Installér Windows Værktøj til fjernelse af skadelig software i et virksomhedsmiljø (KB891716)

Sådan bruger du SMS-softwarepakken

Følgende eksempel indeholder en trinvis vejledning til brug af SMS 2003. Trinnene til at bruge SMS 2.0 ligner disse trin.

1. Udpak den Mrt.exe fil fra den pakke, der hedder Windows-KB890830-V5.128.exe /x.

2. Opret en .bat fil for at starte Mrt.exe og hente returkoden ved hjælp af ISMIF32.exe.
   
   Følgende er et eksempel.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Du kan få flere oplysninger om Ismif32.exe ved at gå til følgende artikel i Microsoft Knowledge Base:

   268791 Sådan behandles en MIF-fil (Status Management Information Format), der er produceret af ISMIF32.exe-filen, i SMS 2.0

   186415 Oprettelse af MIF-status, Ismif32.exe er tilgængelig

3. Hvis du vil oprette en pakke i SMS 2003-konsollen, skal du følge disse trin:

   1. Åbn SMS-administratorkonsollen.

   2. Højreklik på noden Pakker , vælg Ny, og vælg derefter Pakke.
      
      Dialogboksen Pakkeegenskaber vises.

   3. Navngiv pakken under fanen Generelt .

   4. Markér afkrydsningsfeltet Denne pakke indeholder kildefiler under fanen Datakilde.

   5. Vælg Angiv, og vælg derefter en kildemappe, der indeholder værktøjet.

   6. På fanen Distributionsindstillinger skal du angive Prioritet for afsendelse til Høj.

   7. På fanen Rapportering skal du vælge Brug disse felter til MIF-statusmatching og derefter angive et navn til feltet MIF-filnavn og til feltet
      Navn .
      
      Version og Publisher er valgfrie.

   8. Vælg OK for at oprette pakken.

4. Hvis du vil angive et distributionspunkt (DP) til pakken, skal du følge disse trin:

   1. Find den nye pakke under noden Pakker i SMS 2003-konsollen.

   2. Udvid pakken. Højreklik på Distributionspunkter, peg på Ny, og vælg derefter Distributionspunkter.

   3. Start guiden Nye distributionspunkter. Vælg et eksisterende distributionspunkt.

   4. Vælg Udfør for at afslutte guiden.

5. Hvis du vil føje den batchfil, der tidligere blev oprettet til den nye pakke, skal du følge disse trin:

   1. Vælg noden Programmer under den nye pakkenode.

   2. Højreklik på Programmer, peg på Ny, og vælg derefter Program.

   3. Vælg fanen Generelt , og angiv derefter et gyldigt navn.

   4. På kommandolinjen skal du vælge Gennemse for at vælge den batchfil, du har oprettet, for at starte Mrt.exe.

   5. Skift Kør til Skjult. Skift efter til Ingen handling påkrævet.

   6. Vælg fanen Krav , og vælg derefter Dette program kan kun køre på angivne klientoperativsystemer.

   7. Vælg Alle x86 Windows XP.

   8. Vælg fanen Miljø , og vælg Om en bruger er logget på listen Program kan køre . Indstil kørselstilstanden til Kør med administratorrettigheder.

   9. Vælg OK for at lukke dialogboksen.

6. Hvis du vil oprette en reklame for at annoncere programmet over for kunder, skal du følge disse trin:

   1. Højreklik på noden Reklame , vælg Ny, og vælg derefter Reklame.

   2. Angiv et navn til annoncen under fanen Generelt . Vælg den pakke, du tidligere har oprettet, i feltet Pakke . Vælg det program, du tidligere har oprettet, i feltet Program . Vælg Gennemse, og vælg derefter samlingen Alle systemer , eller vælg en samling af computere, der kun indeholder Windows Vista og nyere versioner.

   3. Under fanen Tidsplan skal du beholde standardindstillingerne, hvis programmet kun skal køre én gang. Hvis du vil køre programmet efter en tidsplan, skal du tildele et tidsplaninterval.

   4. Angiv prioriteten til Høj.

   5. Vælg OK for at oprette annoncen.

Sådan bruger du et Gruppepolitik-baseret computerstartscript

Denne metode kræver, at du genstarter klientcomputeren, når du har konfigureret scriptet, og når du har anvendt indstillingen Gruppepolitik.

1. Konfigurer shares. Det gør du ved at følge trinnene i afsnittet Indledende konfiguration og konfiguration .

2. Konfigurer startscriptet. Det kan du gøre, ved at følge disse trin:

   1. I MMC-snap-in'en Active Directory-brugere og -computere skal du højreklikke på domænenavnet og derefter vælge Egenskaber.

   2. Vælg fanen Gruppepolitik.

   3. Vælg Ny for at oprette et nyt Gruppepolitik objekt (GPO), og skriv MRT-installation som navnet på politikken.

   4. Vælg den nye politik, og vælg derefter Rediger.

   5. Udvid Windows-indstillinger for Computerkonfiguration, og vælg derefter Scripts.

   6. Dobbeltklik på Logon, og vælg derefter Tilføj.
      
      Dialogboksen Tilføj et script vises.

   7. Skriv \\ServerNavn\ShareName\RunMRT.cmd i feltet Scriptnavn.

   8. Vælg OK, og vælg derefter Anvend.

3. Genstart de klientcomputere, der er medlem af dette domæne.

Sådan bruger du et Gruppepolitik-baseret brugerlogonscript

Denne metode kræver, at logonbrugerkontoen er en domænekonto og er medlem af den lokale administratorgruppe på klientcomputeren.

1. Konfigurer shares. Det gør du ved at følge trinnene i
   afsnittetIndledende konfiguration og konfiguration.

2. Konfigurer logonscriptet. Det kan du gøre, ved at følge disse trin:

   1. I MMC-snap-in'en Active Directory-brugere og -computere skal du højreklikke på domænenavnet og derefter vælge Egenskaber.

   2. Vælg fanen Gruppepolitik.

   3. Vælg Ny for at oprette et nyt gruppepolitikobjekt, og skriv derefter MRT-installation som navn.

   4. Vælg den nye politik, og vælg derefter Rediger.

   5. Udvid Windows-indstillinger for Brugerkonfiguration, og vælg derefter Scripts.

   6. Dobbeltklik på Logon, og vælg derefter Tilføj. Dialogboksen Tilføj et script vises.

   7. Skriv \\ServerNavn\ShareName\RunMRT.cmd i feltet Scriptnavn.

   8. Vælg OK, og vælg derefter Anvend.

3. Log af og på klientcomputerne igen.

I dette scenarie kører scriptet og værktøjet under konteksten for den bruger, der er logget på. Hvis denne bruger ikke tilhører den lokale administratorgruppe eller ikke har tilstrækkelige tilladelser, kører værktøjet ikke og returnerer ikke den relevante returkode. Du kan få mere at vide om, hvordan du bruger startscripts og logonscripts, i følgende artikel i Microsoft Knowledge Base:

198642 Oversigt over scripts til logon, logoff, start og lukning i Windows 2000

322241 Sådan tildeles scripts i Windows 2000

Sådan undersøges returkoder

Du kan undersøge returneringskoden for værktøjet i dit installationslogonscript eller i dit installationsstartscript for at bekræfte resultaterne af udførelsen. Se afsnittet Kodeeksempel for at få et eksempel på, hvordan du gør dette.

Følgende liste indeholder de gyldige returkoder.

Sådan fortolkes logfilen

Værktøj til fjernelse af skadelig software skriver oplysninger om resultatet af dets udførelse i logfilen %windir%\debug\mrt.log.

Noter

• Denne logfil er kun tilgængelig på engelsk.

• Fra og med version 1.2 af værktøjet til fjernelse (marts 2005) bruger denne logfil Unicode-tekst. Før version 1.2 brugte logfilen ANSI-tekst.

• Logfilens format er ændret med version 1.2, og vi anbefaler, at du downloader og bruger den nyeste version af værktøjet.
  
  Hvis denne logfil allerede findes, føjes værktøjet til den eksisterende fil.

• Du kan bruge et kommandoscript, der ligner det forrige eksempel, til at hente returkoden og til at indsamle filerne til et netværksshare.

• På grund af skiftet fra ANSI til Unicode kopierer version 1.2 af værktøjet til fjernelse alle ANSI-versioner af Mrt.log-filen i mappen %windir%\debug til Mrt.log.old i samme mappe. Version 1.2 opretter også en ny Unicode-version af den Mrt.log fil i den samme mappe. Ligesom ANSI-versionen føjes denne logfil til hver måneds udgivelse.

Følgende eksempel er en Mrt.log fil fra en computer, der er inficeret med MPnTestFile-ormen:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Følgende er en eksempellogfil, hvor der ikke er fundet skadelig software.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Følgende er en eksempellogfil, hvor der blev fundet fejl.

Du kan få flere oplysninger om advarsler og fejl, der er forårsaget af værktøjet, i følgende artikel i Microsoft Knowledge Base:

891717 Sådan foretager du fejlfinding af en fejl, når du kører Microsoft Windows Værktøj til fjernelse af skadelig software Microsoft Windows Værktøj til fjernelse af skadelig software v5.3, august 2013 (build 5.3.9300.0) startede d. 02. august 2013:17:49 2013 Scanningsresultater: ------------- trussel registreret: Virus:Win32/MPTestFile.2004, delvist fjernet. Handlingen mislykkedes. Handling: Rens, Resultat: 0x8007065E. Brug et fuldt antivirusprodukt! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Resultatoversigt: ---------------- Fundet virus:Win32/MPTestFile.2004, delvist fjernet. Microsoft Windows Værktøj til fjernelse af skadelig software er afsluttet d. 02. august 16:18:09 2013 – returkode: 7 (0x7)

Kendt problem 1

Når du kører værktøjet ved hjælp af et startscript, logføres fejlmeddelelser, der ligner følgende fejlmeddelelse, muligvis i den Mrt.log fil:
 

Seddel Pid-nummeret varierer.

Denne fejlmeddelelse vises, når en proces lige er startet, eller når en proces er blevet stoppet for nylig. Den eneste effekt er, at den proces, der er angivet af pid'et, ikke scannes.

Kendt problem 2

Hvis en administrator i sjældne tilfælde vælger at installere MSRT ved hjælp af parameteren /q quiet (også kaldet lydløs tilstand), løser dette muligvis ikke helt oprydning for en lille delmængde af infektioner i situationer, hvor der kræves yderligere rengøring efter en genstart. Dette er kun blevet observeret ved fjernelse af visse rootkit varianter.