A73 – Profielmap herstellen na malware-infectie
A73 – Profielmap herstellen na malware-infectie
Gebruik dit wanneer:
• Malware de profielmap heeft beschadigd
• NTUSER.DAT is aangetast of verwijderd
• Permissies zijn gewijzigd door ransomware of trojans
• Shell-locaties zijn omgeleid naar verkeerde paden
• Windows een TEMP-profiel laadt na verwijdering van malware
• ProfSvc fouten geeft over “profile cannot be loaded”
• De profielmap nog bestaat maar niet meer bruikbaar is
Stap 1 – Profielmap controleren
Ga naar:
C:\Users\
Controleer:
• NTUSER.DAT aanwezig?
• AppData intact?
• Desktop, Documents, Downloads aanwezig?
Malware veroorzaakt vaak:
• ontbrekende NTUSER.DAT
• corrupte AppData\Roaming
• verwijderde Desktop-inhoud
• omgeleide shell-locaties
Stap 2 – NTUSER.DAT herstellen
1. Ga naar:
C:\Users\\
2. Zoek:
NTUSER.DAT
NTUSER.DAT.LOG1
NTUSER.DAT.LOG2
Herstelprocedure:
• Hernoem NTUSER.DAT naar NTUSER.DAT.BAD
• Kopieer NTUSER.DAT.LOG1 naar NTUSER.DAT
• Als LOG1 ontbreekt → gebruik LOG2
Als beide ontbreken:
→ profielmap is ernstig beschadigd
→ alleen data kan worden teruggezet
Stap 3 – SID van account opvragen
1. Win + R → cmd
2. Typ:
wmic useraccount get name,sid
Noteer SID.
Stap 4 – ProfileList openen
1. Win + R → regedit
2. Ga naar:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
Stap 5 – SID-sleutel zoeken
Zoek sleutel:
S-1-5-21-AAAA-BBBB-CCCC-1001
Stap 6 – ProfileImagePath controleren
Moet zijn:
C:\Users\
Malware wijzigt dit vaak naar:
• C:\Users\TEMP
• C:\Windows\System32\config\systemprofile
• een niet-bestaande map
Herstel:
• Zet ProfileImagePath op:
C:\Users\
Stap 7 – State en RefCount neutraliseren
State moet zijn:
0
RefCount moet zijn:
0
Malware veroorzaakt vaak:
• State = 4
• RefCount = 1 of 2
Herstel:
• Zet beide op 0
Stap 8 – Permissies herstellen
1. Rechtsklik profielmap → Eigenschappen → Beveiliging
2. Moet bevatten:
• Account – volledige toegang
• SYSTEM – volledige toegang
• Administrators – volledige toegang
Malware veroorzaakt vaak:
• onbekende SID’s
• verwijderde SYSTEM-rechten
• alleen-lezen rechten
• “Deny” regels
Herstel:
• Verwijder onbekende SID’s
• Verwijder alle “Deny” regels
• Voeg account opnieuw toe
• Volledige toegang geven
Stap 9 – Shell-locaties herstellen
1. Win + R → regedit
2. Ga naar:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
Controleer dat alles verwijst naar:
C:\Users\\...
Malware wijzigt dit vaak naar:
• TEMP-locaties
• systemprofile
• externe paden
• netwerkshares
Stap 10 – AppData herstellen
Ga naar:
C:\Users\\AppData
Controleer:
• Local
• LocalLow
• Roaming
Malware verwijdert vaak:
• Roaming\Microsoft\Windows\Start Menu
• Roaming\Microsoft\Windows\Recent
• Local\Microsoft\Windows\UsrClass.dat
Herstel via:
• back-up
• vorige versie
• kopie van schone profielmap
Stap 11 – ProfSvc-logboeken controleren
1. Win + R → eventvwr.msc
2. Zoek:
• ProfSvc
• User Profile Service
Geen meldingen meer over:
• profile cannot be loaded
• temporary profile
• invalid profile path
• corrupt registry
• denied access
Stap 12 – Inloggen met account
Windows moet nu:
• Normaal profiel laden
• Geen TEMP-profiel tonen
• Juiste SID koppelen aan profielmap
Waarom deze methode werkt:
• Herstelt NTUSER.DAT na malware-infectie
• Herstelt permissies en verwijdert “Deny”-regels
• Herstelt ProfileImagePath
• Neutraliseert State/RefCount
• Herstelt shell-locaties
• Zorgt dat Windows het profiel weer accepteert
Terug naar Index A:
A01 – Index A
Jacks pc oplossingen is gemaakt in samenwerking met Microsoft Copilot.

