Process Monitor çok işe yarayan bir araçtır

Merhaba arkadaşlar. Technopat Sosyal'de sürekli takılıyorsanız Process Monitor isimli aracı duymuşsunuzdur. Bu araç genelde 0xc000007b hatalarını çözmek için kullanılıyor. Aynı zamanda birçok farklı sorunun çözümünde de kullanılıyor. Bu araç benim de işime yarayan bir araç oldu.

Windows 10 ve 11 sanal makinelerimde Windows hesabıma profil fotoğrafı koymuştum. Artık profil fotoğrafını kaldırmak istiyordum. Kayıt defterinden profil fotoğrafının kayıtlarını sildim, profil fotoğrafının kendisini de sildim. Sonra ise sistemdeki diğer tüm kalıntıları sildim.

Fakat her şeyi yapmama rağmen Denetim Masası > Kullanıcı Hesapları > Diğer Hesaplar menüsüne girince sildiğim profil fotoğrafı görünmeye devam ediyordu. Bu profil fotoğrafının da nereden geldiğini bulamıyordum.

Diğer hesaplar menüsüne her girdiğimde Temp klasöründe kullanıcıadı.bmp isminde 32 KB'lık bir dosya oluşuyordu. Fakat dosyanın nereden geldiğini bulamıyordum. Dosyayı siliyordum, diğer hesaplar menüsüne girip profil fotoğrafı yeniden görününce dosya yeniden oluşuyordu.

En sonunda deneme yanılmaya girmek yerine Process Monitor kullanmak istedim. Önce Temp klasöründeki BMP dosyasını sildim. Sonra ise Process Monitor yazılımını çalıştırdım ve ilk oluşan girdileri sildim. Sonra ise Denetim Masası > Kullanıcı Hesapları menüsüne girdim ve Process Monitor'de yakalamayı başlattım. Hemen ardından Diğer Hesaplar menüsüne girdim ve yakalamayı geri durdurdum. Ardından da Process Monitor'de kullanıcıadı.bmp girdisini arattım ve dosyanın yazıldığı girdiye ulaştım. Hemen öncesindeki girdileri incelediğimde kaynak kabak gibi çıktı: Bir türlü bulamadığım resim SAM (Security Accounts Manager) veritabanında saklanıyordu ve girdinin ismi UserTile idi.

Hemen Windows ISO'sunu sanal makineye monte ettim ve bilgisayarı yeniden başlatıp ISO'dan boot ettim. Sonra ise Shift+F10 ile önce CMD'yi, sonra ise CMD'ye regedit yazarak Regedit'i açtım. Sonra ise HKEY_LOCAL_MACHINE seçiliyken File > Load Hive dedim ve Windows'un kurulu olduğu diske girip Windows > System32 > config > SAM dosyasını seçtim. Girdi ismi olarak da "SAMsys" girdim. HKEY_LOCAL_MACHINE\SAMsys\SAM\Domains\Account\Users\000003E9 girdisine girdim (Process Monitor'de görünen UserHive'ın okunduğu anahtar 000003E9 ile bitiyordu) ve UserHive girdisini sildim. Sonra ise HKEY_LOCAL_MACHINE\SAMsys seçiliyken File > Unload Hive dedim ve Regedit'i kapattım. Sonra ise CMD'ye Notepad yazıp Not Defteri'ni açtım. Oradan da File > Open diyerek dosya gezginine girdim. Sonra ise C:\Users\kullanıcıadı\AppData\Local\Temp konumuna gidip kullanıcıadı.bmp dosyasını son kez sildim. Sonra ise Notepad'i ve CMD'yi kapatıp bilgisayarı yeniden başlattım.

Bilgisayar açılır açılmaz da tekrar Denetim Masası > Kullanıcı Hesapları > Diğer Hesaplar menüsüne girdim ve mutlu sona ulaştım. Artık varsayılan kullanıcı resmi görünüyor.

Bu sorunla ilk olarak geçen yılın başında ana bilgisayarımda karşılaşmıştım, Diğer Hesaplar menüsünde profil fotoğrafı görünmeye devam ediyordu. O dönemde o fotoğrafın nerede olduğunu hiçbir şekilde bulamamıştım, o yüzden de öyle bırakmıştım.

Fakat artık Process Monitor sayesinde bu fotoğrafın nereden geldiğini öğrendim ve direkt Windows üzerinden silemesem de (SAM veritabanına Windows açıkken müdahale edilemiyor) Windows kurulum medyası ile sildim.

Bundan sonra Process Monitor aracı birçok yerde kullanacağım bir araç olacaktır. Technopat Sosyal'de de bu aracın neden tavsiye edildiğini ve neden bu araç ile rapor istendiğini de şu anda çok iyi anlıyorum.

@Recep Baltaş @Enes3078