Implementar la Herramienta de eliminación de software malintencionado de Windows en un entorno empresarial (KB891716)

Cómo usar el paquete de software SMS

En el siguiente ejemplo se proporcionan instrucciones paso a paso para el uso de SMS 2003. Los pasos para usar SMS 2.0 son parecidos a estos.

1. Extraer el archivo Mrt.exe del paquete denominado Windows-KB890830-V5.123.exe /x.

2. Cree un archivo .bat para iniciar Mrt.exe y capturar el código de retorno mediante ISMIF32.exe.
   
   A continuación puede ver un ejemplo.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Para obtener más información acerca de Ismif32.exe, consulte el artículo siguiente en Microsoft Knowledge Base:

   268791 Cómo se procesan en SMS 2.0 los archivos MIF (formato de información de administración) de estado generados por el archivo ISMIF32.exe

   186415 Ya está disponible la herramienta Status MIF Creator (Ismif32.exe)

3. Para crear un paquete en la consola de SMS 2003, siga estos pasos:

   1. Abra la Consola de administrador de SMS.

   2. Haga clic con el botón derecho en el nodo Paquetes, seleccione Nuevo y, a continuación, seleccione Paquete.
      
      Se mostrará el cuadro de diálogo Package Properties.

   3. En la pestaña General, asigne un nombre al paquete.

   4. En la pestaña Origen de datos, seleccione la casilla Este paquete contiene archivos de código fuente.

   5. Seleccione Establecer y, a continuación, elija el directorio de origen que contiene la herramienta.

   6. En la pestaña Configuración de distribución, establezca Prioridad de envío en Alta.

   7. En la pestaña Informes, seleccione Usar estos campos para la coincidencia con MIF de estado y especifique un nombre para los campos Nombre de archivo MIF y
      Nombre.
      
      Los campos Versión y Editor son opcionales.

   8. Seleccione en Aceptar para crear el paquete.

4. Para especificar un Punto de distribución para el paquete, siga estos pasos:

   1. En la consola de SMS 2003, busque el paquete nuevo bajo el nodo Paquetes.

   2. Expanda el paquete. Seleccione con el botón derecho Puntos de distribución, ponga el cursor sobre Nuevo y, a continuación, seleccione Puntos de distribución.

   3. Inicie el Asistente para nuevos puntos de distribución. Seleccione un punto de distribución existente.

   4. Seleccione Finalizar para salir del asistente.

5. Para agregar al nuevo paquete el archivo por lotes creado anteriormente, siga estos pasos:

   1. En el nodo del nuevo paquete, seleccione el nodo Programas.

   2. Seleccione Programas con el botón derecho, ponga el cursor sobre Nuevo y, a continuación, seleccione Programa.

   3. Seleccione la pestaña General y escriba un nombre válido.

   4. En la Línea de comandos, seleccione Examinar para seleccionar el archivo por lotes que creó para iniciar Mrt.exe.

   5. Cambie Ejecutar a Oculto. Cambie la opción Después de a No se requiere ninguna acción.

   6. Seleccione la pestaña Requisitos y active la opción Este programa solo se puede ejecutar en sistemas operativos cliente especificados.

   7. Seleccione Todo Windows XP x86.

   8. Seleccione la pestaña Entorno, seleccione Haya iniciado sesión el usuario o no en la lista El programa se puede ejecutar. Establezca el modo Ejecutar en Ejecutar con derechos administrativos.

   9. Seleccione Aceptar para cerrar el cuadro de diálogo Correo.

6. Para crear un anuncio del programa a los clientes, siga estos pasos:

   1. Seleccione con el botón derecho en el nodo Anuncio, seleccione Nuevo y, a continuación, seleccione Anuncio.

   2. En la pestaña General, escriba el nombre del anuncio. En el campo Paquete, seleccione el paquete que creó anteriormente. En el campo Programa, seleccione el programa que creó anteriormente. Seleccione Examinar y luego seleccione la colección Todo el sistema o una colección de equipos que solo incluya Windows Vista y versiones posteriores.

   3. En la pestaña Programación, deje las opciones predeterminadas si desea que el programa se ejecute solo una vez. Para ejecutar el programa según una programación, asigne un intervalo de programación.

   4. Establezca Prioridad en Alta.

   5. Seleccione Aceptar para crear el anuncio.

Cómo usar un script de inicio del equipo basado en directivas de grupo

Este método requiere reiniciar el equipo cliente después de configurar el script y aplicar la configuración de Directiva de grupo.

1. Configure los recursos compartidos. Para ello, siga los pasos de la sección Instalación y configuración iniciales.

2. Configure el script de inicio. Para ello, siga estos pasos:

   1. En el complemento MMC Usuarios y equipos de Active Directory, seleccione con el botón derecho el nombre de dominio y, luego, Propiedades.

   2. Seleccione la pestaña Directiva de grupo.

   3. Seleccione Nuevo para crear un objeto de directiva de grupo (GPO) nuevo y escriba Implementación de MRT como nombre de la directiva.

   4. Seleccione la nueva directiva y luego Editar.

   5. Expanda Configuración de Windows en Configuración del equipo y seleccione Scripts.

   6. Seleccione dos veces Inicio de sesión y, a continuación, seleccione Agregar.
                      
      Se mostrará el cuadro de diálogo Agregar un script.

   7. En el cuadro Script Name, escriba \\ServerName\ShareName\RunMRT.cmd.

   8. Seleccione Aceptar y, a continuación, seleccione Aplicar.

3. Reinicie los equipos cliente que sean miembros de este dominio.

Cómo usar un script de inicio de sesión del usuario basado en directivas de grupo

Este método requiere que la cuenta de inicio de sesión de usuario sea una cuenta de dominio y miembro del grupo local de administradores en el equipo cliente.

1. Configure los recursos compartidos. Para ello, siga los pasos de la sección
   Instalación y configuración iniciales.

2. Configure el script de inicio de sesión. Para ello, siga estos pasos:

   1. En el complemento MMC Usuarios y equipos de Active Directory, seleccione con el botón derecho el nombre de dominio y, luego, Propiedades.

   2. Seleccione la pestaña Directiva de grupo.

   3. Seleccione Nuevo para crear un nuevo GPO y escriba Implementación de MRT como nombre.

   4. Seleccione la nueva directiva y luego Editar.

   5. Expanda Configuración de Windows en Configuración de usuario y selecione Scripts.

   6. Seleccione dos veces Inicio de sesión y, a continuación, seleccione Agregar. Se mostrará el cuadro de diálogo Agregar un script.

   7. En el cuadro Script Name, escriba \\ServerName\ShareName\RunMRT.cmd.

   8. Seleccione Aceptar y, a continuación, seleccione Aplicar.

3. Cierre la sesión y vuelva a iniciarla en los equipos cliente.

En esta situación, el script y la herramienta se ejecutarán bajo el contexto del usuario que inició sesión. Si este usuario no pertenece al grupo local Administradores o no tiene permisos suficientes, la herramienta no se ejecutará ni devolverá el código de retorno apropiado. Para obtener más información acerca de cómo usar los scripts de inicio del equipo e inicio de sesión, vaya al artículo siguiente en Microsoft Knowledge Base:

198642 Información general de los scripts de inicio de sesión, cierre de sesión, inicio del equipo o apagado del equipo en Windows 2000

322241 Cómo asignar scripts en Windows 2000

Cómo examinar los códigos de retorno

Puede examinar el código de retorno de la herramienta en el script de inicio de sesión o de inicio del equipo de la implementación para comprobar los resultados de la ejecución. Consulte la sección Código de ejemplo para ver un ejemplo de cómo hacerlo.

La lista siguiente contiene los códigos de retorno válidos.

Cómo analizar el archivo de registro

La Herramienta de eliminación de software malintencionado escribe información acerca del resultado de su ejecución en el archivo de registro %windir%\debug\mrt.log.

Notas

• Este archivo de registro solo está disponible en inglés.

• A partir de la versión 1.2 de la herramienta de eliminación (marzo de 2005), este archivo de registro utiliza texto Unicode. Antes de la versión 1.2, el archivo de registro utilizaba texto ANSI.

• El formato del archivo de registro ha cambiado con la versión 1.2. Se recomienda descargar y utilizar la versión más reciente de la herramienta.
  
  Si el archivo de registro ya existe, la herramienta anexará la información al archivo existente.

• Puede utilizar una secuencia de comandos similar al ejemplo anterior para capturar el código de retorno y recopilar los archivos en un recurso compartido de red.

• Debido al cambio de ANSI a Unicode, la versión 1.2 de la herramienta de eliminación copiará las versiones ANSI del archivo Mrt.log de la carpeta %windir%\debug a Mrt.log.old en el mismo directorio. La versión 1.2 también creará una nueva versión Unicode del archivo Mrt.log en ese mismo directorio. Al igual que en la versión ANSI, este archivo de registro se anexará al lanzamiento de cada mes.

El ejemplo siguiente es un archivo Mrt.log proveniente de un equipo infectado con el gusano MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

El siguiente es un archivo de registro de ejemplo de un análisis en el que no se encontró software malintencionado.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Lo siguiente es un archivo de registro de ejemplo de un análisis en el que se encontraron errores.

Para obtener más información sobre las advertencias y los errores que muestra la herramienta, vaya al artículo siguiente en Microsoft Knowledge Base:

891717 Cómo solucionar un error al ejecutar la herramienta de eliminación de software malintencionado de Microsoft Windows La Herramienta de eliminación de software malintencionado de Microsoft Windows v5.3 de agosto de 2013 (compilación 5.3.9300.0) comenzó el viernes 2 de agosto 2013 a las 16:17:49, resultados del examen: ------------- Amenazas detectadas: Virus:Win32/MPTestFile.2004, parcialmente quitado. Error en la operación. Acción: Limpiar, Resultado: 0x8007065E. Use un producto antivirus completo. ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Resumen de los resultados: ---------------- Virus encontrado:Win32/MPTestFile.2004, parcialmente eliminado. La Herramienta de eliminación de software malintencionado de Microsoft Windows terminó el viernes, 16 de agosto de 2013 a las 16:18:09, código de devolución: 7 (0x7)

Problema conocido 1

Al ejecutar la herramienta mediante un script de inicio del equipo, es posible que mensajes de error similares a los siguientes se anoten en el archivo Mrt.log:
 

Nota El número de PID variará.

Este mensaje de error se produce cuando un proceso se está iniciando o se ha detenido recientemente. El único efecto es que el proceso designado por el PID no se ha analizado.

Problema conocido 2

En algunas ocasiones excepcionales, si el administrador elige implementar la herramienta MSRT con el modificador /q quiet (conocido también como modo silencioso), puede que no se resuelva completamente la limpieza para un pequeño subconjunto de infecciones en situaciones en las que se requiere un procedimiento de limpieza adicional tras reiniciar. Este problema solamente se ha observado en la eliminación de determinadas variantes de rootkit.