Pertes de données locales (bureau et documents) après MAJ automatique de Windows 11 le 26 octobre

Question

Bonjour,
Après une mise à jour automatique de Windows 11 le 26 octobre : déconnexion automatique de mon compte office pendant que je travaillais sur un document word. J'arrive à enregistrer le document et là ... interface utilisateur complètement changée plus aucun de mes fichiers locaux dans Bureau et Documents. On parle de 6 mois de données de recherche confidentielles dans le cadre d'un doctorat qui ont tout bonnement disparues.

• 5 informaticiens sur le coup, une tentative d'extraction de données du disque dur infructueuse
• 160 $ payés à Data recovery qui a en partie retrouvé des fichiers sans qu'aucun ne soit accessible (corrompus ?).
• Dans la liste des utilisateurs, je vois plein de profils : admin, Dell (mon ordi), moi, un profil Default, une default 100001, un profil inconnu SS1 etc.
• Dans les fichiers récents sur word je vois certains des documents que je cherche mais impossible de les ouvrir malgré moult tentatives (réparation de documents notamment).

Il a eu comme un écrasement de profils et une disparition de données avec. J'ai voulu changer par la suite la sécurité d'accès à tous ces dossiers utilisateurs pour tenter d'y accéder, rien n'y fait.

Dans l'historique de mises à jour Windows 11, cette mise à jour problématique a disparu des événements.

J'ai enfin, à l'instant, tenté de désinstaller des mises a jour récentes, ça n'a rien changé.

Il est arrivé la même chose à une autre chercheuse de l'UdeM. Il y en aura probablement d'autres.

Je vous serai gré non seulement de me contacter et de m'aider mais aussi d'informer publiquement vos utilisateurs de cet incident qui est loin d'être banal ou minime.

Merci par avance pour votre réponse.

Virginie

Answer 1

Bonjour,

Merci pour votre réponse, voici ce que j'ai pu trouver dans l'observateur d'événements au moment de l'incident (Nom du journal : Microsoft-Windows-User Profile Service/Operational)

Description : Le fichier du Registre C:\Users\Dell\AppData\Local\Microsoft\Windows\UsrClass.dat est chargé dans HKU\S-1-5-21-4077621761-1342461378-3849649473-1001_Classes.

Qu'est-ce que ce HKU (que je retrouve dans 5 événements de 17h56 à 18h, moment ou tout a disparu). Mes premières recherches indiquent qu'il s'agit d'un virus.

Est-il possible de parler à quelqu'un de Microsoft pour être guidée pour la suite puisqu'il s'agit d'une mise à jour de Windows 11... défectueuse?

Merci.

Answer 2

Hi Virginie

Je suis désolé que cela se soit produit.

Perdre des mois de travail est dévastateur. D'après ce que vous décrivez, deux choses sont les plus probables : Windows vous a connecté à un profil temporaire ou nouveau après la mise à jour, ou Bureau/Documents ont été redirigés (par exemple, vers OneDrive) et les originaux sont devenus cachés/inaccessibles.

Voici des voies de récupération pratiques que vous pouvez essayer dès maintenant :

Rechercher un profil temporaire/ancien et copier les données : Ouvrez C:\Users\ et recherchez un autre dossier correspondant à votre ancien nom. S'il s'y trouve, connectez-vous à un compte administrateur (ou créez-en un), puis copiez les fichiers de cet ancien profil vers votre profil actuel. Les entrées de l'Observateur d'événements du service de profil utilisateur (ID 1511/1515) confirmeraient une connexion à un profil temporaire.

• Regardez dans Windows.old et les versions précédentes : Si C:\Windows.old\Users\<old-name>\Desktop ou Documents existe, copiez ce dont vous avez besoin. Cliquez également avec le bouton droit de la souris sur vos Documents dossiers /Desktop > Propriétés -> Versions précédentes pour restaurer les instantanés si la Protection du système a été activée.
• Vérifier le « déplacement de dossier connu » de OneDrive : si OneDrive est/était connecté, vos fichiers ont peut-être été déplacés vers OneDrive\Desktop / OneDrive\Documents ou sont disponibles sur OneDrive Web. Utilisez l'historique des versions ou Restaurer votre OneDrive pour restaurer le compte dans le temps.
• Récupérer les sauvegardes automatiques et les fichiers temporaires de Word : dans Word, les informations sur les > de fichiers > Gérer les documents > Récupérer les documents non enregistrés. Recherchez également *.asd, ~*.docxet les fichiers dans %AppData%\Microsoft\Word\ et %LocalAppData%\Microsoft\Office\UnsavedFiles\.
• Si des fichiers s'affichent mais ne s'ouvrent pas (corruption) : essayez à nouveau Ouvrir et réparer Word, ainsi qu'un deuxième visionneur (par exemple, Word Online). Si la corruption persiste, travaillez à partir d'une image disque et exécutez-y des outils de récupération (pour éviter d'écraser les secteurs). Gardez le PC concerné aussi inactif que possible jusqu'à ce que la récupération soit terminée.

Quelques garde-fous : évitez d'installer un nouveau logiciel sur ce disque, copiez les données récupérées sur un disque séparé, notez tous les profils/SID inconnus que vous voyez ci-dessous, C:\Users\ car ils indiquent souvent où les données se trouvent encore.

Si aucun des éléments ci-dessus ne fait apparaître vos fichiers, l'étape suivante est la plus sûre pour faire appel à un spécialiste capable d'imager le disque et de tenter une récupération au niveau du secteur (en particulier si des stratégies BitLocker/d'entreprise sont impliquées).

Je sais que c'est une situation affreuse. Espérons que l'un des chemins ci-dessus ramènera ces documents.
Sinceres salutations

Finlandais.