Bereitstellung des Windows-Tools zum Entfernen bösartiger Software in Unternehmen (KB891716)

Verwendung des SMS-Softwarepakets

Im folgenden Beispiel finden Sie schrittweise Anweisungen zur Verwendung von SMS 2003. Die Schritte zur Verwendung von SMS 2.0 sind diesen Schritten ähnlich.

1. Extrahieren Sie die Datei „Mrt.exe“ aus dem Paket „Windows-KB890830-V1.34-DEU.exe /x“.

2. Erstellen Sie eine BAT-Datei, um „Mrt.exe“ zu starten und den Rückgabecode mithilfe von „ISMIF32.exe“ aufzuzeichnen.                 
                   
   Im Folgenden finden Sie ein Beispiel:

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Weitere Informationen zu „Ismif32.exe“ finden Sie im folgenden Artikel der Microsoft Knowledge Base:

   268791 Verarbeitung einer von der Datei „ISMIF32.exe“ generierten MIF-Statusdatei (Management Information Format) in SMS 2.0

   186415 Status-MIF-Ersteller, Ismif32.exe ist verfügbar

3. Gehen Sie folgendermaßen vor, um ein Paket in der SMS 2003-Konsole zu erstellen:

   1. Öffnen Sie die SMS-Administratorkonsole.

   2. Klicken Sie mit der rechten Maustaste auf den Knoten Pakete, klicken Sie auf
      Neu, und klicken Sie anschließend auf Paket.
      
      Das Dialogfeld
      Paketeigenschaften wird angezeigt.

   3. Auf der Registerkarte Allgemein geben Sie dem Paket einen Namen.

   4. Aktivieren Sie auf der Registerkarte Datenquelle das Kontrollkästchen Dieses Paket enthält Quelldateien.

   5. Klicken Sie auf Festlegen, und wählen Sie dann ein Quellverzeichnis aus, in dem das Tool gespeichert ist.

   6. Auf der Registerkarte Verteilungseinstellungen legen Sie für Sendepriorität die Option Hoch fest.

   7. Wählen Sie auf der Registerkarte Berichterstattung die Option Diese Felder für MIF-Statusabstimmung verwenden aus, und geben Sie dann einen Namen für die Felder MIF-Dateiname und
      Name ein.
      
      Version und Herausgeber sind optional.

   8. Klicken Sie auf OK, um das Paket erstellen zu lassen.

4. So geben Sie einen Verteilungspunkt für das Paket an:

   1. Gehen Sie in der SMS 2003-Konsole unter dem Knoten Pakete zu dem neuen Paket.

   2. Erweitern Sie das Paket. Klicken Sie mit der rechten Maustaste auf Verteilungspunkte, zeigen Sie auf Neu, und klicken Sie dann auf Verteilungspunkte.

   3. Starten Sie den Assistenten für neue Verteilungspunkte. Wählen Sie einen bestehenden Verteilungspunkt aus.

   4. Klicken Sie auf Fertigstellen, um den Assistenten zu beenden.

5. So fügen Sie eine zuvor erstellte Batchdatei zum neuen Paket hinzu:

   1. Klicken Sie unter dem Knoten des neuen Pakets auf den Knoten Programme.

   2. Klicken Sie mit der rechten Maustaste auf Programme, zeigen Sie auf
      Neu, und klicken Sie dann auf Programm.

   3. Klicken Sie auf die Registerkarte Allgemein, und geben Sie dann einen gültigen Namen ein.

   4. Klicken Sie in der Befehlszeile auf
      Durchsuchen, um die Batchdatei auszuwählen, die Sie zum Starten von „Mrt.exe“ erstellt haben.

   5. Ändern Sie die Option Ausführen zu
      Versteckt. Ändern Sie die Option Nach Ausführung zu Keine Aktion erforderlich.

   6. Klicken Sie auf die Registerkarte Anforderungen, und wählen Sie dann die Option Dieses Programm kann nur auf den angegebenen Clientplattformen ausgeführt werden aus.

   7. Klicken Sie auf All x86 Windows XP.

   8. Klicken Sie auf die Registerkarte Umgebung, und klicken Sie dann in der Liste Programm kann ausgeführt werden auf
      Unabhängig von Benutzeranmeldung. Legen Sie den Modus Ausführen auf Mit Administratorrechten ausführen fest.

   9. Klicken Sie auf OK, um das Dialogfeld zu schließen.

6. So erstellen Sie eine Ankündigung, um den Clients das Programm anzukündigen:

   1. Klicken Sie mit der rechten Maustaste auf den Knoten Ankündigung, klicken Sie auf Neu, und klicken Sie anschließend auf
      Ankündigung.

   2. Geben Sie auf der Registerkarte Allgemein einen Namen für die Ankündigung ein. Wählen Sie im Feld Paket das Paket aus, das Sie zuvor erstellt haben. Wählen Sie im Feld Programm das Programm aus, das Sie zuvor erstellt haben. Klicken Sie auf Durchsuchen und anschließend auf die Sammlung Alle Systeme, oder wählen Sie eine Sammlung von Computern aus, die nur Windows Vista und höhere Versionen beinhaltet.

   3. Lassen Sie die Standardoptionen auf der Registerkarte Zeitplan unverändert, wenn das Programm nur einmal ausgeführt werden soll. Falls die Ausführung auf der Basis eines Zeitplans erfolgen soll, legen Sie ein Zeitplanintervall fest.

   4. Setzen Sie die Priorität auf Hoch.

   5. Klicken Sie auf OK, um die Ankündigung erstellen zu lassen.

Verwendung eines auf einer Gruppenrichtlinie basierenden Skripts zum Starten des Computers

Diese Methode erfordert einen Neustart des Clientcomputers nach dem Erstellen des Skripts und der Anwendung der Gruppenrichtlinieneinstellung.

1. Erstellen Sie die Freigaben. Führen Sie dazu die Schritte im Abschnitt
   Setup und Konfiguration durch.

2. Erstellen Sie das Startskript. Gehen Sie dazu wie folgt vor:

   1. Klicken Sie im MMC-Snap-In Active Directory-Benutzer und -Computer mit der rechten Maustaste auf den Domänennamen. Klicken Sie anschließend auf
      Eigenschaften.

   2. Klicken Sie auf die Registerkarte Gruppenrichtlinie.

   3. Klicken Sie auf Neu, um ein neues Gruppenrichtlinienobjekt (GPO) zu erstellen, und geben Sie „MRT-Bereitstellung“ für den Namen der Richtlinie ein.

   4. Klicken Sie auf die neue Richtlinie, und klicken Sie anschließend auf Bearbeiten.

   5. Erweitern Sie Computerkonfiguration, erweitern Sie „Windows-Einstellungen“, und klicken Sie auf Skripts.

   6. Doppelklicken Sie auf Anmeldung, und klicken Sie anschließend auf Hinzufügen.
      
      Das Dialogfeld Hinzufügen eines Skripts wird angezeigt.

   7. Geben Sie im Feld Skriptname den Namen
      „\\ServerName\ShareName\RunMRT.cmd“ ein.

   8. Klicken Sie auf OK und anschließend auf Übernehmen.

3. Starten Sie die Clientcomputer neu, die Mitglieder dieser Domäne sind.

Verwendung eines auf einer Gruppenrichtlinie basierenden Skripts für die Benutzeranmeldung

Bei dieser Methode wird vorausgesetzt, dass es sich bei dem zur Anmeldung verwendeten Benutzerkonto um ein Domänenkonto und ein Mitglied der lokalen Administratorengruppe auf dem Clientcomputer handelt.

1. Erstellen Sie die Freigaben. Führen Sie dazu die Schritte im Abschnitt
   Setup und Konfiguration durch.

2. Erstellen Sie das Anmeldeskript. Gehen Sie zu diesem Zweck folgendermaßen vor:

   1. Klicken Sie im MMC-Snap-In Active Directory-Benutzer und -Computer mit der rechten Maustaste auf den Domänennamen. Klicken Sie anschließend auf
      Eigenschaften.

   2. Klicken Sie auf die Registerkarte Gruppenrichtlinie.

   3. Klicken Sie auf Neu, um ein neues GPO zu erstellen, und geben Sie „MRT-Bereitstellung“ für den Namen der Richtlinie ein.

   4. Klicken Sie auf die neue Richtlinie, und klicken Sie anschließend auf
      Bearbeiten.

   5. Erweitern Sie Benutzerkonfiguration, erweitern Sie „Windows-Einstellungen“, und klicken Sie auf Skripts.

   6. Doppelklicken Sie auf Anmeldung, und klicken Sie anschließend auf Hinzufügen. Das Dialogfeld Hinzufügen eines Skripts wird angezeigt.

   7. Geben Sie im Feld Skriptname den Namen
      „\\ServerName\ShareName\RunMRT.cmd“ ein.

   8. Klicken Sie auf OK und anschließend auf Übernehmen.

3. Melden Sie sich bei den Clientcomputern ab und anschließend wieder an.

In diesem Szenario werden das Skript und das Tool im Kontext des gerade angemeldeten Benutzers ausgeführt. Gehört dieser Benutzer nicht der Gruppe der lokalen Administratoren an oder verfügt er nicht über ausreichende Berechtigungen, wird das Tool nicht ausgeführt und kann auch nicht den richtigen Rückgabecode zurückmelden. Weitere Informationen zur Verwendung von Start- und Anmeldeskripts finden Sie im folgenden Artikel der Microsoft Knowledge Base:

198642 Überblick: Anmeldeskripts, Abmeldeskripts, Startskripts und Skripts zum Beenden in Windows 2000

322241 Zuweisen von Skripts in Windows 2000

Rückgabecodes überprüfen

Sie können den Rückgabecode des Tools in Ihrem Bereitstellungsskript für die Anmeldung bzw. den Start untersuchen, um die Ergebnisse der Ausführung des Tools zu überprüfen. Im Abschnitt Beispielcode finden Sie ein Beispiel dafür, wie Sie dies tun können.

Die folgende Liste enthält die gültigen Rückgabecodes.

Protokolldatei analysieren

Das Tool zum Entfernen bösartiger Software schreibt Details zu den Ergebnissen seiner Ausführung in die Protokolldatei „%windir%\debug\mrt.log“.

Hinweise

• Diese Protokolldatei ist nur in englischer Sprache verfügbar.

• Ab der Version 1.2 des Tools (März 2005) wird in dieser Protokolldatei Unicode-Text verwendet. Vor der Version 1.2 wurde in der Protokolldatei ANSI-Text verwendet.

• Das Protokollformat hat sich mit der Version 1.2 geändert. Microsoft empfiehlt, dass Sie die neueste Version des Tools herunterladen und verwenden.
  
  Falls die betreffende Protokolldatei bereits existiert, hängt das Tool die Ergebnisse an diese Protokolldatei an.

• Sie können ein ähnliches Befehlsskript wie in dem vorherigen Beispiel verwenden, um den Rückgabecode aufzuzeichnen und die Dateien auf einer Netzwerkfreigabe zu sammeln.

• Durch die Umstellung von ANSI auf Unicode kopiert die Version 1.2 des Tools alle Versionen der Datei „Mrt.log“ im Ordner „%windir%\debug“ und nennt die kopierten Dateien „Mrt.log.old“. Zusätzlich wird im gleichen Verzeichnis eine neue Unicode-Version der Datei „Mrt.log“ erstellt. Wie bei der ANSI-Version werden die Einträge jeden Monat ans Ende der Protokolldatei angehängt.

So sieht beispielsweise eine Mrt.log-Datei von einem Computer aus, der mit dem MPnTestFile-Wurm infiziert war:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

So sieht beispielsweise eine Protokolldatei aus, wenn keine Schadsoftware gefunden wurde.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

So sieht beispielsweise eine Protokolldatei aus, wenn Fehler gefunden wurden.


Weitere Informationen zu den von diesem Tool gemeldeten Warnungen und Fehlern finden Sie im folgenden Artikel der Microsoft Knowledge Base:

891717 Informationen zur Problembehandlung beim Ausführen des Microsoft Windows-Tools zum Entfernen bösartiger Software Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0) Started On Fri Aug 02 16:17:49 2013 Scan Results: ------------- Threat Detected: Virus:Win32/MPTestFile.2004, partially removed. Operation failed. Action: Clean, Result: 0x8007065E. Please use a full antivirus product ! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Results Summary: ---------------- Found Virus:Win32/MPTestFile.2004, partially removed. Microsoft Windows Malicious Software Removal Tool Finished On Fri Aug 02 16:18:09 2013 Return code: 7 (0x7)

Bekanntes Problem 1

Wenn Sie das Tool mithilfe des Startskripts ausführen, erhalten Sie möglicherweise Fehlermeldungen in der Datei „Mrt.log“ mit etwa folgendem Inhalt:
 

Hinweis Die Prozesskennungen (PIDs) können variieren.

Diese Fehlermeldung tritt auf, wenn ein Prozess entweder gerade gestartet wird oder vor kurzem beendet wurde. Die einzige Auswirkung dieses Fehlers besteht darin, dass der durch die Prozesskennung bezeichnete Prozess nicht untersucht wurde.

Bekanntes Problem 2

Wenn der Administrator das Windows-Tool zum Entfernen bösartiger Software (MSRT) mit der Befehlszeilenoption /q (d. h. im stillen bzw. automatischen Modus) bereitstellt, wird die Bereinigung für eine kleine Gruppe von Infektionen in einigen seltenen Fällen möglicherweise nicht vollständig ausgeführt, und zwar, wenn ein zusätzliches Bereinigen nach einem Neustart erforderlich ist. Dies wurde nur beim Entfernen bestimmter Rootkitvarianten festgestellt.