017 - HKLM\System\CCS\Services\Tcpip\..\{22E6BBB8-9C7E-4DF7-A687-8CC72637C244}: NameServer = 217.237.148.70 217.237.149.142

leider stehen bei den Eigenschaften des Dienstes keine weiteren Informationen:
- Pfad zur Exe Datei: leer
- unter 'Anmelden' steht komischerweise nicht 'lokales Konto' sondern 'Diese Konto' angekreuzt
- Abhängigkeiten: leer

der Dienst war übrigens gestartet, habe ihn natürlich jetzt deaktiviert.
Ich stehe vor einem absoluten Rätsel

Zitat von Markus_33

- unter 'Anmelden' steht komischerweise nicht 'lokales Konto' sondern 'Diese Konto' angekreuzt

Da steht wirklich "Diese Konto" und nicht "Dieses Konto"?

Ich stehe vor einem absoluten Rätsel

Ich auch. Versuche bitte, Licht in das Dunkel zu bringen, indem du zunächst mit Hilfe von Rene-gads Anleitung versteckte Dateien sichtbar machst (falls noch nicht geschehen) und dann mit der Windows-Suche folgende Datei suchst: "Aei2iadafs.*" (bitte genau so, ohne die Anführungszeichen, übernehmen).
Ich nehme an, dass du nichts finden wirst. Daher besorge dir bitte Blacklight von F-Secure, lass es scannen und poste den Report.

Hallo Franz,

sorry, sollte natürlich 'Dieses' Konto heißen.
die Suche (incl. versteckter Dateien usw.) war leider (oder glücklicherweise) ohne Erfolg

F-Secure blacklight sagt ebenfalls: No hidden items found.

Ich habe jetzt mal in der Registry gesucht und folgendes gefunden:

HKEY_LOKAL_MACHINE\system\controlset002\enum\root\LEGACY_Aei2iadafs \0000 mit den Einträgen:

Class LegacyDriver
ClassGUID {8ECC055D-047F-11D1-A537-0000F8753ED1}
ConfigFlags 0x0000000
DeviceDesc Aei2iadafs
Legacy 0x0000001
Service Aei2iadafs

na, aber ob das weiterhilft, glaube ich auch nicht

Hallo Markus.

Zitat von Markus_33

na, aber ob das weiterhilft, glaube ich auch nicht

*ächz* Nein, mir hilft es nicht wirklich. Wenn jemand diese Registry-Einträge deuten kann, melde er/sie sich bitte zu Wort.
Bis dahin schlage ich dir folgendes vor:
Wenn ich nach dem Begriff

Class LegacyDriver

google, stehen ganz oben auf der Liste einige Einträge, die auf Malware verweisen. Bevor wir einen eScan machen, lass uns "händisch" in deine Systemordner gucken, und zwar so:

1.) Lade dir die Filelist.zip auf den Desktop
2.) entpacke die Zip-Datei auf deinen Desktop (kostenlose Zip-Tools)
3.) starte deinen Rechner neu auf
4.) öffne die nun auf deinem Desktop vorhandene filelist.bat mit einem Doppelklick auf die Datei
5.) dein Editor (Textverarbeitungsprogramm) wird sich öffnen
6.) markiere von diesen Inhalt aus jedem Verzeichnis jeweils NUR die letzten 30 Tage, wähle kopieren, füge diese Dateien deinem nächsten Beitrag an.

(Danke an [Gc]Sunny, dem ich diese Anleitung aus einem Posting "entwendet" habe. )
Dann sehen wir hoffentlich weiter.

Hallo Franz,
nochmals danke dafür, dass Du nicht aufgibst und Dir die Zeit nimmst !

So, filezips habe ich mal gestartet (erinnert mich an die gute alte dos Zeit)

Verzeichnis von C:\
26.03.2007 21:16 43 filelist.txt
26.03.2007 21:05 1.610.612.736 pagefile.sys
25.03.2007 20:33 211 boot.ini

da die boot.ini sich geändert hat, poste ich sie sie mal (sieht normal aus)
[boot loader]
timeout=30
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptIn

Verzeichnis von C:\WINDOWS
26.03.2007 21:06 0 0.log
26.03.2007 21:06 1.595.589 WindowsUpdate.log
26.03.2007 21:06 159 wiadebug.log
26.03.2007 21:06 50 wiaservc.log
26.03.2007 21:05 2.048 bootstat.dat
26.03.2007 19:42 32.546 SchedLgU.Txt
26.03.2007 19:40 1.049 nsreg.dat
25.03.2007 20:33 334 system.ini
25.03.2007 20:33 1.274 win.ini
22.03.2007 23:01 225 netscape.INI
09.03.2007 19:28 338.340 setupapi.log
08.03.2007 10:28 433.375 wmsetup.log
05.02.2007 12:16 37.464 spupdsvc.log
05.02.2007 11:40 23.425 ie7_main.log
05.02.2007 11:40 102.595 iis6.log
05.02.2007 11:40 139.499 ntdtcsetup.log
05.02.2007 11:40 228.789 comsetup.log
05.02.2007 11:40 252.889 tsoc.log
05.02.2007 11:40 36.150 ocmsn.log
05.02.2007 11:40 1.355 imsins.log
05.02.2007 11:40 56.482 ie7.log
05.02.2007 11:40 32.512 msgsocm.log
05.02.2007 11:40 324.265 ocgen.log
05.02.2007 11:40 647.011 FaxSetup.log
05.02.2007 11:40 71.350 updspapi.log
05.02.2007 11:37 1.355 imsins.BAK
05.02.2007 11:37 17.195 IDNMitigationAPIs.log
05.02.2007 11:37 16.875 NLSDownlevelMapping.log
05.02.2007 11:36 15.873 KB915865.log
05.02.2007 11:36 15.031 KB914440.log
05.02.2007 11:36 49.045 KB925454.log
05.02.2007 11:36 30.521 KB904942.log
05.02.2007 11:33 22.230 KB929969.log
05.02.2007 11:33 19.752 KB923689.log
05.02.2007 11:33 19.101 KB925398.log
05.02.2007 11:33 22.581 KB923694.log
05.02.2007 11:32 21.953 KB926255.log
05.02.2007 11:32 21.696 KB923980.log
05.02.2007 11:31 17.117 KB924270.log
05.02.2007 11:30 16.030 KB920213.log
05.02.2007 11:27 14.833 KB922819.log
05.02.2007 11:27 14.002 KB924191.log
05.02.2007 11:27 11.044 KB923191.log
05.02.2007 11:27 13.076 KB924496.log
05.02.2007 11:26 12.890 KB923414.log

Verzeichnis von C:\WINDOWS\system32
26.03.2007 21:08 54.112 vsconfig.xml
26.03.2007 21:07 2.206 wpa.dbl
26.03.2007 17:50 0 tmp.txt
26.03.2007 17:50 1.398 tmp.reg
25.03.2007 17:27 392.296 perfh009.dat
25.03.2007 17:27 58.596 perfc009.dat
25.03.2007 17:27 405.118 perfh007.dat
25.03.2007 17:27 70.580 perfc007.dat
25.03.2007 17:27 938.224 PerfStringBackup.INI

Verzeichnis von C:\WINDOWS\tasks
26.03.2007 21:06 6 SA.DAT
09.03.2007 18:15 390 1-Klick-Wartung.job

Verzeichnis von C:\WINDOWS\Prefetch
26.03.2007 21:16 11.622 FIND.EXE-0EEAD1A7.pf
26.03.2007 21:16 18.232 CMD.EXE-034B0549.pf
26.03.2007 21:14 11.550 VERCLSID.EXE-28F52AD2.pf
26.03.2007 21:12 100.308 FIREFOX.EXE-28BE8AE1.pf
26.03.2007 21:08 58.408 WUAUCLT.EXE-1360D60A.pf
26.03.2007 21:08 25.024 VSMON.EXE-39246213.pf
26.03.2007 19:40 77.982 NETSCAPE.EXE-1BD6EB01.pf
26.03.2007 19:16 40.796 LOGONUI.EXE-312BE1BF.pf
26.03.2007 18:53 45.662 LOGON.SCR-24ADF392.pf
26.03.2007 18:30 41.716 HELPSVC.EXE-1C192440.pf
26.03.2007 18:30 66.454 WMIPRVSE.EXE-0D449B4F.pf
26.03.2007 18:29 388.784 Layout.ini
26.03.2007 18:08 66.790 AVSCAN.EXE-1702C14B.pf
26.03.2007 17:50 13.766 NOTEPAD.EXE-2DAE2DE6.pf
26.03.2007 17:50 13.284 FINDSTR.EXE-1A4FC238.pf
26.03.2007 17:50 8.508 SWREG.EXE-1561EABF.pf
26.03.2007 17:50 7.058 DUMPHIVE.EXE-18ADF5E7.pf
26.03.2007 17:50 5.198 SRCHSTS.EXE-09CB0F21.pf
26.03.2007 17:50 11.808 REGEDIT.EXE-2AE3423E.pf
26.03.2007 17:50 29.566 CSCRIPT.EXE-0A13A05C.pf
26.03.2007 17:50 7.016 SWREG.EXE-26F9D764.pf
26.03.2007 17:49 73.254 CHKNTFS.EXE-30FE9626.pf
26.03.2007 17:49 32.098 SMITFRAUDFIX.EXE-3218B33B.pf
26.03.2007 17:35 74.066 REGEDIT.COM-0204AD01.pf
26.03.2007 17:12 53.364 MMC.EXE-4BAA108F.pf
26.03.2007 17:04 80.572 I_VIEW32.EXE-3680CA15.pf
26.03.2007 16:43 14.636 F-SECURE BLACKLIGHT BETA - BL-2572AE5F.pf
26.03.2007 16:30 72.588 UPDCLIENT.EXE-06442ED2.pf
26.03.2007 15:57 71.478 TASKMGR.EXE-06144C13.pf
26.03.2007 12:09 33.116 NOTEPAD.EXE-2F2D61E1.pf
26.03.2007 12:09 48.678 HJT1991.COM-34A0B43D.pf
26.03.2007 12:04 37.770 MSCONFIG.EXE-1EF1EA0F.pf
26.03.2007 10:41 17.122 HIJACKTHIS.EXE-23D411F7.pf
26.03.2007 10:41 133.146 WINRAR.EXE-1A0EFB18.pf
26.03.2007 10:31 78.932 ACRORD32.EXE-0ABDA372.pf
26.03.2007 10:13 55.366 WGATRAY.EXE-350D4455.pf
26.03.2007 10:13 16.838 ALG.EXE-275708CF.pf
26.03.2007 10:13 45.846 IMAPI.EXE-201490BB.pf
25.03.2007 22:49 62.466 HIJACKTHIS.EXE-329695FF.pf
25.03.2007 21:52 18.166 AVGNT.EXE-34DB0DF2.pf
25.03.2007 21:52 64.524 AVGUARD.EXE-081AFD34.pf
25.03.2007 21:52 29.070 AVNOTIFY.EXE-278D3CE0.pf
25.03.2007 21:51 55.748 UPDATE.EXE-16715754.pf
25.03.2007 21:51 14.272 PREUPD.EXE-0B43CCF7.pf
25.03.2007 21:51 51.358 AVCENTER.EXE-12E38D18.pf
25.03.2007 21:45 42.288 MMC.EXE-6F82C6A7.pf
25.03.2007 21:29 68.540 IEXPLORE.EXE-360BBB5C.pf
25.03.2007 21:24 33.148 ACRORD32INFO.EXE-3AD69296.pf
25.03.2007 21:09 50.756 MRT.EXE-161A5291.pf
25.03.2007 17:36 19.724 NET.EXE-151FD66D.pf
25.03.2007 17:36 13.552 NET1.EXE-02C3403D.pf
25.03.2007 17:26 8.948 WMIADAP.EXE-32F99497.pf
24.03.2007 18:58 22.562 ATIPRBXX.EXE-1BE402BA.pf
24.03.2007 18:58 21.948 CTFMON.EXE-05E57A5E.pf
23.03.2007 20:13 59.608 DFRGNTFS.EXE-38C3807C.pf
23.03.2007 20:13 25.250 DEFRAG.EXE-2858C7E2.pf
22.03.2007 16:23 16.832 RUNDLL32.EXE-3C500167.pf
21.03.2007 12:08 13.640 RUNDLL32.EXE-408D7EB9.pf
21.03.2007 12:08 19.104 RUNDLL32.EXE-41FB74E5.pf
21.03.2007 12:06 14.260 RUNDLL32.EXE-6E8D4657.pf
20.03.2007 21:55 30.194 RUNDLL32.EXE-47ECAB40.pf
20.03.2007 21:22 87.630 SETUP.EXE-1E430C7C.pf
20.03.2007 21:06 16.798 INSTALLER.EXE-1F0B7BFF.pf
20.03.2007 21:06 16.822 SETUP.EXE-0F40F254.pf
20.03.2007 21:06 15.838 AUTORUN.EXE-08A9DED1.pf
19.03.2007 20:35 47.296 ZLCLIENT.EXE-2ADB81FA.pf
19.03.2007 20:35 1.372 ATIPTAXX.EXE-105D301A.pf
19.03.2007 20:35 69.114 EXPLORER.EXE-02121B1A.pf
19.03.2007 20:35 36.652 USERINIT.EXE-0743FDA9.pf
19.03.2007 20:35 16.838 ATI2EVXX.EXE-07A42849.pf
19.03.2007 18:44 60.066 WMPLAYER.EXE-017735B4.pf
19.03.2007 12:26 21.346 VOE.EXE-1E8936FF.pf
19.03.2007 12:26 15.796 SCAPX.EXE-0D078413.pf
19.03.2007 12:26 23.986 RUNDLL32.EXE-54BEB10F.pf
19.03.2007 12:26 77.898 IEDIT.EXE-05E5D8F7.pf
17.03.2007 21:15 23.080 DRWTSN32.EXE-01DDCF15.pf
17.03.2007 21:15 39.262 DWWIN.EXE-2C373FB7.pf
09.03.2007 20:20 13.842 RUNDLL32.EXE-6F0992EA.pf
09.03.2007 19:28 13.166 RUNDLL32.EXE-580156A0.pf
09.03.2007 17:20 15.380 RUNDLL32.EXE-5DB44D17.pf
08.03.2007 23:09 13.366 DUMPREP.EXE-0AF2BF67.pf
08.03.2007 10:28 87.066 SETUP_WM.EXE-21CBB822.pf
07.03.2007 18:21 76.208 WMPLAYER.EXE-017735B2.pf
06.03.2007 21:21 50.718 MSOHELP.EXE-241E3F13.pf
06.03.2007 12:02 14.712 ADOBELMSVC.EXE-2C56FEB3.pf
06.03.2007 12:02 62.580 ~E5D141.TMP-029FA1E0.pf
06.03.2007 12:01 29.132 RUNDLL32.EXE-4F50155F.pf
05.03.2007 17:30 29.216 WINHLP32.EXE-16D564B3.pf
05.03.2007 17:30 75.298 RUNDLL32.EXE-4EE39BB6.pf
02.03.2007 15:39 23.118 RUNDLL32.EXE-5D0D28D1.pf

Verzeichnis von C:\WINDOWS\Temp

26.03.2007 21:07 256 ZLT02306.TMP
26.03.2007 21:07 373 WGANotify.settings
26.03.2007 21:07 256 ZLT022e2.TMP
19.03.2007 20:33 256 ZLT065d4.TMP
19.03.2007 20:33 256 ZLT065cd.TMP
03.03.2007 18:58 256 ZLT03b2e.TMP

Verzeichnis von C:\DOKUME~1\o1\LOKALE~1\Temp
26.03.2007 21:12 0 q0o1sl96.zip
26.03.2007 16:54 179.404 MSI65b5a.LOG
25.03.2007 22:56 797.676 IMT1B.xml
25.03.2007 22:56 426 IMT1A.xml
25.03.2007 22:56 2.002 IMT19.xml
25.03.2007 22:56 797.676 IMT18.xml
25.03.2007 22:56 426 IMT17.xml
25.03.2007 22:56 2.002 IMT16.xml
25.03.2007 22:48 797.676 IMT15.xml
25.03.2007 22:48 426 IMT14.xml
25.03.2007 22:48 2.002 IMT13.xml
25.03.2007 22:48 16.384 ~DFAE43.tmp
25.03.2007 20:34 797.676 IMTA.xml
25.03.2007 20:34 426 IMT9.xml
25.03.2007 20:34 2.036 IMT8.xml
25.03.2007 20:34 797.676 IMT7.xml
25.03.2007 20:34 426 IMT6.xml
25.03.2007 20:34 2.036 IMT5.xml
24.03.2007 19:31 0 bpq39.tmp
24.03.2007 19:21 0 bz134.tmp
22.03.2007 11:41 156.208 java_install_reg.log
20.03.2007 18:50 0 fla77.tmp
20.03.2007 10:38 0 VGX78.tmp
20.03.2007 10:36 0 VGX3F.tmp
19.03.2007 21:12 512 ~DFFFD6.tmp
19.03.2007 21:12 512 ~DFFFF6.tmp
19.03.2007 21:11 512 ~DFEA2B.tmp
19.03.2007 21:05 512 ~DF8177.tmp
19.03.2007 21:05 0 JET90C4.tmp
19.03.2007 21:04 57.344 ~WRS2481.tmp
19.03.2007 21:04 163.840 ~DF45AE.tmp
19.03.2007 21:00 512 ~DFF5FC.tmp
17.03.2007 21:15 49.058 f992_appcompat.txt
09.03.2007 19:06 0 flaBB.tmp
09.03.2007 19:06 0 flaBA.tmp
09.03.2007 19:06 0 flaB3.tmp
06.03.2007 17:34 0 fla16.tmp
06.03.2007 12:02 46.080 ~e5d141.tmp
06.03.2007 12:01 695 TWAIN.LOG
06.03.2007 12:01 156 Twunk001.MTX
06.03.2007 12:01 3 Twain001.Mtx
06.03.2007 11:59 0 fla119.tmp
06.03.2007 11:59 0 fla118.tmp
06.03.2007 11:52 0 8zuwbkff.zip
06.03.2007 10:55 0 kgvfew0t.zip
02.03.2007 19:23 123.537 46figbe9.mpg
28.02.2007 22:16 16.384 ~DFB9B2.tmp
28.02.2007 17:48 0 flaA.tmp
28.02.2007 17:48 0 fla9.tmp

werde mich erst morgen abend wieder melden können - ersteinmal danke bis hierher
Gruß
Markus

Hallo Markus.
Geh bitte zu Virustotal und scanne nacheinander die folgenden Dateien:
- C:\WINDOWS\system32\vsconfig.xml
- swreg.exe
- voe.exe
(die beiden letztgenannten zunächst von Windows suchen lassen).
Poste jeweils das komplette Scan-Ergebnis.

Lässt sich die Datei C:\WINDOWS\system32\tmp.reg mit dem Editor öffnen (Rechtsklick auf das Dateisymbol -> Öffnen mit -> Editor)? Wenn ja, poste ihren Inhalt (er sollte aus Registry-Einträgen bestehen). Ich frage mich, ob sich hier die von dir bereits geposteten Registry-Einträge wiederfinden.

Nicht verhehlen möchte ich dir, dass ich im Nebel herum stochere (wozu z. B. auch die .zip-Dateien in deinem Temp-Ordner beitragen, die 0 Byte groß sind und deren Dateinamen zufällig generiert zu sein scheinen). Mach dich daher hier in den FAQ schon mal mit der eScan-Anleitung vertraut, während Virustotal scannt.

Hallo Franz,

also:
- vsconfig.xml: wird von zonealarm geschrieben, Status bei Virustotal: kein Befund
- voe.exe eine Datei für Photoimpact, Status bei Virustotal, kein Befund
- swreg.exe eine Datei von SmitfraudFix, hatte ich vor zwei Tagen mal ausprobiert, das war allerdings nach der Entdeckung des merkwürdigen Dienstes. Interessant bei Virustotal:
die meisten Scanner sagen hier 'no virus', allerdings mit folgenden Ausnahmen
- Authentium: could be a corrupted executable file
- eSafe: suspicious Trojan/Worm
- Fortinet: suspicious
- Panda: Suspicious file
die vier kann man wohl vernachlässigen ?


Datei tmp.reg
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"ATIPTA"="C:\\Programme\\ATI Technologies\\ATI Control Panel\\atiptaxx.exe"
"Zone Labs Client"="\"C:\\Programme\\Zone Labs\\ZoneAlarm\\zlclient.exe\""

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

hmm, scheint ich bin ein hoffnungsloser Fall oder vielleicht ist mein System doch in Ordnung .
eScan hatte ich schon mal vor einem halben Jahr oder so mal ausprobieren wollen, scheiterte aber daran, dass mein System nicht (mehr) im abgesicherten Zustand hochfahren kann, könnte ich allerdings nochmals ausprobieren

Auch für heute wieder vielen Dank an Deine Adresse

Gruß
Markus

Hallo,
so der eScan ist durch:

Object "smartadware Spyware/Adware" found in File System! Action Taken: Entries Removed.
Object "zipitpro Spyware/Adware" found in File System! Action Taken: Entries Removed.
Object "winad Adware" found in File System! Action Taken: Entries Removed.
Object "uplink Adware" found in File System! Action Taken: Entries Removed.
Object "savenow Adware" found in File System! Action Taken: Entries Removed.

Entry "HKCR\Alg.AlgSetup" refers to invalid object "{27D0BCCC-344D-4287-AF37-0C72C161C14C}". Action Taken: Entries Removed.
Von dieser Art insgesamt 400 Einträge


File C:\RECYCLER\S-1-5-21-1644491937-1757981266-725345543-1004\Dc26.exe//PE_Patch.UPX//SmitfraudFix/Reboot.exe tagged as "not-a-virus:RiskTool.Win32.Reboot.f". Action Taken: File Deleted.
File C:\RECYCLER\S-1-5-21-1644491937-1757981266-725345543-1004\Dc27\Reboot.exe tagged as "not-a-virus:RiskTool.Win32.Reboot.f". Action Taken: File Deleted.

File C:\System Volume Information\_restore{3D7BCCDB-2674-4AE4-8AF1-FE1A905FDFB6}\RP397\A0263087.exe//PE_Patch.UPX//SmitfraudFix/Reboot.exe tagged as "not-a-virus:RiskTool.Win32.Reboot.f". Action Taken: File Deleted.
File C:\System Volume Information\_restore{3D7BCCDB-2674-4AE4-8AF1-FE1A905FDFB6}\RP397\A0263088.exe tagged as "not-a-virus:RiskTool.Win32.Reboot.f". Action Taken: File Deleted.

sind die 'found in File System!' Adwares irgenwelche Überbleibsel oder sollten die mir zu Denken geben. Interessant ist, das nach Beendigung von eScan und abgesicherter Modus Firefox über 'Direkte Verbindung zum Internet' sich nicht mehr automatsich einwählte, sondern erst, nachdem ich die Proxy Erkennung einstellte ??

Gruß
Markus

Hallo,
zuerst...
EScan falsch angewendet bzw.löschen statt guggen gemacht..
Dann...
du bist in Österreich ansässig ?
Lies mal hier ENUM-Center

Klingelt es nun ?
Irrlicht

ich muss jetzt doch noch mal kurz meine beiden letzten Frage an die Profis stellen:

- kann man von meinem escan jetzt ausgehen, dass mein System (vielleicht ) sauber ist,
- was könnte der schlimmste Schaden in der Vergangenheit sein, der angerichtet wurde (z.B. Ausspähen des Rechners ?)

Nochmals danke im voraus
Markus

btw: es hat sich wieder der Dienst, diesmal mit dem Namen NUIPSH eingenistet, da ich nicht jeden Tag in die msconfig geschaut habe, weiß ich leider nicht genau seit wann (ich habe ihn deaktiviert, rechner neu gestartert und es war - ersteinmal - kein neuer Dienst zu erkennen, das war aber bei Aei2iadafs genauso
Ich stehe vor einem totalen Rätsel

P.S. und auch wieder in der registry steht er wieder:
HKEY_LOCAL_MACHINE\system\currentcontrolset\enum\root\LEGACY_NUIPSH