ntuser.dat auf WTS gesperrt

[kaysus 11]

Moin,

 

ich habe ein Problem mit einem User auf unserem Terminalserver.

 

Das Profil kann nicht geladen werden und der User wird mit einem temp. Profil angemeldet. Habe erst gedacht, das Profil sei defekt und wollte ein neues erstellen. Leider kann ich das alte weder löschen noch umbenennen, da die ntuser.dat gesperrt ist.

Diese wird angeblich durch "wmiprvse.exe" gesperrt. Den Prozess zu beenden bringt nix, er startet sofort neu. Der prozess macht nachts irgendwas mit den Userprofilen.

Ich möchte den TS auch nicht neu starten, da knapp 40 User Tag und Nacht darauf arbeiten.

 

Gibts da ne Lösung?

 

Vielen Dank!

[killtux 11]

user hive cleanup -> ein service. Vielleicht bringt der was

http://www.microsoft.com/DOWNLOADS/details.aspx?familyid=1B286E6D-8912-4E18-B570-42470E2F3582&displaylang=en

 

aus google:

Windows Management Instrumentation (WMI) ist eine Windows Komponente, die Management-Informationen und -Steuerung in einem Unternehmensumgebung liefert. Der Dienst "wmiprvse.exe" ist ein Teil davon. Mit Hilfe von WMI kann man im Netzwerk Programme auf anderen Rechner starten, oder die Ereignisprotokolle und installierten Programme auf einen anderen Computer abfragen.

Beachte: wmiprvsw.exe ist der Sasser Wurm!

 

Wichtig: Die Datei "wmiprvse.exe" befindet sich im Ordner C:\WINDOWS\System32\Wbem. Wenn das nicht der Fall ist, handelt es sich bei wmiprvse.exe um einen Virus, Spyware, Trojaner oder Worm! Überprüfen Sie dieses z.B. mit Security Task Manager.

 

Virus mit gleichem Namen:

W32/Sonebot-B - sophos.com

 

Noch was aus google:

er Prozess wmiprvse.exe (wmiprvse bedeutet Microsoft Windows Management Instrumentation ) ist ein generischer Prozess. Er dient der Verwaltung der Clienten unter Windows XP. Er Startet bei der ersten Verbindung mit der clientapplikation und kann somit die Systemressourcen überwachen.

 

Es ist ein essentieller Prozess der NICHT angehalten werden kann.

 

Es kann sich manchmal aber um den Trojaner W32/Sonebot-B handeln der von sich selbst eine Kopie ins Verzeichnis %Windows%\System32 mit dem Namen WMIPRVSE.EXE. Er wird jedenfalls verraten durch einen Eintrag in der Registry :

 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\

Kernel_check = wmiprvse.exe

 

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\

Kernel_check = wmiprvse.exe

[kaysus 11]

Hi,

 

vielen Dank für die ausführliche ANtwort. Hab alles überprüft. Die Trojaner sind es nicht. Alle sauber in der registry. Auch im Windowsverzeichnis alles ok. Userprofile hive cleanup ist bei mir auch schon lange drauf.

 

Es ist immer das selbe Profil.

 

Ich könnte verrückt werden. Hat noch jemand einen Tip?