens tussen de 2e en 3e kolom, omdat je anders in de meeste gevallen de 2e kolom maar voor een klein deel kan zien.)

Ook interessant is wat er in de 2e kolom staat na 'Program Files', dat op veel regels voorkomt. Vaak zal dit de naam van de fabrikant zijn, en daarmee heb je dus ook een indruk van de betrouwbaarheid van het programma.

Veel meer info over dit programma op mijn pagina over essentiële tools.

Programma's die controleren op updates uitschakelen

Introductie

Er zijn een heleboel programma's die maar 1 doel hebben: controleren of er al nieuwe updates zijn voor het programma waar ze bij horen. Soms is dit onderdeel ook ingebouwd in het programma zelf, of draait er zelfs een service voor.

Programma's vind je op het Processen (Processes)-tabblad van Taakbeheer (Task Manager) of in Process Explorer. Services vind je op het Services-tabblad van Taakbeheer (Task Manager), in Process Explorer of in het Services console.

Afgezien van eventueel Windows update en je virusscanner zou ik de meeste van deze programma's uitschakelen.
WAARSCHUWING: Je loopt op deze manier wel een risico dat je programma een beveilingslek heeft dat wat later verholpen wordt, omdat je niet meer automatisch gewaarschuwd wordt. Aan de andere kant zijn veel van die maatschappijen toch niet al te vlot met het uitrollen van updates om lekken te verhelpen (Oracle doet dat voor Java bv. maar 1 keer per 3 maanden).

Als het niet automatisch gebeurt, moet je het dan handmatig doen? Je zou denken van wel, maar gelukkig is er 1 programma dat alle andere bekende programma's kan controleren, en net als een virusscanner zou je dit programma wel automatisch kunnen laten draaien. Dat programma heet Secunia PSI, waarbij PSI staat voor Personal Software Inspector.

Uit te schakelen programma's

Tot nu toe de volgende lijst (meest onnuttig bovenaan):

Java Update Scheduler;
Skype Updater
Adobe Acrobat Update Service
Adobe ARM
HP Software Update

Java Update Scheduler

Dit programma heet jusched.exe, en neemt onder XP permanent 54 KB van je geheugen in beslag, en onder Windows 7 ongeveer het dubbele, terwijl het maar zelden iets doet.

Java is een programmeertaal die op een zeer enkele webpagina gebruikt wordt. Er wordt het ene na het andere lek in Java ontdekt, en Oracle doet niet bijzonder veel moeite om ze te dichten.

Uitschakelen

Klik op Start - Uitvoeren (Run), en tik dan in Control, gevolgd door Enter

Je zit nu in het Configuratiescherm (Control Panel), en 1 van de onderdelen zou Java of Java (32-bit) moeten heten. (Het is niet aanwezig als je Java niet geïnstalleerd hebt.) Dubbelklik daarop, en dan op het tabblad Update

Haal het vinkje weg bij Check for Updates Automatically

Na de eerstvolgende start van de PC zou jusched niet meer aanwezig moeten zijn.

Je loopt wel kans dat als je Java een keer wel update, het vinkje automatisch weer aan wordt gezet.

Skype Updater

Dit is geen programma maar een service. De naam in Taakbeheer is SkypeUpdate, die in Process Explorer is Updater.exe
Dit programma neemt maar 2 a 5 KB in beslag.

Uitschakelen

Zet de Skype Updater service op Handmatig (Manual)

Na een upgrade van Skype moet je dit process herhalen, want hij wordt weer op (Automatic) gezet.

Adobe Acrobat Update Service

De naam zegt het al, dit is geen programma maar een service. De naam in Taakbeheer is AdobeARMservice, die in Process Explorer is armsvc.exe
Dit programma neemt onder Windows 7 ca. 4 MB in beslag.

Uitschakelen

Zet de Adobe Acrobat Update Service service op Handmatig (Manual), want als je zelf updates wilt aanbrengen moet de service wel kunnen starten.

Je moet in Adobe Reader X (heette vroeger Acrobat Reader ook nog iets veranderen in de instellingen: klik op Bewerken (Edit) - Voorkeuren (Preferences) - Betrouwbaarheidsbeheer (Trust Manager), en selecteer dan de onderste optie Vragen alvorens bij te werken (Ask before updating)

Adobe ARM

Dit is een programma dat alleen tijdens het starten van de PC draait om te controleren of er updates zijn.

Het heet voluit Adobe Reader and Acrobat Manager

Uitschakelen

Je kan het uitschakelen m.b.v. bv. AutoRuns.

HP Software Update

Controleert op updates voor je HP-randapparatuur, zoals printers, scanners, e.d.

Aangezien er maar *zeer* zelden updates uitkomen voor dit soort apparaten, is dit programma volledig zinloos.

Uitschakelen

Je kan het uitschakelen m.b.v. bv. AutoRuns.

Programma's die het starten versnellen

De clou van deze categorie programma's is dat ze alvast wat voorbereidingen treffen (delen van het programma in het geheugen laden) voor het geval je het een keer zou gaan gebruiken.

Het betekent dat je continu een programma hebt draaien, dat je 3 seconden tijdwinst oplevert als je het *echte* programma een keer wilt starten.

Kortom, zinloos.

Uit te schakelen programma's

Tot nu toe de volgende lijst (meest onnuttig bovenaan):

Java Quick Starter Service;

Java Quick Starter Service

Programma's in het systeemvak die niets zinvols doen

Deze categorie programma's dienen om via de icoontjes in het systeemvak programma's te kunnen starten of er andere dingen mee te kunnen doen.

Je moet van geval tot geval beoordelen of dat voor dat specifieke programma zinvol is. In het geval van QuickTime hieronder is het dat absoluut niet!

Je start programma's als QuickTime en Adobe Reader eigenlijk alleen maar indirect, door te dubbelklikken op een bestand dat bij deze programma's hoort.

In de meeste gevallen zal het advies dus zijn: uitschakelen.

Uit te schakelen programma's

Tot nu toe de volgende lijst (meest onnuttig bovenaan):

QuickTime Task;

QuickTime Task

Dit programma dient alleen om QuickTime vanuit het systeemvak te kunnen starten.

Maar er is eigenlijk nooit een reden om dat te doen. Normaal gesproken dubbelklik je op een QuickTime-filmpje, en dan wordt QuickTime automatisch gestart.

Een compleet zinloos programma dus.

Uitschakelen

M.b.v. Autoruns

Diverse andere programma's uitschakelen

Uit te schakelen programma's

Intel Common User Interface

Intel Common User Interface

Produceert een icoontje in het systeemvak rechtsonder, waarmee je snel het applet van Intel uit het Configuratiescherm (Control Panel kunt starten (waarmee je dingen met graphics kan doen).

Als je weet hoe je snel het Configuratiescherm kan starten is dit overbodig.

Uitschakelen

Start het Intel HD Graphics applet in het Configuratiescherm.

Klik dan op Options and Support (rechtsonder) en op Preferences (linksboven).

Zorg dan dat er rechts onder Tray icon een vinkje staat voor Disable.

Voorlopig ga ik alleen in op de naamgeving van programma's en services.

Programma's

In deze categorie staan zowel programma's die actief zijn op het moment dat je kijkt, als startups. Een startup is een programma dat automatisch gestart wordt bij het starten van de PC maar niet perse actief blijft.

Je kan dus programma's zien die niet bij de startups staan (nl. als je ze bv. later zelf gestart hebt), startups die niet bij de programma's staan (als ze alleen maar actief zijn bij het starten van de PC) en programma's die in beide categorieën voorkomen.

Als je veel informatie wilt moet je Process Explorer en Autoruns gebruiken, als je het simpel wilt houden moet je kiezen voor Taakbeheer als alternatief voor Procexp

TUT staat voor The Ultimate Troubleshooter en is een betaald programma, dat je maar op 1 PC mag gebruiken (tenzij je meer licenties koopt natuurlijk).

Dit programma biedt het voordeel dat het een advies geeft over programma's, startups en services, hoewel ik de indruk heb dat veel van die adviezen gebaseerd zijn op sterk verouderde versies (ook de database met bekende programma's loopt vaak ver achter). Maar toch vaak nuttige informatie.

Een deel van de informatie van dit programma kan je *wel* gratis krijgen, nl. op de site AnswersThatWork.com

Waarom laten verschillende programma's verschillende namen zien?

Het is maar waar ze hun gegevens vandaan halen, en dat is mij ook nog niet in alle gevallen duidelijk.

Als je de EXE-file van een programma opzoekt, en je bekijkt er de eigenschappen van (rechtsklikken op het bestand en dan Eigenschappen (Properties)), dan zijn er 3 tabbladen interessant.

Op het tabblad Details (Details) vind je

Bestandsbeschrijving (File Description)
Hier halen de meeste programma's hun beschrijving vandaan;
Oorspronkelijke bestandsnaam (Original filename)
De naam van het uitvoerbare programma;
Productnaam (Product name)
Nog niet gezien dat dit ergens gebruikt wordt;
Copyright (Copyright)
Achter de copyright melding staat vaak de naam van de maker/fabrikant.

Op het tabblad Algemeen (General) vind je

Beschrijving (Description)
Lijkt gelijk te zijn aan de Bestandsbeschrijving (File Description op het vorige tabblad;
Locatie (Location)
De volledige padnaam.

Het tabblad Digitale handtekeningen (Digital Signatures) is niet altijd aanwezig. Je vindt er

Naam van ondertekenaar (Name of signer)
De naam van de fabrikant of maker dus, maar volgens mij wordt die hier meestal niet vandaan gehaald.
Tijdstempel (Timestamp)
Deze zie je terug in de laatste kolom van AutoRuns

In de 1e kolom van AutoRuns op het tabblad Logon vind je de naam van het programma. Die staat in het register in de key HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run (Windows 7).

Betekenis	Taak- beheer Processes tabblad	Process Explorer	Autoruns	TUT Tasks	TUT Startups	Opmerkingen
Executable (uitvoerbaar programma = ???.exe)	Imagenaam (Process)	Process	Image Path	Niet beschikbaar	Launch command	In `Autoruns` en `TUT (Startups)` zie je de hele padnaam, hoewel het in geval van een snelkoppeling ook een parameter (invoerbestand) kan zijn, zoals bovenstaand voorbeeld laat zien. `Process Explorer` kan trouwens ook de complete padnaam laten zien.
	LetMeType.exe *32	LetMeType.exe	...\standard.lmt		...\standard.lmt	Dit een voorbeeld van een snelkoppeling.
	BTTray.exe	BTTray.exe	...\Bluetooth.lnk		Onbekend	Nog een voorbeeld van een snelkoppeling, maar deze ziet `Autoruns` wel. Ik kan niet laten zien wat `TUT` van dit programma ziet, omdat bovenstaande gegevens van mijn werk zijn, en ik thuis een service heb draaien die Bluetooth afhandelt.
	Alleen startup	Alleen startup	...\AdobeARM.exe		...\AdobeARM.exe	Dit is een voorbeeld van programma dat alleen tijdens de start van de PC actief is, vandaar dat `Process Explorer` en `Taakbeheer` het niet zien. Hier meer info.
	iexplore.exe *32	iexplore.exe	Geen startup		Onbekend	Dit is `Internet Explorer`, een programma dat bij mij niet automatisch wordt gestart. Vandaar dat `Autoruns` er niets van weet. Ik kan opnieuw niet laten zien wat `TUT` er van vindt, omdat ik op mijn Windows 7 PC `IE` niet aan de praat kan krijgen.
	jusched.exe *32	jusched.exe	...\jusched.exe		...\jusched.exe	Dit is een voorbeeld van programma dat tijdens de start van de PC gestart wordt, en daarna actief blijft (terwijl het vrijwel geen zinvolle functie heeft). Hier meer info.
	hpwuSchd2.exe *32	hpwuSchd2.exe	...\hpwuschd2.exe		...\HPWuSchd2.exe	Het vreemde is dat er verschillen zitten in de hoofdletters, dus blijkbaar halen de programma's hun gegevens uit minstens 3 verschillende bronnen. Hier meer info.
	Alleen startup	Alleen startup	...\qttask.exe		"...\QTTask.exe" -atboottime	Hier meer info.
Beschrijving	Beschrijving (Description)	Description	Description	Manufacturer's Description	Manufacturer's Description	`Procexp` laat soms meer namen zien dan `Taakbeheer`, tenzij je in het 2e programma een vinkje zet voor `Show processes from all users` De namen zijn wel dezelfde. `Autoruns` laat veeeel meer namen zien dan `TUT` Het lijkt erop dat `AutoRuns` geen beschrijving weet te vinden voor snelkoppelingen, hoewel dit ook weer niet altijd geldt.
	LetMeType - Keyboard Utility	LetMeType - Keyboard Utility	Leeg	LetMeType - Keyboard Utility	Leeg
	Bluetooth Tray Application	Bluetooth Tray Application	Bluetooth Tray Application	Onbekend	Onbekend
	Alleen startup	Alleen startup	Adobe Reader and Acrobat Manager	Alleen startup	Adobe Reader and Acrobat Manager
	Internet Explorer	Internet Explorer	Geen startup	Onbekend	Geen startup
	Java(TM) Update Scheduler	Java(TM) Update Scheduler	Java(TM) Update Scheduler	Java(TM) Update Scheduler	Java(TM) Update Scheduler
	Hewlett-Packard Product Assistant	Leeg	Hewlett-Packard Product Assistant	Hewlett-Packard Product Assistant	Hewlett-Packard Product Assistant
	Alleen startup	Alleen startup	QuickTime Task	Alleen startup	QuickTime Task
Programma- naam	Niet beschikbaar	Niet beschikbaar	Autorun Entry	Task Name	Startup Name	De programmanamen van `Autoruns` en `TUT` zijn identiek, alleen ziet het 1e programma er veeeel meer.
			LetMeType	LetMeType	LetMeType.lnk
			Bluetooth.lnk	Onbekend	Onbekend
			Adobe ARM	Alleen startup	Adobe ARM
			Geen startup	Onbekend	Geen startup
			SunJavaUpdateSched	jusched	SunJavaUpdateSched
			HP Software Update	hpwuSchd2	HP Software Update
			QuickTime Task	Aleen startup	QuickTime Task
Bedrijf	Niet beschikbaar	Company Name	Publisher	Manufacturer	Manufacturer	Ook hier weet `AutoRuns` geen naam te vinden, terwijl hij opnieuw zowel op het tabblad `Algemeen (General)` van de eigenschappen is te zien, als in het register is te vinden (key `HKEY_LOCAL_MACHINE\ SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{62C3C2D2-9583-472E-A541-B37A3977E82E}_is1`). Het geldt alleen voor de programma's die via een snelkoppeling gestart zijn.
		Carsten Clasohm	Leeg	Carsten Clasohm	Leeg
		Broadcom Corporation.	Broadcom Corporation.	Onbekend	Onbekend
		Alleen startup	Adobe Systems Incorporated	Alleen startup	Adobe Systems Incorporated
		Microsoft Corporation	Geen startup	Onbekend	Geen startup
		Oracle Corporation	Oracle Corporation	Oracle Corporation	Oracle Corporation
		Leeg	Hewlett-Packard Co.	Hewlett-Packard Co.	Hewlett-Packard Co.
		Alleen startup	Apple Inc.	Alleen startup	Apple Inc.

Services

Het verwarrende is hier dat je met 3 verschillende beschrijvingen (eigenlijk 2 namen en 1 beschrijving) van services te maken hebt. De servicenaam zul je bijna nergens tegenkomen, maar is wel handig als je bv. dingen vanaf de commandoregel wilt doen.
De Weergegeven naam (Display Name) zie je in de 1e kolom van het Services-console, en is dus handig om een service snel op te sporen, in- of uit te schakelen, etc.
En tenslotte heb je de uitgebreide beschrijving. Alle Microsoft-services hebben die sowieso, andere fabrikanten maken er wel eens een potje van.

Nog een verwarrend ding is dat je bij de services (die je in Procexp) makkelijk kan herkennen doordat ze roze zijn) een flink aantal keren svchost.exe ziet. En het is nog erger: binnen zo'n svchost-proces kunnen meerdere services draaien. Dat kan je goed zien als je met je muis in Procexp over zo'n proces heen beweegt. Je ziet dan alle services die er in zitten.

TUT geeft maar een heel enkele service weer op het Tasks-tabblad. Geen idee (nog) waarop die selectie gebaseerd is.

Betekenis	Services console	Process Explorer	Autoruns	TUT Tasks tabblad	TUT Services tabblad	Opmerkingen
Executable (???.exe)	Pad naar uitvoerbaar bestand (Path to executable)	Process	Image Path	Niet beschikbaar	Path and Arguments	Op het `Tasks`-tabblad van `TUT` zie je maar een heel enkele service. In `Autoruns` zie je de hele padnaam. Er is ook een speciaal tabblad van voor services, maar je ziet dezelfde info als op het tabblad `Everything`
	...\armsvc.exe	armsvc.exe	...\armsvc.exe		...\armsvc.exe	Hier meer info.
	...\svchost.exe -k netsvcs	svchost.exe	Niet aanwezig		...\svchost.exe -k netsvcs	`Process Explorer` laat een heleboel `svchost`-processen zien, en als je met de muis over de goede beweegt zie je ook de extra informatie die de andere programma's geven.
Beschrijving	Beschrijving (Description)	Niet beschikbaar	Description	Niet beschikbaar	Niet beschikbaar	Dit zijn de vaak hele lange beschrijvingen die je terug vindt in het `Services`-console, en die ook in `Autoruns`
	Adobe Acrobat Updater keeps your Adobe software up to date.		Adobe Acrobat Updater keeps your Adobe software up to date.
	Provides a common interface and object model to access management information about operating system, devices, applications and services. If this service is stopped, most Windows-based software will not function properly. If this service is disabled, any services that explicitly depend on it will fail to start.		Niet aanwezig			De laatste zin is voor Microsoft services vrijwel standaard.
Gebruikers- vriendelijke naam	Weergegeven naam (Display name)	Description	Niet beschikbaar	Manufacturer's Description	Service Display Name	Dit is ook de naam zoals hij in de 1e kolom van het `Services`-console wordt weergegeven (maar daar heet hij `Naam (Name)`, terwijl hij in hetzelfde console in de eigenschappen `Weergegeven naam (Display Name)` heet).
	Adobe Acrobat Update Service	Adobe Acrobat Update Service		Adobe Acrobat Update Service	Adobe Acrobat Update Service
	Windows Management Instrumentation	Host Process for Windows Services		Niet aanwezig	Windows Management Instrumentation
Service naam	Servicenaam (Service name)	Niet beschikbaar	Autorun Entry	Niet beschikbaar	Service Name
	AdobeARMservice		AdobeARMservice		AdobeARMservice
	Winmgmt		Niet aanwezig		Winmgmt
Bedrijf	Niet beschikbaar	Company Name	Publisher	Niet beschikbaar	Manufacturer
		Adobe Systems Incorporated	Adobe Systems Incorporated		Adobe Systems Incorporated
		Microsoft Corporation	Niet aanwezig		Microsoft Corporation

Speciale mappen en bestanden

$UpgDrv$

Dit is op mijn Windows 7 PC een bestand van slechts 2 bytes dat in de hoofdmap van mijn 2 fysieke schijven staat. Ik heb de indruk dat er alleen de letter van de schijf in staat.

De datum van het bestand is op beide schijven hetzelfde.

Helaas heb ik tot nu toe niet de oorzaak van dit bestand kunnen vinden, en ook niet of je het kan verwijderen.

affc63ca5828471e0552c4d0ff6b97db

Ik heb 2 mappen met dit soort namen, en er zitten nog een flink aantal bestanden in.

Op de data dat mappen zijn aangemaakt heb ik in allebei de gevallen 2 produkten geïnstalleerd, waaronder 1 van Microsoft.

Als ik in de mappen kijk, en dan i.h.b. naar de bestanden met plaatjes, dan lijkt het erop dat .Net van Microsoft er bij is betrokken.

Ik vermoed dat dit restanten van een installatie zijn, die niet goed zijn opgeruimd.

Links

Task List Programs (van answersthatwork.com): Lijst van programma's die je kunt tegenkomen in de uitvoer van Process Explorer, AutoRuns en HijackThis
Elk programma wordt zeer uitvoerig beschreven, met een aanbeveling over of je het beter uit kunt schakelen of juist niet.
Het bedrijf dat deze pagina onderhoudt verkoopt ook een programma, The Ultimate Troubleshooter, waarin nog meer programma's worden beschreven dan op de site. Een nadeel is dat je TUT officieel maar op 1 PC mag gebruiken.
Startup Programs Database (van bleepingcomputer.com): De database bevat (Engelstalige) verklaringen voor programma's, services en andere systeemcomponenten.
Find Windows Executable Files Information (van Paretologic): In vergelijking met sommige van de andere sites een vrij kleine database, maar met zeer uitgebreide beschrijvingen van elk programma. Loont toch zeer de moeite om te kijken of het gezochte programma er bij staat.
Find Microsoft DLL Files (van Paretologic): Bij het zoeken naar ongewenste software op je PC moet je soms ook weten waar DLL's voor dienen. Op deze site uitgebreide verklaringen van een flink aantal DLL's.
Windows process and task list van Neuber software: Naast commentaar van de makers van de site over een proces, leveren ook talloze gebruikers informatie.