การปรับใช้เครื่องมือลบซอฟต์แวร์ที่เป็นอันตรายของ Windows ในสภาพแวดล้อมขององค์กร (KB891716)

วิธีใช้แพคเกจซอฟต์แวร์ SMS

ตัวอย่างต่อไปนี้มีคําแนะนําทีละขั้นตอนสําหรับการใช้ SMS 2003 ขั้นตอนสําหรับการใช้ SMS 2.0 จะคล้ายกับขั้นตอนเหล่านี้

1. แยกแฟ้ม Mrt.exe ออกจากแพคเกจที่ชื่อ Windows-KB890830-V5.123.exe /x

2. สร้างไฟล์ .bat เพื่อเริ่ม Mrt.exe และบันทึกรหัสการส่งคืนโดยใช้ ISMIF32.exe
   
   ต่อไปนี้เป็นตัวอย่าง

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   สําหรับข้อมูลเพิ่มเติมเกี่ยวกับ Ismif32.exe โปรดไปที่บทความต่อไปนี้ใน Microsoft Knowledge Base:

   268791 วิธีการที่แฟ้มข้อมูลการจัดการสถานะ (MIF) ผลิต โดยแฟ้ม ISMIF32.exe มีการประมวลผลใน SMS 2.0

   186415 ตัวสร้าง MIF สถานะ Ismif32.exe พร้อมใช้งาน

3. เมื่อต้องการสร้างแพคเกจในคอนโซล SMS 2003 ให้ทําตามขั้นตอนต่อไปนี้:

   1. เปิดคอนโซลผู้ดูแลระบบ SMS

   2. คลิกขวาที่โหนด แพคเกจ เลือก ใหม่ แล้วเลือก แพคเกจ
      
      กล่องโต้ตอบ คุณสมบัติแพคเกจ จะแสดงขึ้น

   3. บนแท็บ ทั่วไป ให้ตั้งชื่อแพคเกจ

   4. บนแท็บ แหล่งข้อมูล ให้เลือกเพื่อเลือกกล่องกาเครื่องหมาย แพคเกจนี้ประกอบด้วยไฟล์ต้นฉบับ

   5. เลือก ตั้งค่า แล้วเลือกไดเรกทอรีต้นทางที่มีเครื่องมือ

   6. บนแท็บ การตั้งค่าการแจกจ่าย ให้ตั้งค่า ลําดับความสําคัญของการส่ง เป็น สูง

   7. บนแท็บ การรายงาน ให้เลือก ใช้เขตข้อมูลเหล่านี้สําหรับการจับคู่ MIF สถานะ แล้วระบุชื่อสําหรับเขตข้อมูลชื่อไฟล์ MIF และสําหรับ
      เขตข้อมูลชื่อ
      
      เวอร์ชัน และ Publisher จะมีหรือไม่ก็ได้

   8. เลือก ตกลง เพื่อสร้างแพคเกจ

4. เมื่อต้องการระบุจุดแจกจ่าย (DP) ไปยังแพคเกจ ให้ทําตามขั้นตอนเหล่านี้:

   1. ในคอนโซล SMS 2003 ค้นหาแพคเกจใหม่ภายใต้โหนดแพคเกจ

   2. ขยายแพคเกจ คลิกขวาที่ จุดแจกจ่าย ชี้ไปที่ ใหม่ แล้วเลือก จุดแจกจ่าย

   3. เริ่มตัวช่วยสร้างจุดแจกจ่ายใหม่ เลือกจุดแจกจ่ายที่มีอยู่

   4. เลือก เสร็จสิ้น เพื่อออกจากตัวช่วยสร้าง

5. เมื่อต้องการเพิ่มไฟล์ชุดการโยกย้ายที่เคยสร้างไว้ในแพคเกจใหม่ ให้ทําตามขั้นตอนเหล่านี้:

   1. ภายใต้โหนดแพคเกจใหม่ ให้เลือกโหนด โปรแกรม

   2. คลิกขวาที่ โปรแกรม ชี้ไปที่ ใหม่ แล้วเลือก โปรแกรม

   3. เลือกแท็บ ทั่วไป แล้วใส่ชื่อที่ถูกต้อง

   4. ที่ บรรทัดคําสั่ง ให้เลือก เรียกดู เพื่อเลือกไฟล์ชุดคําสั่งที่คุณสร้างขึ้นเพื่อเริ่ม Mrt.exe

   5. เปลี่ยน เรียกใช้ เป็น ซ่อน เปลี่ยน หลังจาก เป็น ไม่ต้อง ดําเนินการ

   6. เลือกแท็บ ความต้องการ แล้วเลือก โปรแกรมนี้สามารถทํางานบนระบบปฏิบัติการไคลเอ็นต์ที่ระบุเท่านั้น

   7. เลือก x86 Windows XP ทั้งหมด

   8. เลือกแท็บ สภาพแวดล้อม เลือกว่าผู้ใช้ถูกบันทึก ไว้ในรายการ โปรแกรมสามารถเรียกใช้ หรือไม่ ตั้งค่าโหมดเรียกใช้เป็น เรียกใช้ด้วยสิทธิ์ระดับผู้ดูแลระบบ

   9. เลือก ตกลง เพื่อปิดกล่องโต้ตอบ

6. เมื่อต้องการสร้างโฆษณาเพื่อโฆษณาโปรแกรมกับไคลเอ็นต์ ให้ทําตามขั้นตอนเหล่านี้:

   1. คลิกขวาที่โหนด โฆษณา เลือก ใหม่ แล้วเลือก โฆษณา

   2. บนแท็บ ทั่วไป ให้ป้อนชื่อสําหรับโฆษณา ในฟิลด์ แพคเกจ ให้เลือกแพคเกจที่คุณสร้างไว้ก่อนหน้านี้ ในฟิลด์ โปรแกรม ให้เลือกโปรแกรมที่คุณสร้างไว้ก่อนหน้านี้ เลือก เรียกดู แล้วเลือกคอลเลกชัน ระบบทั้งหมด หรือเลือกคอลเลกชันของคอมพิวเตอร์ที่มี Windows Vista และรุ่นที่ใหม่กว่าเท่านั้น

   3. บนแท็บ กําหนดการ ให้ปล่อยตัวเลือกเริ่มต้นไว้ ถ้าคุณต้องการให้โปรแกรมทํางานเพียงครั้งเดียว เมื่อต้องการรันโปรแกรมตามกําหนดการ ให้กําหนดช่วงเวลากําหนดการ

   4. ตั้งค่า ลําดับความสําคัญ เป็น สูง

   5. เลือก ตกลง เพื่อสร้างโฆษณา

วิธีใช้สคริปต์การเริ่มต้นระบบคอมพิวเตอร์ที่ใช้ นโยบายกลุ่ม

วิธีนี้กําหนดให้คุณต้องรีสตาร์ตคอมพิวเตอร์ไคลเอนต์หลังจากที่คุณตั้งค่าสคริปต์ และหลังจากที่คุณใช้การตั้งค่านโยบายกลุ่ม

1. ตั้งค่าการใช้ร่วมกัน เมื่อต้องการทําเช่นนี้ ให้ทําตามขั้นตอนในส่วน การตั้งค่าและการกําหนดค่าเริ่มต้น

2. ตั้งค่าสคริปต์เริ่มต้นระบบ เมื่อต้องการดำเนินการดังกล่าวนี้ ให้ปฏิบัติตามขั้นตอนต่อไปนี้:

   1. ในสแนปอิน MMC ผู้ใช้และคอมพิวเตอร์ Active Directory ให้คลิกขวาที่ชื่อโดเมน แล้วเลือก คุณสมบัติ

   2. เลือกแท็บ นโยบายกลุ่ม

   3. เลือก ใหม่ เพื่อสร้าง นโยบายกลุ่ม Object (GPO) ใหม่ และพิมพ์ การปรับใช้ MRT สําหรับชื่อของนโยบาย

   4. เลือกนโยบายใหม่ แล้วเลือก แก้ไข

   5. ขยาย การตั้งค่า Windows สําหรับ การกําหนดค่าคอมพิวเตอร์ แล้วเลือก สคริปต์

   6. เลือก เข้าสู่ระบบ สองครั้ง จากนั้นเลือก เพิ่ม
      
      กล่องโต้ตอบ เพิ่มสคริปต์ จะปรากฏขึ้น

   7. ในกล่อง ชื่อสคริปต์ ให้พิมพ์ \\ServerName\ShareName\RunMRT.cmd

   8. เลือก ตกลง แล้วเลือก นําไปใช้

3. รีสตาร์ตคอมพิวเตอร์ไคลเอนต์ที่เป็นสมาชิกของโดเมนนี้

วิธีใช้สคริปต์การเข้าสู่ระบบของผู้ใช้ตามนโยบายกลุ่ม

วิธีนี้กําหนดให้บัญชีผู้ใช้เข้าสู่ระบบเป็นบัญชีโดเมนและเป็นสมาชิกของกลุ่มผู้ดูแลระบบภายในบนคอมพิวเตอร์ไคลเอ็นต์

1. ตั้งค่าการใช้ร่วมกัน เมื่อต้องการทําเช่นนี้ ให้ทําตามขั้นตอนในส่วน
   การตั้งค่าและการกําหนดค่าเริ่มต้น

2. ตั้งค่าสคริปต์การเข้าสู่ระบบ เมื่อต้องการดำเนินการดังกล่าวนี้ ให้ปฏิบัติตามขั้นตอนต่อไปนี้:

   1. ในสแนปอิน MMC ผู้ใช้และคอมพิวเตอร์ Active Directory ให้คลิกขวาที่ชื่อโดเมน แล้วเลือก คุณสมบัติ

   2. เลือกแท็บ นโยบายกลุ่ม

   3. เลือก ใหม่ เพื่อสร้าง GPO ใหม่ แล้วพิมพ์ การปรับใช้ MRT สําหรับชื่อ

   4. เลือกนโยบายใหม่ แล้วเลือก แก้ไข

   5. ขยาย การตั้งค่า Windows สําหรับการกําหนดค่าผู้ใช้ แล้วเลือก สคริปต์

   6. เลือก เข้าสู่ระบบ สองครั้ง จากนั้นเลือก เพิ่ม กล่องโต้ตอบ เพิ่มสคริปต์ จะปรากฏขึ้น

   7. ในกล่อง ชื่อสคริปต์ ให้พิมพ์ \\ServerName\ShareName\RunMRT.cmd

   8. เลือก ตกลง แล้วเลือก นําไปใช้

3. ออกจากระบบ แล้วล็อกออนเข้าสู่คอมพิวเตอร์ไคลเอนต์

ในสถานการณ์นี้ สคริปต์และเครื่องมือจะทํางานภายใต้บริบทของผู้ใช้ที่เข้าสู่ระบบ ถ้าผู้ใช้นี้ไม่ได้เป็นสมาชิกของกลุ่มผู้ดูแลระบบภายใน หรือไม่มีสิทธิ์ที่เพียงพอ เครื่องมือจะไม่ทํางานและจะไม่ส่งคืนรหัสการส่งคืนที่เหมาะสม สําหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีใช้สคริปต์การเริ่มต้นระบบและสคริปต์การเข้าสู่ระบบ ให้ไปที่บทความต่อไปนี้ใน Microsoft Knowledge Base:

198642 ภาพรวมของสคริปต์การเข้าสู่ระบบ การออกจากระบบ การเริ่มต้นระบบ และการปิดเครื่องใน Windows 2000

322241 วิธีกําหนดสคริปต์ใน Windows 2000

วิธีตรวจสอบรหัสการส่งคืน

คุณสามารถตรวจสอบรหัสการส่งคืนของเครื่องมือในสคริปต์การเข้าสู่ระบบการปรับใช้ของคุณหรือในสคริปต์การเริ่มต้นการปรับใช้ของคุณเพื่อตรวจสอบผลลัพธ์ของการดําเนินการ ดูส่วน ตัวอย่างโค้ด สําหรับตัวอย่างของวิธีการทําเช่นนี้

รายการต่อไปนี้มีรหัสการส่งคืนที่ถูกต้อง

วิธีการแยกวิเคราะห์แฟ้มบันทึก

เครื่องมือลบซอฟต์แวร์ที่เป็นอันตรายเขียนรายละเอียดเกี่ยวกับผลลัพธ์ของการดําเนินการในไฟล์บันทึก %windir%\debug\mrt.log

หมาย เหตุ

• ไฟล์บันทึกนี้มีเฉพาะในภาษาอังกฤษเท่านั้น

• เริ่มต้นด้วยเวอร์ชัน 1.2 ของเครื่องมือการเอาออก (มีนาคม 2005) ไฟล์บันทึกนี้ใช้ข้อความ Unicode ก่อนเวอร์ชัน 1.2 ไฟล์บันทึกจะใช้ข้อความ ANSI

• รูปแบบไฟล์บันทึกมีการเปลี่ยนแปลงกับเวอร์ชัน 1.2 และเราขอแนะนําให้คุณดาวน์โหลดและใช้เครื่องมือเวอร์ชันล่าสุด
  
  ถ้ามีไฟล์บันทึกนี้อยู่แล้ว เครื่องมือจะผนวกกับไฟล์ที่มีอยู่

• คุณสามารถใช้สคริปต์คําสั่งที่คล้ายกับตัวอย่างก่อนหน้านี้เพื่อจับภาพรหัสการส่งคืนและเพื่อรวบรวมไฟล์ไปยังเครือข่ายที่ใช้ร่วมกัน

• เนื่องจากการสลับจาก ANSI เป็น Unicode เครื่องมือการเอาออกรุ่น 1.2 จะคัดลอกแฟ้ม Mrt.log รุ่น ANSI ในโฟลเดอร์ %windir%\debug ไปยัง Mrt.log.old ในไดเรกทอรีเดียวกัน เวอร์ชัน 1.2 ยังสร้างไฟล์ Mrt.log Unicode เวอร์ชันใหม่ในไดเรกทอรีเดียวกัน เช่นเดียวกับเวอร์ชัน ANSI ไฟล์บันทึกนี้จะถูกผนวกเข้ากับการเผยแพร่ของแต่ละเดือน

ตัวอย่างต่อไปนี้เป็นแฟ้ม Mrt.log จากคอมพิวเตอร์ที่ติดหนอน MPnTestFile

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

ต่อไปนี้เป็นตัวอย่างไฟล์บันทึกที่ไม่พบซอฟต์แวร์ที่เป็นอันตราย

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

ต่อไปนี้เป็นไฟล์บันทึกตัวอย่างที่พบข้อผิดพลาด

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับคําเตือนและข้อผิดพลาดที่เกิดจากเครื่องมือ ให้ไปที่บทความต่อไปนี้ใน Microsoft Knowledge Base:

891717 วิธีแก้ไขปัญหาข้อผิดพลาดเมื่อคุณเรียกใช้เครื่องมือลบซอฟต์แวร์ที่เป็นอันตรายของ Microsoft Windows เครื่องมือลบซอฟต์แวร์ที่เป็นอันตรายของ Microsoft Windows v5.3 สิงหาคม 2013 (รุ่น 5.3.9300.0) เริ่มต้นเมื่อ Fri Aug 02 16:17:49 2013 ผลการสแกน: ตรวจพบภัยคุกคาม-------------: ไวรัส:Win32/MPTestFile.2004 ถูกลบออกบางส่วน การดําเนินการล้มเหลว การดําเนินการ: สะอาด ผลลัพธ์: 0x8007065E โปรดใช้ผลิตภัณฑ์ป้องกันไวรัสเต็มรูปแบบ! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: สรุปผลลัพธ์ 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z: ---------------- พบไวรัส:Win32/MPTestFile.2004 ถูกเอาออกบางส่วน เครื่องมือลบซอฟต์แวร์ที่เป็นอันตรายของ Microsoft Windows เสร็จสิ้นในวันที่ Fri Aug 02 16:18:09 2013 รหัสส่งคืน: 7 (0x7)

ปัญหาที่ทราบ 1

เมื่อคุณเรียกใช้เครื่องมือโดยใช้สคริปต์เริ่มต้นระบบ ข้อความแสดงข้อผิดพลาดที่คล้ายกับข้อความแสดงข้อผิดพลาดต่อไปนี้อาจถูกบันทึกในแฟ้ม Mrt.log:
 

หมาย เหตุ หมายเลข Pid จะแตกต่างกันไป

ข้อความแสดงข้อผิดพลาดนี้เกิดขึ้นเมื่อกระบวนการเพิ่งเริ่มต้น หรือเมื่อกระบวนการถูกหยุดเมื่อเร็วๆ นี้ ผลเพียงอย่างเดียวคือกระบวนการที่กําหนดโดย pid จะไม่ถูกสแกน

ปัญหาที่ทราบ 2

ในบางกรณีหากผู้ดูแลระบบเลือกที่จะปรับใช้ MSRT โดยใช้สวิตช์เงียบ /q (หรือที่เรียกว่าโหมดเงียบ) สิ่งนี้อาจไม่สามารถแก้ปัญหาการทําความสะอาดสําหรับชุดย่อยของการติดเชื้อได้ในสถานการณ์ที่ต้องทําความสะอาดเพิ่มเติมหลังจากเริ่มระบบใหม่ สิ่งนี้ได้รับการตรวจสอบเฉพาะในการกําจัดรูทคิทบางรุ่น