A74 – Profielmap herstellen na ransomware-aanval
Gebruik dit wanneer:
• Ransomware bestanden in de profielmap heeft versleuteld
• NTUSER.DAT is aangetast of verwijderd
• Permissies zijn gewijzigd door de malwareA74 – Profielmap herstellen na ransomware-aanval
Gebruik dit wanneer:
• Ransomware bestanden in de profielmap heeft versleuteld
• NTUSER.DAT is aangetast of verwijderd
• Permissies zijn gewijzigd door de malware
• Shell-locaties zijn omgeleid naar vreemde paden
• Windows een TEMP-profiel laadt na verwijdering van ransomware
• ProfSvc fouten geeft over “profile cannot be loaded”
• De profielmap nog bestaat maar deels versleuteld is
Stap 1 – Profielmap inventariseren
Ga naar:
C:\Users\
Controleer:
• Zijn bestanden versleuteld? (.locked, .encrypted, .r5a, .ryuk, .phobos, enz.)
• NTUSER.DAT aanwezig?
• AppData intact?
• Desktop, Documents, Downloads leesbaar?
Als NTUSER.DAT versleuteld is:
→ profielmap is onbruikbaar
→ alleen data kan worden teruggezet
→ Windows kan profiel niet laden
Stap 2 – Versleutelde bestanden isoleren
Maak een map:
C:\Ransomware_Isolatie\
Verplaats alle versleutelde bestanden hierheen.
Waarom:
• Windows moet een schone profielmap zien
• ProfSvc faalt bij corrupte of versleutelde NTUSER.DAT
• Shell-locaties kunnen niet naar versleutelde paden verwijzen
Stap 3 – NTUSER.DAT herstellen (indien mogelijk)
Ga naar:
C:\Users\\
Zoek:
• NTUSER.DAT
• NTUSER.DAT.LOG1
• NTUSER.DAT.LOG2
Herstelprocedure:
• Hernoem NTUSER.DAT naar NTUSER.DAT.BAD
• Kopieer NTUSER.DAT.LOG1 naar NTUSER.DAT
• Als LOG1 ontbreekt → gebruik LOG2
Als LOG1 en LOG2 ook versleuteld zijn:
→ NTUSER.DAT is verloren
→ profielmap moet worden herbouwd
Stap 4 – SID van account opvragen
1. Win + R → cmd
2. Typ:
wmic useraccount get name,sid
Noteer SID.
Stap 5 – ProfileList openen
1. Win + R → regedit
2. Ga naar:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
Stap 6 – SID-sleutel zoeken
Zoek sleutel:
S-1-5-21-AAAA-BBBB-CCCC-1001
Stap 7 – ProfileImagePath controleren
Moet zijn:
C:\Users\
Ransomware wijzigt dit soms naar:
• C:\Users\TEMP
• C:\Windows\System32\config\systemprofile
• een niet-bestaande map
• een versleutelde map
Herstel:
• Zet ProfileImagePath op:
C:\Users\
Stap 8 – State en RefCount neutraliseren
State moet zijn:
0
RefCount moet zijn:
0
Ransomware veroorzaakt vaak:
• State = 4
• RefCount = 1 of 2
Herstel:
• Zet beide op 0
Stap 9 – Permissies herstellen
1. Rechtsklik profielmap → Eigenschappen → Beveiliging
2. Moet bevatten:
• Account – volledige toegang
• SYSTEM – volledige toegang
• Administrators – volledige toegang
Ransomware veroorzaakt vaak:
• onbekende SID’s
• “Deny”-regels
• verwijderde SYSTEM-rechten
• alleen-lezen rechten
Herstel:
• Verwijder onbekende SID’s
• Verwijder alle “Deny”-regels
• Voeg account opnieuw toe
• Volledige toegang geven
Stap 10 – Shell-locaties herstellen
1. Win + R → regedit
2. Ga naar:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
Moet verwijzen naar:
C:\Users\\...
Ransomware wijzigt dit soms naar:
• versleutelde paden
• TEMP-locaties
• systemprofile
• externe paden
Stap 11 – AppData herstellen
Ga naar:
C:\Users\\AppData
Controleer:
• Local
• LocalLow
• Roaming
Ransomware verwijdert of versleutelt vaak:
• Roaming\Microsoft\Windows\Start Menu
• Local\Microsoft\Windows\UsrClass.dat
• Roaming\Microsoft\Windows\Recent
Herstel via:
• back-up
• vorige versie
• kopie van schone profielmap
Stap 12 – ProfSvc-logboeken controleren
1. Win + R → eventvwr.msc
2. Zoek:
• ProfSvc
• User Profile Service
Geen meldingen meer over:
• profile cannot be loaded
• temporary profile
• invalid profile path
• denied access
• encrypted profile
Stap 13 – Inloggen met account
Windows moet nu:
• Normaal profiel laden
• Geen TEMP-profiel tonen
• Juiste SID koppelen aan profielmap
Waarom deze methode werkt:
• Verwijdert versleutelde bestanden uit het profielpad
• Herstelt permissies en verwijdert “Deny”-regels
• Herstelt ProfileImagePath
• Neutraliseert State/RefCount
• Herstelt shell-locaties
• Zorgt dat Windows het profiel weer accepteert
Terug naar Index A:
A01 – Index A
• Shell-locaties zijn omgeleid naar vreemde paden
• Windows een TEMP-profiel laadt na verwijdering van ransomware
• ProfSvc fouten geeft over “profile cannot be loaded”
• De profielmap nog bestaat maar deels versleuteld is
Stap 1 – Profielmap inventariseren
Ga naar:
C:\Users\
Controleer:
• Zijn bestanden versleuteld? (.locked, .encrypted, .r5a, .ryuk, .phobos, enz.)
• NTUSER.DAT aanwezig?
• AppData intact?
• Desktop, Documents, Downloads leesbaar?
Als NTUSER.DAT versleuteld is:
→ profielmap is onbruikbaar
→ alleen data kan worden teruggezet
→ Windows kan profiel niet laden
Stap 2 – Versleutelde bestanden isoleren
Maak een map:
C:\Ransomware_Isolatie\
Verplaats alle versleutelde bestanden hierheen.
Waarom:
• Windows moet een schone profielmap zien
• ProfSvc faalt bij corrupte of versleutelde NTUSER.DAT
• Shell-locaties kunnen niet naar versleutelde paden verwijzen
Stap 3 – NTUSER.DAT herstellen (indien mogelijk)
Ga naar:
C:\Users\\
Zoek:
• NTUSER.DAT
• NTUSER.DAT.LOG1
• NTUSER.DAT.LOG2
Herstelprocedure:
• Hernoem NTUSER.DAT naar NTUSER.DAT.BAD
• Kopieer NTUSER.DAT.LOG1 naar NTUSER.DAT
• Als LOG1 ontbreekt → gebruik LOG2
Als LOG1 en LOG2 ook versleuteld zijn:
→ NTUSER.DAT is verloren
→ profielmap moet worden herbouwd
Stap 4 – SID van account opvragen
1. Win + R → cmd
2. Typ:
wmic useraccount get name,sid
Noteer SID.
Stap 5 – ProfileList openen
1. Win + R → regedit
2. Ga naar:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
Stap 6 – SID-sleutel zoeken
Zoek sleutel:
S-1-5-21-AAAA-BBBB-CCCC-1001
Stap 7 – ProfileImagePath controleren
Moet zijn:
C:\Users\
Ransomware wijzigt dit soms naar:
• C:\Users\TEMP
• C:\Windows\System32\config\systemprofile
• een niet-bestaande map
• een versleutelde map
Herstel:
• Zet ProfileImagePath op:
C:\Users\
Stap 8 – State en RefCount neutraliseren
State moet zijn:
0
RefCount moet zijn:
0
Ransomware veroorzaakt vaak:
• State = 4
• RefCount = 1 of 2
Herstel:
• Zet beide op 0
Stap 9 – Permissies herstellen
1. Rechtsklik profielmap → Eigenschappen → Beveiliging
2. Moet bevatten:
• Account – volledige toegang
• SYSTEM – volledige toegang
• Administrators – volledige toegang
Ransomware veroorzaakt vaak:
• onbekende SID’s
• “Deny”-regels
• verwijderde SYSTEM-rechten
• alleen-lezen rechten
Herstel:
• Verwijder onbekende SID’s
• Verwijder alle “Deny”-regels
• Voeg account opnieuw toe
• Volledige toegang geven
Stap 10 – Shell-locaties herstellen
1. Win + R → regedit
2. Ga naar:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
Moet verwijzen naar:
C:\Users\\...
Ransomware wijzigt dit soms naar:
• versleutelde paden
• TEMP-locaties
• systemprofile
• externe paden
Stap 11 – AppData herstellen
Ga naar:
C:\Users\\AppData
Controleer:
• Local
• LocalLow
• Roaming
Ransomware verwijdert of versleutelt vaak:
• Roaming\Microsoft\Windows\Start Menu
• Local\Microsoft\Windows\UsrClass.dat
• Roaming\Microsoft\Windows\Recent
Herstel via:
• back-up
• vorige versie
• kopie van schone profielmap
Stap 12 – ProfSvc-logboeken controleren
1. Win + R → eventvwr.msc
2. Zoek:
• ProfSvc
• User Profile Service
Geen meldingen meer over:
• profile cannot be loaded
• temporary profile
• invalid profile path
• denied access
• encrypted profile
Stap 13 – Inloggen met account
Windows moet nu:
• Normaal profiel laden
• Geen TEMP-profiel tonen
• Juiste SID koppelen aan profielmap
Waarom deze methode werkt:
• Verwijdert versleutelde bestanden uit het profielpad
• Herstelt permissies en verwijdert “Deny”-regels
• Herstelt ProfileImagePath
• Neutraliseert State/RefCount
• Herstelt shell-locaties
• Zorgt dat Windows het profiel weer accepteert
Terug naar Index A:
A01 – Index A
Jacks pc oplossingen is gemaakt in samenwerking met Microsoft Copilot.
C00 – Index C