ID d'événement Windows 1033 – WinMgmt : Corruption ou erreur d'initialisation du référentiel WMI

Commencez par un redémarrage basique du service WMI et un examen détaillé des événements pour identifier le contexte d'erreur spécifique.

1. Ouvrez Observateur d'événements → Journaux Windows → Application
2. Filtrez pour l'ID d'événement 1033 et examinez les détails et la description de l'erreur
3. Ouvrez PowerShell en tant qu'administrateur et redémarrez les services WMI :

Stop-Service -Name "Winmgmt" -Force
Start-Service -Name "Winmgmt"
Get-Service -Name "Winmgmt" | Select-Object Status, StartType

4. Testez la fonctionnalité WMI après le redémarrage du service :

Get-WmiObject -Class Win32_OperatingSystem | Select-Object Caption, Version
Get-CimInstance -ClassName Win32_ComputerSystem | Select-Object Name, Manufacturer

5. Vérifiez la cohérence du dépôt WMI :

winmgmt /verifyrepository

Reconstruisez le dépôt WMI corrompu pour restaurer la fonctionnalité WMI correcte lorsque le redémarrage de service de base échoue.

1. Arrêtez tous les services dépendants de WMI et le service WMI :

Stop-Service -Name "Winmgmt" -Force
Stop-Service -Name "iphlpsvc" -Force
Stop-Service -Name "wscsvc" -Force

2. Accédez au répertoire du dépôt WMI et sauvegardez les fichiers existants :

cd C:\Windows\System32\wbem
Rename-Item -Path "Repository" -NewName "Repository_backup_$(Get-Date -Format 'yyyyMMdd_HHmmss')"
md Repository

3. Réinitialisez et reconstruisez le dépôt WMI :

winmgmt /resetrepository
winmgmt /regserver

4. Réenregistrez tous les fournisseurs WMI et les fichiers MOF :

Get-ChildItem -Path "C:\Windows\System32\wbem" -Filter "*.mof" | ForEach-Object { mofcomp $_.FullName }
Get-ChildItem -Path "C:\Windows\System32\wbem" -Filter "*.mfl" | ForEach-Object { mofcomp $_.FullName }

5. Redémarrez les services et vérifiez la fonctionnalité WMI :

Start-Service -Name "Winmgmt"
Start-Service -Name "iphlpsvc"
Start-Service -Name "wscsvc"
winmgmt /verifyrepository

Enquêter sur les problèmes de disque sous-jacents pouvant causer la corruption du référentiel WMI et l'instabilité du système.

1. Exécuter une vérification complète du disque sur le lecteur système :

chkdsk C: /f /r /x

2. Planifier la vérification du disque pour le prochain redémarrage si le lecteur est utilisé :

echo Y | chkdsk C: /f /r

3. Vérifier l'intégrité des fichiers système en utilisant SFC et DISM :

sfc /scannow
DISM /Online /Cleanup-Image /CheckHealth
DISM /Online /Cleanup-Image /ScanHealth
DISM /Online /Cleanup-Image /RestoreHealth

4. Vérifier les permissions des fichiers du référentiel WMI :

icacls "C:\Windows\System32\wbem\Repository" /T /C
Get-Acl "C:\Windows\System32\wbem\Repository" | Format-List

5. Vérifier l'espace disque disponible et nettoyer les fichiers temporaires :

Get-WmiObject -Class Win32_LogicalDisk -Filter "DriveType=3" | Select-Object DeviceID, @{Name="Size(GB)";Expression={[math]::Round($_.Size/1GB,2)}}, @{Name="FreeSpace(GB)";Expression={[math]::Round($_.FreeSpace/1GB,2)}}
Cleanmgr /sagerun:1

Identifier et résoudre les problèmes avec les fournisseurs WMI tiers qui peuvent causer des corruptions de dépôt ou des échecs de service.

1. Lister tous les fournisseurs WMI enregistrés et identifier ceux potentiellement problématiques :

Get-WmiObject -Namespace "root\cimv2" -Class "__Win32Provider" | Select-Object Name, CLSID, HostingModel | Sort-Object Name
Get-CimInstance -Namespace "root\cimv2" -ClassName "__ProviderRegistration" | Select-Object Provider

2. Vérifier les processus hôtes des fournisseurs WMI et l'utilisation des ressources :

Get-Process -Name "WmiPrvSE" -ErrorAction SilentlyContinue | Select-Object Id, ProcessName, WorkingSet, CPU
Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='WinMgmt'; Id=5858} -MaxEvents 20

3. Examiner les logiciels récemment installés qui peuvent avoir enregistré des fournisseurs WMI :

Get-WinEvent -FilterHashtable @{LogName='Application'; Id=11707,11708} -MaxEvents 50 | Where-Object {$_.TimeCreated -gt (Get-Date).AddDays(-7)}

4. Désactiver temporairement les fournisseurs tiers suspects pour les tests :

# Exemple : Désactiver un fournisseur spécifique (remplacer par le nom réel du fournisseur)
# Get-WmiObject -Namespace "root\cimv2" -Class "__Win32Provider" -Filter "Name='SuspiciousProvider'" | Remove-WmiObject

5. Réenregistrer les fournisseurs WMI de base de Windows :

regsvr32 /s %systemroot%\system32\wbem\wmiprvsd.dll
regsvr32 /s %systemroot%\system32\wbem\wmiprvse.exe
for /f %s in ('dir /b *.dll') do regsvr32 /s %s

Effectuer une analyse complète du registre et une enquête de sécurité pour les problèmes WMI persistants et les menaces de sécurité potentielles.

1. Sauvegarder et examiner les clés de registre liées à WMI :

reg export "HKLM\SOFTWARE\Microsoft\Wbem" "C:\temp\wbem_registry_backup.reg"
reg query "HKLM\SOFTWARE\Microsoft\Wbem\CIMOM" /s
reg query "HKLM\SYSTEM\CurrentControlSet\Services\Winmgmt" /s

2. Vérifier les événements de sécurité liés à WMI et l'activité potentielle de logiciels malveillants :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} | Where-Object {$_.Message -like "*wmic*" -or $_.Message -like "*winmgmt*"} | Select-Object TimeCreated, Id, LevelDisplayName, Message -First 20
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-WMI-Activity/Operational'} -MaxEvents 50

3. Analyser les enregistrements de consommateurs WMI pour les mécanismes de persistance :

Get-WmiObject -Namespace "root\subscription" -Class "__EventConsumer" | Select-Object Name, CreatorSID
Get-WmiObject -Namespace "root\subscription" -Class "__FilterToConsumerBinding" | Select-Object Filter, Consumer

4. Réinitialiser les descripteurs de sécurité et les permissions WMI :

winmgmt /resetsecurity
sc sdset winmgmt "D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)"

5. Effectuer une analyse complète du système et créer un rapport de diagnostic :

Get-ComputerInfo | Select-Object WindowsProductName, WindowsVersion, TotalPhysicalMemory
Get-WmiObject -Class Win32_ReliabilityRecords | Where-Object {$_.TimeGenerated -gt (Get-Date).AddDays(-7)} | Select-Object TimeGenerated, SourceName, Message
winmgmt /dump > C:\temp\wmi_dump.txt