Déploiement de l'Outil de suppression de logiciels malveillants Microsoft Windows dans un environnement d'entreprise

Ignorer les détails et télécharger l'outil

• Windows Server Update Services ;
• package logiciel Microsoft Systems Management Software (SMS) ;
• script de démarrage d'ordinateur basé sur la Stratégie de groupe ;
• script d'ouverture de session utilisateur basé sur la Stratégie de groupe.

• catalogue Windows Update ;
• exécution de l'outil sur un ordinateur distant ;
• Software Update Services (SUS).

Exemple de code

• exécution de l'outil en mode silencieux ;
• copie du fichier journal sur un partage réseau préconfiguré ;
• ajout du nom de l'utilisateur actuel et du nom de l'ordinateur sur lequel l'outil est exécuté au nom du fichier journal, en guise de préfixe. Vous devez définir des autorisations appropriées sur le partage conformément aux instructions de la section Installation et configuration initiales.

REM Dans cet exemple, le script est nommé RunMRT.cmd.
REM L'utilitaire Sleep.exe est utilisé pour différer l'exécution de l'outil lorsqu'il est utilisé en tant que 
REM script de démarrage. Reportez-vous à la section « Problèmes connus » pour obtenir des informations supplémentaires.
@echo off
call \\ServerName\ShareName\Sleep.exe 5
Start /wait \\ServerName\ShareName\Windows-KB890830-V4.20.exe /q

copy %windir%\debug\mrt.log \\ServerName\ShareName\Logs\%computername%_%username%_mrt.log

Installation et configuration initiales

1. Configurez un partage sur un serveur membre. Nommez ce partage ShareName.
2. Copiez l'outil et l'exemple de code, RunMRT.cmd, sur le partage. Reportez-vous à la section Exemple de code pour obtenir des informations supplémentaires.
3. Configurez les autorisations de partage et les autorisations de système de fichiers NTFS suivantes :
   • Autorisations de partage :
     1. Ajoutez le compte d'utilisateur du domaine associé à l'utilisateur qui gère ce partage, puis cliquez sur Contrôle total.
     2. Supprimez le groupe Tout le monde.
     3. Si vous utilisez la méthode basée sur un script de démarrage de l'ordinateur, ajoutez le groupe Ordinateurs du domaine en lui attribuant les autorisations de modification et de lecture.
     4. Si vous utilisez la méthode basée sur un script d'ouverture de session, ajoutez le groupe Utilisateurs authentifiés en lui octroyant les autorisations Modification et Lecture.
   • Autorisations NTFS :
     1. Ajoutez le compte d'utilisateur du domaine associé à l'utilisateur qui gère ce partage, puis cliquez sur Contrôle total.
     2. Supprimez le groupe Tout le monde s'il figure dans la liste.
        
        Remarque Si une erreur s'affiche lors de la suppression du groupe Tout le monde, cliquez sur le bouton Avancé sous l'onglet Sécurité, puis désactivez la case à cocher Permettre aux autorisations pouvant être héritées du parent d'être propagées à cet objet.
     3. Si vous utilisez la méthode basée sur un script de démarrage de l'ordinateur, accordez au groupe Ordinateurs du domaine les autorisations Lecture et exécution, Afficher le contenu du dossier et Lecture.
     4. Si vous utilisez la méthode basée sur un script d'ouverture de session, accordez au groupe Utilisateurs authentifiés les autorisations Lecture et exécution, Afficher le contenu du dossier et Lecture.
4. Sous le dossier Nom_Partage, créez un dossier nommé « Logs ».
   
   Il s'agit du dossier dans lequel seront enregistrés les fichiers journaux finals après l'exécution de l'outil sur les ordinateurs clients.
5. Pour configurer les autorisations NTFS sur le dossier Logs, procédez comme suit.
   
   Remarque Ne modifiez pas les permissions de partage ici.
   1. Ajoutez le compte d'utilisateur du domaine associé à l'utilisateur qui gère ce partage, puis cliquez sur Contrôle total.
   2. Si vous utilisez la méthode basée sur un script de démarrage de l'ordinateur, accordez au groupe Ordinateurs du domaine les autorisations Modification, « Lecture & exécution », Afficher le contenu du dossier, Lecture et Écriture.
   3. Si vous utilisez la méthode basée sur un script d'ouverture de session, accordez au groupe Utilisateurs authentifiés les autorisations Modification, « Lecture & exécution », Afficher le contenu du dossier, Lecture et Écriture.

Méthodes de déploiement

Procédure d'utilisation du package logiciel SMS

1. Extrayez le fichier Mrt.exe à partir du package Windows-KB890830-V1.34-ENU.exe /x.
2. Créez un fichier .bat pour démarrer Mrt.exe et capturer le code de retour à l'aide de ISMIF32.exe.
   
   Voici un exemple.

   @echo off
   Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error13
   Goto end
   
   :error13
   Ismif32.exe ?f MIFFILE ?p MIFNAME ?d ?text about error 13?
   Goto end
   
   :error12
   Ismif32.exe ?f MIFFILE ?p MIFNAME ?d ?text about error 12?
   Goto end
   
   :end
   

   Pour plus d'informations sur Ismif32.exe, cliquez sur les numéros ci-dessous pour afficher les articles correspondants dans la Base de connaissances Microsoft.
   268791

   (http://support.microsoft.com/kb/268791/fr/ )

   Comment un fichier MIF (Management Information Format) d'état produit par le fichier ISMIF32.exe est traité dans SMS 2.0
   186415

   (http://support.microsoft.com/kb/186415/fr/ )

   Disponibilité du créateur MIF d'état, Ismif32.exe
3. Pour créer un package dans la console SMS 2003, procédez comme suit :
   1. Ouvrez la console Administrateur SMS.
   2. Cliquez avec le bouton droit sur le n?ud Lots, cliquez sur Nouveau, puis sur Lot.
      
      La boîte de dialogue Propriétés du package s'affiche.
   3. Sous l'onglet Général, nommez le package.
   4. Sous l'onglet Source de données, activez la case à cocher Ce lot contient des fichiers source.
   5. Cliquez sur Définir, puis sélectionnez un répertoire source contenant l'outil.
   6. Sous l'onglet Paramètres de distribution, donnez à la Priorité d'expédition la valeur Haute.
   7. Sous l'onglet Options de rapport, cliquez sur Utiliser ces champs pour la correspondance des fichiers MIF d'état, puis spécifiez un nom dans les champs Nom du fichier MIF et Nom.
      
      Les éléments Version et Éditeur sont facultatifs.
   8. Cliquez sur OK pour créer le package.
4. Pour spécifier un point de distribution du package, procédez comme suit :
   1. Dans la console SMS 2003, recherchez le nouveau package sous le n?ud Lots.
   2. Développez le package. Cliquez avec le bouton droit sur Points de distribution, pointez sur Nouveau, puis cliquez sur Points de distribution.
   3. Démarrez l'Assistant Nouveaux points de distribution. Sélectionnez un point de distribution existant.
   4. Cliquez sur Terminer pour fermer l'Assistant.
5. Pour ajouter au nouveau package le fichier de commandes créé précédemment, procédez comme suit :
   1. Sous le n?ud du nouveau package, cliquez sur le n?ud Programmes.
   2. Cliquez avec le bouton droit sur le n?ud Programmes, pointez sur Nouveau, puis cliquez sur Programme.
   3. Cliquez sur l'onglet Général, puis entrez un nom valide.
   4. Sur la Ligne de commande, cliquez sur Parcourir pour sélectionner le fichier de commandes créé pour démarrer Mrt.exe.
   5. Modifiez l'option Exécuter en Masqué. Modifiez l'option Après en Aucune action requise.
   6. Cliquez sur l'onglet Spécifications, puis sélectionnez l'option Ce programme ne peut s'exécuter que sur les plates-formes indiquées.
   7. Cliquez sur Tous les clients x86 Windows Server 2003 et Tous les clients x86 Windows XP.
   8. Cliquez sur l'onglet Environnement, puis sur Qu'un utilisateur ait ouvert une session ou non dans la liste Le programme peut s'exécuter. Donnez au mode d'exécution la valeur Exécuter avec les droits d'administration.
   9. Cliquez sur OK pour fermer la boîte de dialogue.
6. Pour créer une publication afin de publier le programme sur les clients, procédez comme suit :
   1. Cliquez avec le bouton droit sur le n?ud Publication, cliquez sur Nouveau, puis sur Publication.
   2. Sous l'onglet Général, entrez le nom à attribuer à la publication. Dans la zone Lot, sélectionnez le package créé précédemment. Dans le champ Programme, sélectionnez le programme créé précédemment. Cliquez sur Parcourir, puis sur le regroupement Tous les systèmes ou sélectionnez un regroupement d'ordinateurs qui n'inclut que Microsoft Windows XP et ses versions ultérieures.
   3. Sous l'onglet Calendrier, laissez les options par défaut si vous souhaitez que le programme ne s'exécute qu'une fois. Pour planifier l'exécution du programme, affectez un intervalle de planification.
   4. Donnez à la Priorité la valeur Haute.
   5. Cliquez sur OK pour créer la publication.

Procédure d'utilisation d'un script de démarrage d'ordinateur basé sur la Stratégie de groupe

1. Configurez les partages. Pour cela, suivez les étapes de la section Installation et configuration initiales.
2. Créez le script de démarrage. Pour cela, procédez comme suit :
   1. Dans le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory de la console MMC, cliquez avec le bouton droit sur le nom du domaine, puis cliquez sur Propriétés.
   2. Cliquez sur l'onglet Stratégie de groupe.
   3. Cliquez sur Nouveau pour créer un objet de stratégie de groupe (objet GPO) et nommez la stratégie Déploiement MRT.
   4. Cliquez sur la nouvelle stratégie, puis sur Modifier.
   5. Développez Configuration ordinateur, puis Paramètres Windows, puis cliquez sur Scripts.
   6. Double-cliquez sur Ouverture de session, puis cliquez sur Ajouter.
      
      La boîte de dialogue Ajout d'un script s'affiche.
   7. Dans la zone Nom du script, tapez \\ServerName\ShareName\RunMRT.cmd.
   8. Cliquez sur OK, puis sur Appliquer.
3. Redémarrez les ordinateurs clients membres de ce domaine.

Utilisation d'un script d'ouverture de session utilisateur basé sur la Stratégie de groupe

1. Configurez les partages. Pour cela, suivez les étapes de la section Installation et configuration initiales.
2. Créez le script d'ouverture de session. Pour cela, procédez comme suit :
   1. Dans le composant logiciel enfichable Utilisateurs et ordinateurs Active Directory de la console MMC, cliquez avec le bouton droit sur le nom du domaine, puis cliquez sur Propriétés.
   2. Cliquez sur l'onglet Stratégie de groupe.
   3. Cliquez sur Nouveau pour créer un objet de stratégie de groupe et donnez-lui le nom Déploiement MRT.
   4. Cliquez sur la nouvelle stratégie, puis sur Modifier.
   5. Développez Configuration utilisateur, puis Paramètres Windows et cliquez sur Scripts (ouverture/fermeture de session).
   6. Double-cliquez sur Ouverture de session, puis cliquez sur Ajouter. La boîte de dialogue Ajout d'un script s'affiche.
   7. Dans la zone Nom du script, tapez \\ServerName\ShareName\RunMRT.cmd.
   8. Cliquez sur OK, puis sur Appliquer.
3. Fermez la session, puis ouvrez une session sur les ordinateurs clients.

Informations supplémentaires concernant le déploiement en entreprise

Procédure pour examiner les codes de retour

Procédure pour analyser le fichier journal

• Ce fichier journal est disponible uniquement en anglais.
• À partir de la version 1.2 de l'outil de suppression (mars 2005), ce fichier journal utilise le texte Unicode. Avant la version 1.2, il utilisait le texte ANSI.
• Le format du fichier journal a changé avec la version 1.2. Il est recommandé de télécharger et utiliser la dernière version de l'outil.
  
  Si ce fichier journal existe déjà, l'outil ajoute les données au fichier existant.
• Vous pouvez utiliser un script de commandes semblable à l'exemple précédent pour capturer le code de retour et rassembler les fichiers sur un partage réseau.
• En raison du passage du format ANSI au format Unicode, la version 1.2 de l'outil de suppression copiera n'importe quelle version ANSI du fichier Mrt.log du dossier %windir%\debug dans le fichier Mrt.log.old dans le même répertoire. La version 1.2 crée également une nouvelle version Unicode du fichier Mrt.log dans le même répertoire. Comme la version ANSI, ce fichier journal sera ajouté à chaque publication mensuelle.

Microsoft Windows Malicious Software Removal Tool v1.28, April 2007 Started On Mon Mar 19 13:15:07 2007
 
Quick Scan Results: ---------------- Found virus: Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe Found virus: Win32/Sasser.A.worm in regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus: Win32/Sasser.A.worm in runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus: Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe
 
Quick Scan Removal Results ---------------- Start 'remove' for regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded !
 
Start 'remove' for runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded !
 
Start 'remove' for file://\\?\C:\WINDOWS\avserve.exe Operation succeeded !
 
Results Summary: ---------------- Found Win32/Sasser.A.worm and Removed!
 
Return code: 6 Microsoft Windows Malicious Software Removal Tool Finished On Mon Mar 19 13:15:57 2007

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:19:01 2002
 
Results Summary: ---------------- No infection found.
 
Return code: 0 Microsoft Windows Malicious Software Removal Tool Finished On Wed May 01 21:19:05 2002

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:27:57 2002
 
Scanning Results: ---------------- Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus: Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe
 
Removal Results: ---------------- Terminating process with pid 1880 ->Sysclean ERROR: Failed to kill process with PID: 1880 (Win32 Error Code: 0x00000102 (258):The wait operation timed out.) [697] Operation failed !
 
Terminating process with pid 1880 Operation had previously completed.
 
Terminating process with pid 1880 Operation had previously completed.
 
Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices, entry: WinSec Operation succeeded !
 
Terminating process with pid 1880 Operation had previously completed.
 
Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, entry: WinSec Operation succeeded !
 
Writing in file C:\WINDOWS\system32\drivers\etc\hosts Operation succeeded !
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation succeeded !
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed.
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed.
 

Results Summary: ---------------- For cleaning Win32/HLLW.Gaobot.ZF, the system must be restarted. Found Win32/HLLW.Gaobot.ZF, partially removed.

Problèmes connus

Problème connu 1

Problème connu 2

FOIRE AUX QUESTIONS

Retour au début | Envoyer des commentaires