Implementatie van het Microsoft Windows Hulpprogramma voor verwijderen van schadelijke software in een bedrijfsomgeving

De details overslaan en het hulpprogramma downloaden

• Windows Server Update Services
• SMS-softwarepakket (Microsoft Systems Management Software)
• Opstartscript voor computer op basis van groepsbeleid
• Aanmeldingsscript voor gebruiker op basis van groepsbeleid

• Windows Update-catalogus
• Uitvoering van het hulpprogramma op een externe computer
• SUS (Software Update Services)

Codevoorbeeld

• Het hulpprogramma wordt uitgevoerd in de stille modus.
• Het logboekbestand wordt gekopieerd naar een vooraf geconfigureerde netwerkshare.
• De naam van de computer van waaraf het hulpprogramma wordt uitgevoerd en de gebruikersnaam van de huidige gebruiker worden als voorvoegsel toegevoegd aan de naam van het logboekbestand. U moet de juiste machtigingen instellen voor de share. Zie hiervoor de instructies in de sectie Eerste setup en configuratie.

REM In dit voorbeeld heet het script RunMRT.cmd.
REM Het programma Sleep.exe wordt gebruikt om de uitvoering van het hulpprogramma te vertragen wanneer het wordt gebruikt als een 
REM opstartscript. Zie de sectie 'Bekende problemen' voor meer informatie.
@echo off
call \\Servernaam\Sharenaam\Sleep.exe.5
Start /wait \\ServerName\ShareName\Windows-KB890830-V4.20.exe /q

copy %windir%\debug\mrt.log \\Servernaam\Sharenaam\Logs\%computernaam%_%gebruikersnaam%_mrt.log

Initiële setup en configuratie

1. Definieer een share op een lidserver. Geef de share de naam sharenaam.
2. Kopieer het programma en het voorbeeldscript, RunMRT.cmd, naar de share. Zie de sectie Codevoorbeeld voor meer informatie.
3. Configureer de volgende machtigingen voor de share en het NTFS-bestandssysteem:
   • Sharemachtigingen:
     1. Voeg de domeingebruikersaccount toe voor de gebruiker die deze share beheert en klik op Volledig beheer.
     2. Verwijder de groep Iedereen.
     3. Als u gebruikmaakt van de methode met opstartscript, voegt u de groep Domeincomputers toe, samen met de machtigingen Wijzigen en Lezen.
     4. Als u gebruikmaakt van de methode met aanmeldingsscript, voegt u de groep Geverifieerde gebruikers toe, samen met de machtigingen Wijzigen en Lezen.
   • NTFS-machtigingen:
     1. Voeg de domeingebruikersaccount toe voor de gebruiker die deze share beheert en klik op Volledig beheer.
     2. Verwijder de groep Iedereen als deze voorkomt in de lijst.
        
        Opmerking Als u een foutbericht krijgt wanneer u de groep Iedereen verwijdert, opent u het tabblad Beveiliging, klikt u op Geavanceerd en schakelt u het selectievakje Overneembare machtigingen van bovenliggend object doorgeven aan dit object uit.
     3. Als u de methode met opstartscript gebruikt, geeft u de groep Domeincomputers de machtigingen Lezen en uitvoeren, Mapinhoud weergeven en Lezen.
     4. Als u de methode met aanmeldingsscript gebruikt, geeft u de groep Geverifieerde gebruikers de machtigingen Lezen en uitvoeren, Mapinhoud weergeven en Lezen.
4. Maak onder de map sharenaam een map met de naam Logs.
   
   Dit is de map waar de uiteindelijke logboekbestanden worden opgeslagen wanneer het hulpprogramma wordt uitgevoerd op de clientcomputers.
5. Ga als volgt te werk om de NTFS-machtigingen voor de map Logs te configureren.
   
   Opmerking Wijzig in deze stap niet de sharemachtigingen.
   1. Voeg de domeingebruikersaccount toe voor de gebruiker die deze share beheert en klik op Volledig beheer.
   2. Als u de methode met opstartscript gebruikt, geeft u de groep Domeincomputers de machtigingen Wijzigen, Lezen en uitvoeren, Mapinhoud weergeven, Lezen en Schrijven.
   3. Als u de methode met aanmeldingsscript gebruikt, geeft u de groep Geverifieerde gebruikers de machtigingen Wijzigen, Lezen en uitvoeren, Mapinhoud weergeven, Lezen en Schrijven.

Implementatiemethoden

Het SMS-softwarepakket gebruiken

1. Pak het bestand Mrt.exe in het pakket Windows-KB890830-V1.34-ENU.exe /x uit.
2. Maak een BAT-bestand om Mrt.exe te starten en de retourcode te onderscheppen met ISMIF32.exe.
   
   Bijvoorbeeld:

   @echo off
   Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe ?f MIFFILE ?p MIFNAME ?d "tekst over fout 13"
   Goto end
   
   :error13
   Ismif32.exe ?f MIFFILE ?p MIFNAME ?d "tekst over fout 12"
   Goto end
   
   :end
   

   Klik op de volgende artikelnummers, zodat de desbetreffende Microsoft Knowledge Base-artikelen worden weergegeven voor meer informatie over Ismif32.exe:
   268791

   (http://support.microsoft.com/kb/268791/ )

   Hoe een bestand van het type Status Management Information Format (MIF) dat is gemaakt door het bestand ISMIF32.exe wordt verwerkt in SMS 2.0 (Mogelijk alleen beschikbaar in het Engels)
   186415

   (http://support.microsoft.com/kb/186415/nl/ )

   Status MIF creator, Ismif32.exe is beschikbaar
3. Ga als volgt te werk om een pakket in de SMS 2003-console te maken:
   1. Open de Administrator-console van SMS.
   2. Klik met de rechtermuisknop op het knooppunt Packages, klik op New en klik op Package.
      
      Het dialoogvenster Package Properties wordt weergegeven.
   3. Ga naar het tabblad General en geef een naam op voor het pakket.
   4. Schakel op het tabblad Data Source het selectievakje This package contains source files in.
   5. Klik op Set en kies een bronmap met het hulpprogramma.
   6. Ga naar het tabblad Distribution Settings en stel Sending priority in op High.
   7. Open het tabblad Reporting, klik op Use these fields for status MIF matching en geef een naam op voor de velden MIF file name en Name.
      
      Version en Publisher zijn optioneel.
   8. Klik op OK om het pakket te maken.
4. Ga als volgt te werk om een distributiepunt (DP, Distribution Point) voor het pakket op te geven:
   1. Ga in de console van SMS 2003 onder het knooppunt Packages naar het nieuwe pakket.
   2. Vouw het pakket uit. Klik met de rechtermuisknop op Distribution Points, wijs New aan en klik op Distribution Points.
   3. Start de wizard New Distribution Points. Selecteer een bestaand distributiepunt.
   4. Klik op Finish om de wizard te sluiten.
5. Ga als volgt te werk om het batchbestand toe te voegen dat in het nieuwe pakket is gemaakt:
   1. Klik onder het knooppunt van het nieuwe pakket op het knooppunt Programs.
   2. Klik met de rechtermuisknop op Programs, wijs Nieuw aan en klik op Program.
   3. Open het tabblad General en voer een geldige naam in.
   4. Klik bij Command line op Browse om het batchbestand te selecteren waarmee u Mrt.exe wilt starten.
   5. Wijzig de optie Run in Hidden. Wijzig de optie After in No action required.
   6. Open het tabblad Requirements en klik op This program can run only on specified client platforms.
   7. Klik op All x86 Windows Server 2003en All x86 Windows XP.
   8. Open het tabblad Environment, klik op Whether a user is logged in de lijst Program can run. Stel de uitvoermodus in op Run with administrative rights.
   9. Klik op OK om het dialoogvenster te sluiten.
6. Ga als volgt te werk om een advertentie op te stellen om het programma aan te kondigen bij clients:
   1. Klik met de rechtermuisknop op het knooppunt Advertisement, klik op New en klik op Advertisement.
   2. Voer op het tabblad General een naam in voor de advertentie. Selecteer in het veld Package het pakket dat u eerder hebt samengesteld. Selecteer vervolgens in het veld Program het programma dat u eerder hebt gemaakt. Klik op Browse en klik op de verzameling All System of selecteer een verzameling computers die uitsluitend Microsoft Windows XP en latere versies bevat.
   3. Laat op het tabblad Schedule de standaardopties ongewijzigd als u het programma maar één keer wilt uitvoeren. Als u het programma wilt uitvoeren volgens een schema, wijst u een schema-interval toe.
   4. Stel de Priority in op High.
   5. Klik op OK om de advertentie te maken.

Het gebruik van een opstartscript voor de computer gebaseerd op een groepsbeleid

1. Stel de shares in. Voer de stappen in de sectie Eerste setup en configuratie uit.
2. Definieer het opstartscript. Ga hiervoor als volgt te werk:
   1. Klik in de module MMC van Active Directory: gebruikers en computers met de rechtermuisknop op de domeinnaam en klik op Eigenschappen.
   2. Open het tabblad Groepsbeleid.
   3. Klik op Nieuw om een nieuw groepsbeleidobject te maken en geef het beleid de naam MRT Deployment.
   4. Klik op het nieuwe beleid en klik op Bewerken.
   5. Vouw Windows Settings for Computer Configuration uit en klik op Scripts.
   6. Dubbelklik op Logon en klik op Add.
      
      Het dialoogvenster Add a Script wordt geopend.
   7. Typ in het vak Script Name\\servernaam\sharenaam\RunMRT.cmd.
   8. Klik op OK en klik op Apply.
3. Start de clientcomputers die lid zijn van dit domein opnieuw op.

Het gebruik van een aanmeldingsscript voor de gebruiker op basis van een groepsbeleid

1. Stel de shares in. Voer de stappen in de sectie Eerste setup en configuratie uit.
2. Definieer het aanmeldingsscript. Ga hiervoor als volgt te werk:
   1. Klik in de module MMC van Active Directory: gebruikers en computers met de rechtermuisknop op de domeinnaam en klik op Eigenschappen.
   2. Open het tabblad Groepsbeleid.
   3. Klik op Nieuw om een nieuw groepsbeleidobject te maken en geef het object de naam MRT Deployment.
   4. Klik op het nieuwe beleid en klik op Bewerken.
   5. Vouw Windows Settings for User Configuration uit en klik op Scripts.
   6. Dubbelklik op Logon en klik op Add. Het dialoogvenster Add a Script wordt geopend.
   7. Typ in het vak Script Name\\servernaam\sharenaam\RunMRT.cmd.
   8. Klik op OK en klik op Apply.
3. Meld u af en weer aan bij de clientcomputers.

Aanvullende informatie betreffende implementatie binnen een onderneming

Retourcodes inspecteren

De logboekbestanden parseren

• Dit logboekbestand is alleen beschikbaar in het Engels.
• Vanaf versie 1.2 (maart 2005) van het hulpprogramma maakt het logboekbestand gebruik van Unicode-tekst. Vóór versie 1.2 werd gebruikgemaakt van ANSI-tekst.
• De indeling van het logboekbestand is in versie 1.2 gewijzigd. Het is raadzaam de laatste versie van het hulpprogramma te downloaden en te gebruiken.
  
  Als het logboekbestand al bestaat, worden de nieuwe gegevens toegevoegd aan het bestaande bestand.
• Met behulp van een script zoals dat uit het eerdere voorbeeld kunt u de retourcode vastleggen en de bestanden opslaan op een netwerkshare.
• Door de overschakeling van ANSI naar Unicode kopieert versie 1.2 van het verwijderingsprogramma alle ANSI-versies van het bestand Mrt.log in de map %windir%\debug naar Mrt.log.old in dezelfde map. Er wordt in diezelfde map ook een nieuwe Unicode-versie gemaakt van het bestand Mrt.log. Dit logboekbestand wordt net als de ANSI-versie toegevoegd aan elke maandelijkse versie.

Microsoft Windows Malicious Software Removal Tool v1.28, April 2007 Started On Mon Mar 19 13:15:07 2007
 
Quick Scan Results: ---------------- Found virus: Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe Found virus: Win32/Sasser.A.worm in regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus: Win32/Sasser.A.worm in runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus: Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe
 
Quick Scan Removal Results ---------------- Start 'remove' for regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded !
 
Start 'remove' for runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded !
 
Start 'remove' for file://\\?\C:\WINDOWS\avserve.exe Operation succeeded !
 
Results Summary: ---------------- Found Win32/Sasser.A.worm and Removed!
 
Return code: 6 Microsoft Windows Malicious Software Removal Tool Finished On Mon Mar 19 13:15:57 2007

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:19:01 2002
 
Results Summary: ---------------- No infection found.
 
Return code: 0 Microsoft Windows Malicious Software Removal Tool Finished On Wed May 01 21:19:05 2002

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:27:57 2002
 
Scanning Results: ---------------- Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in process 1880 Found virus: Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus: Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe
 
Removal Results: ---------------- Terminating process with pid 1880 ->Sysclean ERROR: Failed to kill process with PID: 1880 (Win32 Error Code: 0x00000102 (258):The wait operation timed out.) [697] Operation failed !
 
Terminating process with pid 1880 Operation had previously completed.
 
Terminating process with pid 1880 Operation had previously completed.
 
Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices, entry: WinSec Operation succeeded !
 
Terminating process with pid 1880 Operation had previously completed.
 
Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, entry: WinSec Operation succeeded !
 
Writing in file C:\WINDOWS\system32\drivers\etc\hosts Operation succeeded !
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation succeeded !
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed.
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed.
 

Results Summary: ---------------- For cleaning Win32/HLLW.Gaobot.ZF, the system must be restarted. Found Win32/HLLW.Gaobot.ZF, partially removed.

Bekende problemen

Bekend probleem 1

Bekend probleem 2

Veelgestelde vragen

Naar boven | Geef ons feedback