Skocz do zawartości

Zniknęło konto drugiego użytkownika


EDgar8

Rekomendowane odpowiedzi

Pomoc jest darmowa, ale proszę rozważ przekazanie dotacji na utrzymanie serwisu: klik.

Raporty nie wykazują oznak infekcji. W spoilerze zadaję działania poboczne, bez związku z problemem.

 

 

 

Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:

 


CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-3268135465-591020038-312475966-1000\...\Policies\Explorer: [NoLowDiskSpaceChecks] 1
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Local Page = 
S4 dbupdate; "C:\Program Files (x86)\Dropbox\Update\DropboxUpdate.exe" /svc [X]
S4 dbupdatem; "C:\Program Files (x86)\Dropbox\Update\DropboxUpdate.exe" /medsvc [X]
S4 HuaweiHiSuiteService64.exe; "C:\Program Files (x86)\HiSuite\HandSetService\HuaweiHiSuiteService64.exe" -/service [X]
C:\Users\Szymon\Desktop\Angry Birds — skrót.lnk
EmptyTemp:

 

Adnotacja dla innych czytających: skrypt unikatowy - dopasowany tylko i wyłącznie pod ten system, proszę nie stosować na swoich systemach.

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

 

 

Administrator (S-1-5-21-3268135465-591020038-312475966-500 - Administrator - Disabled) => C:\Users\Administrator
Asus (S-1-5-21-3268135465-591020038-312475966-1000 - Administrator - Enabled) => C:\Users\Asus
Gość (S-1-5-21-3268135465-591020038-312475966-501 - Limited - Disabled)
Szymon (S-1-5-21-3268135465-591020038-312475966-1015 - Limited - Enabled) => C:\Users\Szymon

Nie widzę konta "Inny użytkownik", Administrator i Gość są wyłączone, ale konto Gość w tej chwili jest nieistotne.. 

Włącz wszystkie konta, oprócz Gościa i zobacz efekty. Jeśli nadal będzie problem wykonaj poniższe kroki.

 

Uruchom SystemLook i w oknie wklej:

 

:reg
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts /s

 

Następnie kliknij w Look. Momentalnie wyskoczy okno z raportem - dostarcz go.

Odnośnik do komentarza

Cześć. 

 

Uruchom FRST. Z klawiatury CTRL+Y, zostanie otworzony plik fixlist.txt. Wklej do pliku następującą treść:

 

cmd: reg export "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts" c:\klucz.reg
cmd: reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts" 

 

Z klawiatury CTRL+S, by zapisać zmiany. Następnie w oknie FRST klik w Napraw (Fix). Czekaj cierpliwie, nie przerywaj działania. Gdy Fix ukończy pracę, nastąpi restart systemu. W tym samym katalogu skąd uruchamiano FRST powstanie plik fixlog.txt.

 

I powiedz czy to pomoże. Widzę jeszcze jakieś dziwne klucze odnosnie profili uzytkownika, ale nimi zajmiemy się jak nie pomoże ta procedura. Tyle na początek. Czy Ty widzisz konto: Asus-Komputer.Asus-Komputer ? 

Odnośnik do komentarza

Zgłoszony problem z Fiksem FRST na PW, więc komentuję (nie sprawdzałam reszty tematu):

 

FRST wisiał na nieskończoności przy tym:

 

cmd: reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts"

 

... bo nie został dodany przełącznik cichy i cmd/reg czekało na potwierdzenie akcji. W FRST powinno być użyte:

 

cmd: reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts" /f

 

W takiej sytuacji należało zabić proces FRST via Menedżer zadań i uruchomić poprawiony skrypt ponownie.

Odnośnik do komentarza

Przyjrzałam się na szybko wynikom. SpecialAccounts nie powinno mieć tu nic do rzeczy (klucz był pusty). Natomiast odczyt z ProfileList wykazuje kupę kluczy nie powiązanych z istniejącymi kontami (i to jeden z powodów dla "Innego użytkownika"):

W FRST były wykryte następujące konta:

 

Administrator (S-1-5-21-3268135465-591020038-312475966-500 - Administrator - Disabled) => C:\Users\Administrator
Asus (S-1-5-21-3268135465-591020038-312475966-1000 - Administrator - Enabled) => C:\Users\Asus
Gość (S-1-5-21-3268135465-591020038-312475966-501 - Limited - Disabled)
Szymon (S-1-5-21-3268135465-591020038-312475966-1015 - Limited - Enabled) => C:\Users\Szymon


Odczyt z klucza pokazał jakieś dodatkowe fantomy punktujące nieistniejące SID:

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1004
    Flags    REG_DWORD    0x0
    State    REG_DWORD    0x304
    Sid    REG_BINARY    01050000000000051500000029CACBC206403A233E01A012EC030000
    ProfileLoadTimeLow    REG_DWORD    0x0
    ProfileLoadTimeHigh    REG_DWORD    0x0
    RefCount    REG_DWORD    0x0
    RunLogonScriptSync    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1007
    Flags    REG_DWORD    0x0
    State    REG_DWORD    0x100
    Sid    REG_BINARY    01050000000000051500000029CACBC206403A233E01A012EF030000
    ProfileLoadTimeLow    REG_DWORD    0x0
    ProfileLoadTimeHigh    REG_DWORD    0x0
    RefCount    REG_DWORD    0x0
    RunLogonScriptSync    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1008
    Flags    REG_DWORD    0x0
    State    REG_DWORD    0x0
    Sid    REG_BINARY    01050000000000051500000029CACBC206403A233E01A012F0030000
    ProfileLoadTimeLow    REG_DWORD    0x0
    ProfileLoadTimeHigh    REG_DWORD    0x0
    RefCount    REG_DWORD    0x0
    RunLogonScriptSync    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1010
    Flags    REG_DWORD    0x0
    State    REG_DWORD    0x204
    Sid    REG_BINARY    01050000000000051500000029CACBC206403A233E01A012F2030000
    ProfileLoadTimeLow    REG_DWORD    0x0
    ProfileLoadTimeHigh    REG_DWORD    0x0
    RefCount    REG_DWORD    0x0
    RunLogonScriptSync    REG_DWORD    0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1011
    ProfileImagePath    REG_EXPAND_SZ    C:\Users\Asus-Komputer.Asus-Komputer
    Flags    REG_DWORD    0x0
    State    REG_DWORD    0x204
    Sid    REG_BINARY    01050000000000051500000029CACBC206403A233E01A012F3030000
    ProfileLoadTimeLow    REG_DWORD    0x0
    ProfileLoadTimeHigh    REG_DWORD    0x0
    RefCount    REG_DWORD    0x0
    RunLogonScriptSync    REG_DWORD    0x0 

 

Mówisz, że manipulowałeś z kontami (usunięty Szymon i próba zakładania nowych kont), więc układ widziany wyżej jest nieaktualny. Poproszę o świeży log FRST Addition pokazujący aktualnie wykryte konta oraz wyniki skryptu FRST zawierającego tę komendę:

 

Reg: reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList" /s

 

Odnośnik do komentarza

Tylko Addition był mi potrzebny, resztę logów FRST usuwam (FRST.txt zresztą uszkodzony).

 

1. Załaduj skrypt do FRST o zawartości:

 

Reg: reg export "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList" C:\Users\Asus\Desktop\profilelist.reg
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1004
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1007
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1008
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1010
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3268135465-591020038-312475966-1011

 

Przedstaw wynikowy Fixlog.txt.

 

2. Zresetuj komputer i sprawdź co widać na ekranie logowania. Wg odczytu obecnie konto Szymon ma nowy SID, ale nie ma powiązanego folderu na dysku i nie jest zarejestrowane w kluczu ProfileList (wygląda na konto nigdy niezainicjowane/niezalogowane).

Odnośnik do komentarza
Gość
Ten temat został zamknięty. Brak możliwości dodania odpowiedzi.
  • Ostatnio przeglądający   0 użytkowników

    • Brak zarejestrowanych użytkowników przeglądających tę stronę.
×
×
  • Dodaj nową pozycję...