En environnement d’entreprise, les solutions de sécurité de type Trend Micro (OfficeScan ou Apex One) sont configurées pour verrouiller toute modification par l’utilisateur. Cependant, en tant qu’administrateur système ou technicien support, il arrive fréquemment qu’un agent empêche le bon déroulement de l’installation d’une application métier ou d’une mise à jour critique, alors même que le mot de passe d’administration local n’est pas disponible sous la main.
Tuer les processus Trend Micro en ligne de commande
Lorsque l’icône de la barre des tâches refuse de se fermer et demande un mot de passe de déchargement (« Unload »), la solution la plus directe consiste à forcer l’arrêt des processus résidents via l’interpréteur de commandes. Pour cela, ouvrez une invite de commandes (CMD) en mode administrateur et exécutez les commandes suivantes :
- taskkill /F /IM TmListen.exe : interrompt le service d’écoute et de communication avec le serveur de gestion.
- taskkill /F /IM NTRtScan.exe : arrête le moteur d’analyse en temps réel (Real-Time Scan), qui est souvent celui qui verrouille les fichiers d’installation.
- taskkill /F /IM PccNTMon.exe : ferme l’interface graphique utilisateur et l’icône dans la barre des tâches.
- taskkill /F /IM OfcPfwSvc.exe : stoppe le composant pare-feu personnel (OfficeScan Personal Firewall).
- taskkill /F /IM TmCCSF.exe : termine le service de filtrage de contenu et de réputation Web si celui-ci est présent.
L’utilisation de taskkill fait partie de ces lignes de commandes indémodables sous Windows indispensables pour reprendre la main rapidement sur une machine récalcitrante, au même titre que les commandes permettant d’annuler ou tuer un job d’impression bloqué dans le spouleur.
Contourner l’autoprotection Trend Micro
Sur les versions récentes, le mécanisme d’autoprotection (Tamper Protection) de l’agent peut bloquer l’usage brutal de taskkill, retournant une erreur « Accès refusé ». Dans ce cas, plusieurs approches permettent de contourner le verrou :
1. Arrêt des services Windows associés
Avant d’utiliser taskkill, tentez d’ordonner l’arrêt propre des services Windows sous-jacents :
- net stop « OfficeScan NT Listener »
- net stop « OfficeScan NT RealTime Scan »
- net stop « OfficeScan Personal Firewall »
Si vous devez intervenir sur un serveur ou un poste sans écran, vous pouvez exécuter ces actions à distance en apprenant à accéder à Windows en ligne de commande à distance via PsExec ou WinRM.
2. L’astuce de la base de registre pour décharger sans mot de passe
Si les services redémarrent immédiatement ou refusent de s’arrêter, l’agent peut être rendu docile via le Registre Windows. Ouvrez regedit avec des privilèges élevés et naviguez jusqu’à la clé :
HKEY_LOCAL_MACHINE\SOFTWARE\TrendMicro\PC-cillinNTCorp\CurrentVersion\Misc. (ou sous WOW6432Node sur architecture 64 bits).
Modifiez la valeur DWORD nommée NoPwdProtect en lui attribuant la valeur 1. Cette modification désactive temporairement l’exigence de mot de passe : vous pouvez alors faire un clic droit sur l’icône Trend Micro dans la barre des tâches et choisir « Décharger l’agent » (« Unload OfficeScan ») sans qu’aucun code ne vous soit réclamé.
Remise en service de la protection
N’oubliez pas qu’un poste de travail non protégé expose le système d’information. Une fois votre logiciel installé ou votre test terminé, relancez les services arrêtés ou redémarrez simplement la machine pour que la stratégie de sécurité globale soit réappliquée par le serveur de supervision.