Bereitstellung des Windows-Tools zum Entfernen bösartiger Software in Unternehmen (KB891716)

Verwendung des SMS-Softwarepakets

Im folgenden Beispiel finden Sie schrittweise Anweisungen zur Verwendung von SMS 2003. Die Schritte zur Verwendung von SMS 2.0 sind diesen Schritten ähnlich.

1. Extrahieren Sie die Datei „Mrt.exe“ aus dem Paket mit dem Namen „Windows-KB890830-V5.123.exe /x“.

2. Erstellen Sie eine BAT-Datei, um „Mrt.exe“ zu starten und den Rückgabecode mithilfe von „ISMIF32.exe“ aufzuzeichnen.
                   
   Im Folgenden finden Sie ein Beispiel:

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Weitere Informationen zu „Ismif32.exe“ finden Sie im folgenden Artikel der Microsoft Knowledge Base:

   268791 Wie eine von der ISMIF32.exe Datei erstellte MIF-Datei (Status Management Information Format) in SMS 2.0 verarbeitet wird

   186415 Status MIF Creator, Ismif32.exe ist verfügbar

3. Gehen Sie folgendermaßen vor, um ein Paket in der SMS 2003-Konsole zu erstellen:

   1. Öffnen Sie die SMS-Administratorkonsole.

   2. Wählen Sie mit der rechten Maustaste den Knoten Pakete aus, wählen Sie Neuund dann Paket aus.
      
      Das Dialogfeld Paketeigenschaften wird angezeigt.

   3. Auf der Registerkarte Allgemein geben Sie dem Paket einen Namen.

   4. Aktivieren Sie auf der Registerkarte Datenquelle das Kontrollkästchen Dieses Paket enthält Quelldateien.

   5. Wählen Sie Festlegen und dann ein Quellverzeichnis aus, das das Tool enthält.

   6. Auf der Registerkarte Verteilungseinstellungen legen Sie für Sendepriorität die Option Hoch fest.

   7. Wählen Sie auf der Registerkarte BerichterstellungDiese Felder für Status-MIF-Abgleich verwenden, und geben Sie dann einen Namen für das MIF-Dateinamenfeld und das Feld
      Name an.
      
      Version und Herausgeber sind optional.

   8. Wählen Sie OK, um das Paket zu erstellen.

4. So geben Sie einen Verteilungspunkt für das Paket an:

   1. Gehen Sie in der SMS 2003-Konsole unter dem Knoten Pakete zu dem neuen Paket.

   2. Erweitern Sie das Paket. Wählen Sie mit der rechten Maustaste Verteilungspunkteaus, zeigen Sie auf Neu, und wählen Sie dann Verteilungspunkte aus.

   3. Starten Sie den Assistenten für neue Verteilungspunkte. Wählen Sie einen bestehenden Verteilungspunkt aus.

   4. Wählen Sie Fertig stellen aus, um den Assistenten zu beenden.

5. So fügen Sie eine zuvor erstellte Batchdatei zum neuen Paket hinzu:

   1. Wählen Sie unter dem neuen Paketknoten den Knoten Programme aus.

   2. Wählen Sie mit der rechten Maustaste Programme aus, zeigen Sie auf Neu, und wählen Sie dann Programm aus.

   3. Wählen Sie die Registerkarte Allgemein aus, und geben Sie dann einen gültigen Namen ein.

   4. Wählen Sie in der BefehlszeileDurchsuchen aus , um die Batchdatei auszuwählen, die Sie zum Starten von "Mrt.exe" erstellt haben.

   5. Ändern Sie Ausführen in Ausgeblendet. Ändern Sie die Option Nach Ausführung zu Keine Aktion erforderlich.

   6. Wählen Sie die Registerkarte Anforderungen und dann Dieses Programm kann nur unter bestimmten Clientbetriebssystemen ausgeführt werden.

   7. Wählen Sie Alle x86 Windows XP aus.

   8. Wählen Sie die Registerkarte Umgebung aus, und wählen Sie Ob ein Benutzer protokolliert wird in der Liste Programm kann ausgeführt werden aus. Legen Sie den Ausführungsmodus auf "Ausführen mit Administratorrechten" fest.

   9. Wählen Sie OK aus, um das Dialogfeld zu schließen.

6. So erstellen Sie eine Ankündigung, um den Clients das Programm anzukündigen:

   1. Wählen Sie mit der rechten Maustaste den Knoten Anzeige aus, wählen Sie Neu und dann Anzeige aus.

   2. Geben Sie auf der Registerkarte Allgemein einen Namen für die Ankündigung ein. Wählen Sie im Feld Paket das Paket aus, das Sie zuvor erstellt haben. Wählen Sie im Feld Programm das Programm aus, das Sie zuvor erstellt haben. Wählen Sie Durchsuchenund dann die Sammlung Alle Systeme aus, oder wählen Sie eine Sammlung von Computern aus, die nur Windows Vista und höhere Versionen enthält.

   3. Lassen Sie die Standardoptionen auf der Registerkarte Zeitplan unverändert, wenn das Programm nur einmal ausgeführt werden soll. Falls die Ausführung auf der Basis eines Zeitplans erfolgen soll, legen Sie ein Zeitplanintervall fest.

   4. Setzen Sie die Priorität auf Hoch.

   5. Wählen Sie OK aus, um die Anzeige zu erstellen.

Verwendung eines auf einer Gruppenrichtlinie basierenden Skripts zum Starten des Computers

Diese Methode erfordert einen Neustart des Clientcomputers nach dem Erstellen des Skripts und der Anwendung der Gruppenrichtlinieneinstellung.

1. Richten Sie die Freigaben ein. Führen Sie dazu die Schritte im Abschnitt Ersteinrichtung und Konfiguration aus.

2. Richten Sie das Startskript ein. Gehen Sie hierzu wie folgt vor:

   1. Wählen Sie im Active Directory-Benutzer und -Computer MMC-Snap-In mit der rechten Maustaste den Domänennamen aus, und wählen Sie dann Eigenschaften aus.

   2. Wählen Sie die Registerkarte Gruppenrichtlinie aus.

   3. Wählen Sie Neu aus, um ein neues Gruppenrichtlinien-Objekt (GPO) zu erstellen, und geben Sie „MRT-Bereitstellung“ als Namen der Richtlinie ein.

   4. Wählen Sie die neue Richtlinie und dann Bearbeiten aus.

   5. Erweitern Sie die Windows-Einstellungen für die Computerkonfiguration, und wählen Sie dann Skripts aus.

   6. Doppeltippen Sie auf Anmelden, und wählen Sie dann Hinzufügen aus.
      
      Das Dialogfeld Hinzufügen eines Skripts wird angezeigt.

   7. Geben Sie im Feld Skriptname \\ServerName\ShareName\RunMRT.cmd ein.

   8. Wählen Sie OK und dann Anwenden aus.

3. Starten Sie die Clientcomputer neu, die Mitglieder dieser Domäne sind.

Verwendung eines auf einer Gruppenrichtlinie basierenden Skripts für die Benutzeranmeldung

Diese Methode erfordert, dass das Anmeldebenutzerkonto ein Domänenkonto ist und Mitglied der Gruppe des lokalen Administrators auf dem Clientcomputer ist.

1. Richten Sie die Freigaben ein. Führen Sie dazu die Schritte im
   Abschnitt"Ersteinrichtung und Konfiguration" aus.

2. Richten Sie das Anmeldeskript ein. Gehen Sie hierzu wie folgt vor:

   1. Wählen Sie im Active Directory-Benutzer und -Computer MMC-Snap-In mit der rechten Maustaste den Domänennamen aus, und wählen Sie dann Eigenschaften aus.

   2. Wählen Sie die Registerkarte Gruppenrichtlinie aus.

   3. Wählen Sie Neu aus, um ein neues Gruppenrichtlinienobjekt zu erstellen, und geben Sie dann "MRT-Bereitstellung" als Namen ein.

   4. Wählen Sie die neue Richtlinie und dann Bearbeiten aus.

   5. Erweitern Sie die Windows-Einstellungen für die Benutzerkonfiguration, und wählen Sie dann Skripts aus.

   6. Doppeltippen Sie auf Anmelden, und wählen Sie dann Hinzufügen aus. Das Dialogfeld " Skript hinzufügen " wird angezeigt.

   7. Geben Sie im Feld Skriptname \\ServerName\ShareName\RunMRT.cmd ein.

   8. Wählen Sie OK und dann Anwenden aus.

3. Melden Sie sich ab und dann bei den Clientcomputern an.

In diesem Szenario werden das Skript und das Tool im Kontext des gerade angemeldeten Benutzers ausgeführt. Gehört dieser Benutzer nicht der Gruppe der lokalen Administratoren an oder verfügt er nicht über ausreichende Berechtigungen, wird das Tool nicht ausgeführt und kann auch nicht den richtigen Rückgabecode zurückmelden. Weitere Informationen zur Verwendung von Start- und Anmeldeskripts finden Sie im folgenden Artikel der Microsoft Knowledge Base:

198642 Überblick: Anmeldeskripts, Abmeldeskripts, Startskripts und Skripts zum Beenden in Windows 2000

322241 Zuweisen von Skripts in Windows 2000

Rückgabecodes überprüfen

Sie können den Rückgabecode des Tools in Ihrem Bereitstellungsskript für die Anmeldung bzw. den Start untersuchen, um die Ergebnisse der Ausführung des Tools zu überprüfen. Im Abschnitt Beispielcode finden Sie ein Beispiel dafür, wie Sie dies tun können.

Die folgende Liste enthält die gültigen Rückgabecodes.

Protokolldatei analysieren

Das Tool zum Entfernen bösartiger Software schreibt Details zu den Ergebnissen seiner Ausführung in die Protokolldatei „%windir%\debug\mrt.log“.

Hinweise

• Diese Protokolldatei ist nur in englischer Sprache verfügbar.

• Ab der Version 1.2 des Tools (März 2005) wird in dieser Protokolldatei Unicode-Text verwendet. Vor der Version 1.2 wurde in der Protokolldatei ANSI-Text verwendet.

• Das Protokollformat hat sich mit der Version 1.2 geändert. Microsoft empfiehlt, dass Sie die neueste Version des Tools herunterladen und verwenden.
  
  Falls die betreffende Protokolldatei bereits existiert, hängt das Tool die Ergebnisse an diese Protokolldatei an.

• Sie können ein ähnliches Befehlsskript wie in dem vorherigen Beispiel verwenden, um den Rückgabecode aufzuzeichnen und die Dateien auf einer Netzwerkfreigabe zu sammeln.

• Durch die Umstellung von ANSI auf Unicode kopiert die Version 1.2 des Tools alle Versionen der Datei „Mrt.log“ im Ordner „%windir%\debug“ und nennt die kopierten Dateien „Mrt.log.old“. Zusätzlich wird im gleichen Verzeichnis eine neue Unicode-Version der Datei „Mrt.log“ erstellt. Wie bei der ANSI-Version werden die Einträge jeden Monat ans Ende der Protokolldatei angehängt.

So sieht beispielsweise eine Mrt.log-Datei von einem Computer aus, der mit dem MPnTestFile-Wurm infiziert war:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

So sieht beispielsweise eine Protokolldatei aus, wenn keine Schadsoftware gefunden wurde.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

So sieht beispielsweise eine Protokolldatei aus, wenn Fehler gefunden wurden.

Weitere Informationen zu den von diesem Tool gemeldeten Warnungen und Fehlern finden Sie im folgenden Artikel der Microsoft Knowledge Base:

891717 Informationen zur Problembehandlung beim Ausführen des Microsoft Windows-Tools zum Entfernen bösartiger Software Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0) Started On Fri Aug 02 16:17:49 2013 Scan Results: ------------- Threat Detected: Virus:Win32/MPTestFile.2004, partially removed. Operation failed. Aktion: Säubern, Ergebnis: 0x8007065E. Bitte verwenden Sie ein vollständiges Antivirenprodukt! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Results Summary: ---------------- Found Virus:Win32/MPTestFile.2004, partially removed. Microsoft Windows Malicious Software Removal Tool Finished On Fri Aug 02 16:18:09 2013 Return code: 7 (0x7)

Bekanntes Problem 1

Wenn Sie das Tool mithilfe des Startskripts ausführen, erhalten Sie möglicherweise Fehlermeldungen in der Datei „Mrt.log“ mit etwa folgendem Inhalt:
 

Hinweis Die Pid-Nummer variiert.

Diese Fehlermeldung tritt auf, wenn ein Prozess entweder gerade gestartet wird oder vor kurzem beendet wurde. Der einzige Effekt besteht darin, dass der Prozess, der von der Pid festgelegt wird, nicht gescannt wird.

Bekanntes Problem 2

In einigen seltenen Fällen kann es vorkommen, dass die Bereinigung für eine kleine Teilmenge von Infektionen in Situationen, in denen nach einem Neustart eine zusätzliche Reinigung erforderlich ist, nicht vollständig behoben wird, wenn sich ein Administrator für die Bereitstellung des MSRT mithilfe des leisen Schalters /q (auch als stiller Modus bezeichnet) entscheidet. Dies wurde nur beim Entfernen bestimmter Rootkitvarianten festgestellt.