[XP] administrator is alle rechten kwijt

[Stefke]

Ik zit hier met de laptop van een kennis, hij gaf aan dat hij continue popups krijgt van de één of andere beveiligingssoftware, en dat hij geen toegang meer heeft tot de instellingen "sinds kort"

Ben nu al een tijdje aan het scannen op spyware en virussen (Adaware, Spysweeper, Norton AV, al diverse zaken gevonden), maar inderdaad zijn zowel de lokale gebruiker "Toon" (rol administrator) als de "Administrator" (rol administrator) kwijt, en dus geen toegang tot bijv.
- eigenschappen bureaublad
- configuratiescherm

"This operation has been cancelled due to restrictions in effect on this computer. Please contact your system administrator"

Zelfs in safemode krijg ik nog af en toe meldingen dat er "problemen" met de computer zijn die gefixed moeten worden door het donwloaden van software (de spyware dus!) terwijl er op dat moment geen enkel vreemd proces loopt (alleen de "safemode" processen).
En geen toegang tot adminzaken.

Iemand tips?

[CodeCaster]

Opnieuw installeren, omdat dat minder lang gaat duren dan het verwijderen van al die troep?

[Stefke]

CodeCaster schreef op zondag 30 september 2007 @ 16:06:
Opnieuw installeren, omdat dat minder lang gaat duren dan het verwijderen van al die troep?

Ben bang van wel, maar dat wil ik op dit moment nog even niet doen.

[SKiLLa]

Yepz, meuk branden op CD en dan formateren en opnieuw installeren, waarschijnlijk het minste werk.

[Hero of Time]

Herinstall is idd het minste werk, maar je hebt nog wel admin rechten. De melding die je krijgt, komt omdat er een policy is ingesteld. Deze kan je in het register vinden bij de volgende sleutels:
HKLM\SOFTWARE\Policies
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
HKCU\SOFTWARE\Policies
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
Kan je er dmv regedit er niet in (je mag bijvoorbeeld regedit niet uitvoeren), dan kan je, indien je xp pro hebt, via gpedit.msc die optie weer aanzetten. Staat onder User Configuration > Administrative Templates > System. Je kan ook de programma's uitvoeren via een command prompt indien Uitvoeren ook is uitgeschakelt (of zoeken met de verkenner).

[Petervanakelyen]

HijackThis log ? Log's van de gedane scans met juiste anti-spyware programma's ? Rootkit gechecked ? In veilige modus booten en daar een nieuw account aanmaken ?

[E-Rick]

Als je regedit niet kan starten kan je proberen dit te hernoemen naar iets wat door een eventueel virus niet als een systeemtool wordt gezien, gewoon de executable kopieren en hernoemen naar blaat.exe oid. Maar er is inderdaad een policy van toepassing, je zal dus zoals Hero Of Time al zegt via gpedit.msc de policies die de boel afschermen moeten uitschakelen. Als je dat lokaal niet voor elkaar krijgt kan je nog proberen die bak in een domein te hangen, de policy die op een OU zit overrulet de lokale policy. Doe dit wel in een testdomein in vmware ofzo ivm mogelijke rotzooi als virussen e.d.

[alt-92]

E-Rick schreef op zondag 30 september 2007 @ 17:53:
Als je dat lokaal niet voor elkaar krijgt kan je nog proberen die bak in een domein te hangen,

Lekker omslachtig

Ik zou dan gewoon de registry hive bewerken met een bootable Windows versie zoals BartPE ofzo, dan kan je daar die policy keys ook mee weghalen.

[Stefke]

Dat wordt me allemaal een beetje te technisch Komend weekend ga ik nog eens kijken, heb al gezegd dat ws. alles gewist gaat worden (zowieso goed om die laptop eens opnieuw te installeren, wat een bende is het daar, 100+ processen draait dat ding...) wellicht nog even een half uurtje proberen wat hierboven getipt wordt, tnx.

Uitvoeren kan nog wel, maar ik weet zo niet welke opties ik nog wel of niet kan doen (was tegelijktertijd nog met een andere cmputer bezig dus nog niet zoveel aandacht aan besteed)

Denk dat de rol "administrators" bepertk is, want een nieuwe account met die rol doet exact hetzelfde

[Hero of Time]

Dat komt omdat de policy dan computer gebonden is (HKLM hive) en niet aan de gebruiker (of het zit ook in Default User).