Nasazení Nástroje pro odstranění škodlivého softwaru systému Windows v podnikovém prostředí (KB891716)

Jak používat softwarový balíček SMS

Následující příklad obsahuje podrobné pokyny pro použití SMS 2003. Postup pro použití SMS 2.0 vypadá podobně jako tento postup.

1. Extrahujte soubor Mrt.exe z balíčku s názvem Windows-KB890830-V5.123.exe /x.

2. Vytvořte soubor .bat, který spustí Mrt.exe a zachytí návratový kód pomocí ISMIF32.exe.
   
   Následuje příklad.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Další informace o Ismif32.exe naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:

   268791 Způsob zpracování souboru MIF (Status Management Information Format) vytvořeného souborem ISMIF32.exe ve službě SMS 2.0

   186415 Tvůrce MIF stavu, Ismif32.exe je k dispozici

3. Chcete-li vytvořit balíček v konzole SMS 2003, postupujte takto:

   1. Otevřete konzolu správce SMS.

   2. Pravým tlačítkem vyberte uzel Balíčky , vyberte Nový a pak vyberte Balíček.
      
      Zobrazí se dialogové okno Vlastnosti balíčku .

   3. Na kartě Obecné pojmenujte balíček.

   4. Na kartě Zdroj dat zaškrtněte políčko Tento balíček obsahuje zdrojové soubory .

   5. Vyberte Nastavit a pak zvolte zdrojový adresář, který obsahuje nástroj.

   6. Na kartě Nastavení distribuce nastavte prioritu odesílání na Vysoká.

   7. Na kartě Vytváření sestav vyberte Použít tato pole pro porovnávání MIF stavu a pak zadejte název pole název souboru MIF a pole
      Název .
      
      Verze a Vydavatel jsou volitelné.

   8. Vyberte OK a vytvořte balíček.

4. Chcete-li určit distribuční bod (DP) pro balíček, postupujte takto:

   1. V konzole SMS 2003 vyhledejte nový balíček v uzlu Balíčky .

   2. Rozbalte balíček. Pravým tlačítkem vyberte Distribuční body, přejděte na Nový a pak vyberte Distribuční body.

   3. Spusťte Průvodce novými distribučními body. Vyberte existující distribuční bod.

   4. Výběrem možnosti Dokončit průvodce ukončete.

5. Chcete-li přidat dříve vytvořený dávkový soubor do nového balíčku, postupujte takto:

   1. V uzlu nového balíčku vyberte uzel Programy .

   2. Pravým tlačítkem vyberte Programy, přejděte na Nový a pak vyberte Program.

   3. Vyberte kartu Obecné a zadejte platný název.

   4. Na příkazovém řádku vyberte Procházet a vyberte dávkový soubor, který jste vytvořili pro spuštění Mrt.exe.

   5. Změňte Spustit na Skryté. Změňte za na Nevyžaduje se žádná akce.

   6. Vyberte kartu Požadavky a pak vyberte Tento program může běžet pouze v zadaných klientských operačních systémech.

   7. Vyberte Všechny x86 Windows XP.

   8. Vyberte kartu Prostředí a vyberte možnost Zda je uživatel přihlášený v seznamu Program může spustit . Režim spuštění nastavte na Spustit s právy správce.

   9. Kliknutím na OK dialogové okno zavřete.

6. Chcete-li vytvořit inzerování programu klientům, postupujte takto:

   1. Pravým tlačítkem vyberte uzel Inzerovat , vyberte Nový a pak vyberte Inzerovat.

   2. Na kartě Obecné zadejte název inzerování. V poli Balíček vyberte balíček, který jste vytvořili dříve. V poli Program vyberte program, který jste vytvořili dříve. Vyberte Procházet a pak vyberte kolekci Všechny systémy nebo vyberte kolekci počítačů, které obsahují pouze systém Windows Vista a novější verze.

   3. Pokud chcete, aby se program spustil jenom jednou, ponechte na kartě Plán výchozí možnosti. Pokud chcete program spustit podle plánu, přiřaďte interval plánu.

   4. Nastavte prioritu na Vysoká.

   5. Vyberte OK a vytvořte inzerci.

Použití spouštěcího skriptu počítače založeného na Zásady skupiny

Tato metoda vyžaduje restartování klientského počítače po nastavení skriptu a po použití nastavení Zásady skupiny.

1. Nastavte sdílené složky. Chcete-li to provést, postupujte podle kroků v části Počáteční nastavení a konfigurace .

2. Nastavte spouštěcí skript. Postupujte takto:

   1. V modulu snap-in Uživatelé a počítače služby Active Directory MMC vyberte pravým tlačítkem název domény a pak vyberte Vlastnosti.

   2. Vyberte kartu Zásady skupiny.

   3. Vyberte Nový a vytvořte nový objekt Zásady skupiny (GPO) a jako název zásady zadejte NASAZENÍ MRT.

   4. Vyberte novou zásadu a pak vyberte Upravit.

   5. Rozbalte Položku Nastavení systému Windows pro Konfiguraci počítače a pak vyberte Skripty.

   6. Poklikejte na Přihlásit a pak vyberte Přidat.
      
      Zobrazí se dialogové okno Přidat skript .

   7. Do pole Název skriptu zadejte \\ServerName\ShareName\RunMRT.cmd.

   8. Vyberte OK a pak vyberte Použít.

3. Restartujte klientské počítače, které jsou členy této domény.

Použití přihlašovacího skriptu uživatele založeného na Zásady skupiny

Tato metoda vyžaduje, aby přihlašovací uživatelský účet byl doménovým účtem a byl členem skupiny místních správců na klientském počítači.

1. Nastavte sdílené složky. Chcete-li to provést, postupujte podle kroků v
   částiPočáteční nastavení a konfigurace.

2. Nastavte přihlašovací skript. Postupujte takto:

   1. V modulu snap-in Uživatelé a počítače služby Active Directory MMC vyberte pravým tlačítkem název domény a pak vyberte Vlastnosti.

   2. Vyberte kartu Zásady skupiny.

   3. Vyberte Nový a vytvořte nový objekt zásad a jako název zadejte NASAZENÍ MRT.

   4. Vyberte novou zásadu a pak vyberte Upravit.

   5. Rozbalte položku Nastavení systému Windows pro konfiguraci uživatele a pak vyberte Skripty.

   6. Poklikejte na Přihlásit a pak vyberte Přidat. Zobrazí se dialogové okno Přidat skript .

   7. Do pole Název skriptu zadejte \\ServerName\ShareName\RunMRT.cmd.

   8. Vyberte OK a pak vyberte Použít.

3. Odhlaste se a pak se přihlaste ke klientským počítačům.

V tomto scénáři se skript a nástroj spustí v kontextu přihlášeného uživatele. Pokud tento uživatel nepatří do místní skupiny administrators nebo nemá dostatečná oprávnění, nástroj se nespustí a nevrátí odpovídající návratový kód. Další informace o použití spouštěcích a přihlašovacích skriptů naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:

198642 Přehled přihlašovacích, odhlašovacích, spouštěcích a ukončovacích skriptů v systému Windows 2000

322241 Jak přiřadit skripty v systému Windows 2000

Jak prozkoumat návratové kódy

Návratový kód nástroje můžete zkontrolovat v přihlašovacím skriptu nasazení nebo ve spouštěcím skriptu nasazení a ověřit výsledky spuštění. Příklad toho, jak to udělat, najdete v části Ukázka kódu .

Následující seznam obsahuje platné návratové kódy.

Jak analyzovat soubor protokolu

Nástroj pro odstranění škodlivého softwaru zapíše podrobnosti o výsledku jeho spuštění do souboru protokolu %windir%\debug\mrt.log.

Poznámky

• Tento soubor protokolu je k dispozici pouze v angličtině.

• Od verze 1.2 nástroje pro odebrání (březen 2005) tento soubor protokolu používá text Unicode. Před verzí 1.2 používal soubor protokolu text ANSI.

• Ve verzi 1.2 se změnil formát souboru protokolu a doporučujeme stáhnout a používat nejnovější verzi nástroje.
  
  Pokud tento soubor protokolu již existuje, připojí se nástroj k existujícímu souboru.

• Pomocí příkazového skriptu, který se podobá předchozímu příkladu, můžete zaznamenat návratový kód a shromáždit soubory do sdílené síťové složky.

• Z důvodu přechodu z ANSI na Unicode zkopíruje nástroj pro odebrání verze 1.2 všechny verze ANSI souboru Mrt.log ve složce %windir%\debug do Mrt.log.old ve stejném adresáři. Verze 1.2 také vytvoří novou verzi unicode souboru Mrt.log ve stejném adresáři. Stejně jako verze ANSI se tento soubor protokolu připojí k vydání každý měsíc.

Následující příklad je Mrt.log soubor z počítače, který byl napaden červem MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Následuje příklad souboru protokolu, ve kterém nebyl nalezen žádný škodlivý software.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Následuje ukázkový soubor protokolu, ve kterém se najdou chyby.

Další informace o upozorněních a chybách způsobených nástrojem naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:

891717 Řešení chyby při spuštění Nástroje pro odstranění škodlivého softwaru systému Microsoft Windows Nástroj pro odstranění škodlivého softwaru systému Microsoft Windows v5.3, srpen 2013 (build 5.3.9300.0) Byl zahájen v pátek 02 16:17:49 2013 Výsledky kontroly: ------------- Zjištěna hrozba: Virus:Win32/MPTestFile.2004, částečně odebrán. Operace se nezdařila. Akce: Čisté, Výsledek: 0x8007065E. Použijte prosím úplný antivirový produkt! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Souhrn výsledků: ---------------- Nalezen virus:Win32/MPTestFile.2004, částečně odebrán. Nástroj pro odstranění škodlivého softwaru systému Microsoft Windows dokončeno na fri Aug 02 16:18:09 2013 Návratový kód: 7 (0x7)

Známý problém 1

Když nástroj spustíte pomocí spouštěcího skriptu, mohou být v souboru Mrt.log zaznamenány chybové zprávy podobné následující chybové zprávě:
 

Poznámka Číslo pid se bude lišit.

Tato chybová zpráva se zobrazí, když se proces právě spouští nebo když byl nedávno zastaven. Jediným efektem je, že proces určený pid není prohledáván.

Známý problém 2

V některých vzácných případech, kdy se správce rozhodne nasadit nástroj MSRT pomocí tichého přepínače /q (označovaného také jako tichý režim), nemusí to úplně vyřešit čištění u malé podmnožiny infekcí v situacích, kdy je po restartování vyžadováno další čištění. To bylo pozorováno pouze při odstranění určitých variant rootkitu.