Nasazení Nástroje pro odstranění škodlivého softwaru systému Windows v podnikovém prostředí (KB891716)

Jak používat softwarový balíček SMS

Následující příklad obsahuje podrobné pokyny pro použití serveru SMS 2003. Postup použití serveru SMS 2.0 se podobá těmto krokům.

1. Extrahujte z balíčku soubor Mrt.exe s názvem Windows-KB890830-V5.142.exe /x.

2. Vytvořte soubor .bat pro spuštění Mrt.exe a zachycení kódu zpět pomocí ISMIF32.exe.
   
   Tady je příklad.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Další informace o Ismif32.exe naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:

   268791 Zpracování souboru MIF (status Management Information Format) vytvořeného pomocí souboru ISMIF32.exe v serveru SMS 2.0

   186415 Stav MIF creator, Ismif32.exe je k dispozici

3. Chcete-li vytvořit balíček v konzole serveru SMS 2003, postupujte takto:

   1. Otevřete konzoli správce serveru SMS.

   2. Pravým tlačítkem vyberte uzel Balíčky , vyberte Nový a pak vyberte Balíček.
      
      Zobrazí se dialogové okno Vlastnosti balíčku .

   3. Na kartě Obecné pojmenujte balíček.

   4. Na kartě Zdroj dat zaškrtněte políčko Tento balíček obsahuje zdrojové soubory .

   5. Vyberte Nastavit a pak zvolte zdrojový adresář, který obsahuje nástroj.

   6. Na kartě Nastavení distribuce nastavte Prioritu odesílání na Vysoká.

   7. Na kartě Sestavy vyberte Použít tato pole pro porovnávání stavu MIF a poté zadejte název pro pole Název souboru MIF a pro
      poleNázev.
      
      Verze a vydavatel jsou volitelné.

   8. Vyberte OK pro vytvoření balíčku.

4. Pokud chcete určit distribuční bod (DP) balíčku, postupujte takto:

   1. V konzole serveru SMS 2003 vyhledejte nový balíček pod uzlem Balíčky .

   2. Rozbalte balíček. Pravým tlačítkem vyberte Distribuční místa, přejděte na Nový a pak vyberte Distribuční místa.

   3. Spusťte Průvodce novými distribučními body. Vyberte existující distribuční bod.

   4. Kliknutím na Dokončit ukončete průvodce.

5. Chcete-li přidat dříve vytvořený dávkový soubor do nového balíčku, postupujte takto:

   1. Pod novým uzlem balíčku vyberte uzel Programy .

   2. Pravým tlačítkem vyberte Programy, přejděte na příkaz Nový a poté vyberte příkaz Program.

   3. Vyberte kartu Obecné a zadejte platný název.

   4. Na příkazovém řádku vyberte Procházet a vyberte dávkový soubor, který jste vytvořili pro spuštění Mrt.exe.

   5. Změňte Spustit na Skryté. Změnit za na Nevyžaduje se žádná akce.

   6. Vyberte kartu Požadavky a pak vyberte Tento program lze spustit pouze v určených klientských operačních systémech.

   7. Vyberte Všechny x86 Windows XP.

   8. Vyberte kartu Prostředí , vyberte seznam Zda je uživatel přihlášen do seznamu Program . Nastavte režim spuštění na Spustit s právy správce.

   9. Kliknutím na OK zavřete dialogové okno.

6. Chcete-li vytvořit inzerci programu klientům, postupujte takto:

   1. Pravým tlačítkem vyberte uzel Reklama , vyberte Nový a poté vyberte Reklama.

   2. Na kartě Obecné zadejte název inzerce. V poli Balíček vyberte balíček, který jste dříve vytvořili. V poli Program vyberte program, který jste dříve vytvořili. Vyberte Procházet a pak vyberte kolekci Celý systém nebo vyberte kolekci počítačů, která obsahuje jenom Windows Vista a novější verze.

   3. Pokud chcete, aby se program spustil jenom jednou, ponechte na kartě Plán výchozí možnosti. Chcete-li spustit program podle plánu, přiřaďte interval plánu.

   4. Nastavte prioritu na Vysoká.

   5. Vyberte OK pro vytvoření reklamy.

Jak používat spouštěcí skript počítače založený na Zásady skupiny

Tato metoda vyžaduje, abyste po nastavení skriptu a po použití nastavení Zásady skupiny restartovali klientský počítač.

1. Nastavte sdílené složky. Postupujte podle pokynů v části Počáteční nastavení a konfigurace .

2. Nastavte spouštěcí skript. Postupujte takto:

   1. V modulu snap-in konzoly MMC – Uživatelé a počítače služby Active Directory vyberte pravým tlačítkem název domény a vyberte Vlastnosti.

   2. Vyberte kartu Zásady skupiny.

   3. Vyberte Nový a vytvořte nový objekt Zásady skupiny (GPO) a jako název zásady zadejte MRT Deployment.

   4. Vyberte novou zásadu a pak vyberte Upravit.

   5. Rozbalte Nastavení systému Windows pro konfiguraci počítače a pak vyberte Skripty.

   6. Poklikejte na Přihlásit se a pak vyberte Přidat.
      
      Zobrazí se dialogové okno Přidat skript .

   7. Do pole Název skriptu zadejte \\ServerName\ShareName\RunMRT.cmd.

   8. Vyberte OK a pak vyberte Použít.

3. Restartujte klientské počítače, které jsou členy této domény.

Jak používat přihlašovací skript uživatele založený na Zásady skupiny

Tato metoda vyžaduje, aby účet přihlašovacího uživatele byl účtem domény a byl členem skupiny místních správců v klientském počítači.

1. Nastavte sdílené složky. Postupujte podle pokynů v
   částiPočáteční nastavení a konfigurace.

2. Nastavte přihlašovací skript. Postupujte takto:

   1. V modulu snap-in konzoly MMC – Uživatelé a počítače služby Active Directory vyberte pravým tlačítkem název domény a vyberte Vlastnosti.

   2. Vyberte kartu Zásady skupiny.

   3. Vyberte Nový a vytvořte nový objekt zásad skupiny a jako název zadejte MRT Deployment.

   4. Vyberte novou zásadu a pak vyberte Upravit.

   5. Rozbalte Nastavení systému Windows pro konfiguraci uživatele a pak vyberte Skripty.

   6. Poklikejte na Přihlásit se a pak vyberte Přidat. Zobrazí se dialogové okno Přidat skript .

   7. Do pole Název skriptu zadejte \\ServerName\ShareName\RunMRT.cmd.

   8. Vyberte OK a pak vyberte Použít.

3. Odhlaste se z klientských počítačů a znovu se k nim přihlaste.

V tomto scénáři se skript a nástroj spustí v kontextu přihlášeného uživatele. Pokud tento uživatel nepatří do místní skupiny administrators nebo nemá dostatečná oprávnění, nástroj se nespustí a nevrátí příslušný návratový kód. Další informace o použití spouštěcích a přihlašovacích skriptů naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:

198642 Přehled skriptů pro přihlášení, odhlášení, spuštění a vypnutí v systému Windows 2000

322241 Přiřazování skriptů v systému Windows 2000

Jak zkoumat kódy vratek

Výsledky spuštění můžete ověřit tak, že zkontrolujete návratový kód nástroje v přihlašovacím skriptu nasazení nebo ve spouštěcím skriptu nasazení. Příklad, jak to provést, najdete v části s ukázkou kódu .

Následující seznam obsahuje platné návratové kódy.

Jak analyzovat soubor protokolu

Nástroj pro odstranění škodlivého softwaru zapisuje podrobnosti o výsledku spuštění do souboru protokolu %windir%\debug\mrt.log.

Poznámky

• Tento soubor protokolu je dostupný jenom v angličtině.

• Počínaje verzí 1.2 nástroje pro odebrání (březen 2005) používá tento soubor protokolu text s kódováním Unicode. Ve starších verzích 1.2 používal soubor protokolu text ANSI.

• Formát souboru protokolu se ve verzi 1.2 změnil a doporučujeme vám stáhnout a používat nejnovější verzi tohoto nástroje.
  
  Pokud už tento soubor protokolu existuje, nástroj se připojí ke stávajícímu souboru.

• K zachycení kódu vrácení a shromáždění souborů do sdílené síťové složky můžete použít příkazový skript podobný předchozímu příkladu.

• Kvůli přechodu z kódování ANSI na kódování Unicode zkopíruje verze 1.2 nástroje pro odebrání všechny verze souboru Mrt.log ve složce %windir%\debug ve formátu ANSI do souboru Mrt.log.old ve stejném adresáři. Verze 1.2 vytvoří ve stejném adresáři novou verzi souboru Mrt.log s kódováním Unicode. Stejně jako verze ve formátu ANSI se tento soubor protokolu připojí k měsíční verzi.

Následující příklad je soubor Mrt.log z počítače, který byl nakažen červem MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Následuje příklad souboru protokolu, ve kterém nebyl nalezen žádný škodlivý software.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Následuje ukázkový soubor protokolu, ve kterém se nacházejí chyby.

Další informace o varováních a chybách způsobených tímto nástrojem naleznete v následujícím článku znalostní báze Microsoft Knowledge Base:

891717 Odstraňování potíží s chybou při použití Nástroje pro odstranění škodlivého softwaru systému Windows Microsoft Windows Malicious Software Removal Tool v5.3, srpen 2013 (build 5.3.9300.0) Začal On Fri Aug 02 16:17:49 2013 Výsledky kontroly: ------------- Threat Detected: Virus:Win32/MPTestFile.2004, částečně odstraněno. Operace se nezdařila. Akce: Čistá, Výsledek: 0x8007065E. Používejte prosím plnohodnotný antivirový produkt! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Shrnutí výsledků: ---------------- nalezen virus:Win32/MPTestFile.2004, částečně odebrán. Microsoft Windows Malicious Software Removal Tool Dokončeno Pátek Srpen 02 16:18:09 2013 Návratový kód: 7 (0x7)

Známý problém 1

Spustíte-li nástroj pomocí spouštěcího skriptu, mohou být do Mrt.log souboru zaznamenány chybové zprávy podobné následující chybové zprávě:
 

Poznámka Číslo PID se bude lišit.

Tato chybová zpráva se objevuje, když se proces právě spouští nebo když byl nedávno zastaven. Jediným účinkem je, že proces, který je určen PID, není skenován.

Známý problém 2

Pokud se správce rozhodne nasadit Nástroj pro odstranění škodlivého softwaru pomocí tichého přepínače /q (známého také jako tichý režim), nemusí to v ojedinělých případech úplně vyřešit čištění u malé skupiny infekcí v situacích, kdy je po restartování vyžadováno další čištění. To bylo pozorováno pouze při odstraňování některých variant rootkitů.