Windowsin haittaohjelmien poistotyökalun käyttöönotto yritysympäristössä (KB891716)

SmS-ohjelmistopaketin käyttäminen

Seuraavassa esimerkissä on sms 2003:n käyttöä koskevat vaiheittaiset ohjeet. SmS 2.0:n käytön vaiheet muistuttavat näitä vaiheita.

1. Pura Mrt.exe tiedosto paketista, jonka nimi on Windows-KB890830-V5.123.exe /x.

2. Luo .bat tiedosto Mrt.exe käynnistämiseksi ja palautuskoodin sieppaamiseksi ISMIF32.exe avulla.
   
   Seuraavassa on esimerkki.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Lisätietoja Ismif32.exe on seuraavassa Microsoft Knowledge Base -tietokannan artikkelissa:

   268791 Miten ISMIF32.exe-tiedoston tuottama tilanhallintatietomuoto (MIF) käsitellään SMS 2.0:ssa

   186415 Tila MIF creator, Ismif32.exe on käytettävissä

3. Voit luoda paketin SMS 2003 -konsolissa seuraavasti:

   1. Avaa sms-järjestelmänvalvojakonsoli.

   2. Valitse Paketit-solmu hiiren kakkospainikkeella, valitse Uusi ja valitse sitten Paketti.
      
      Paketin ominaisuudet -valintaikkuna tulee näkyviin.

   3. Nimeä paketti Yleiset-välilehdessä .

   4. Valitse Tietolähde-välilehdessä Tämä paketti sisältää lähdetiedostoja -valintaruutu.

   5. Valitse Aseta ja valitse sitten lähdehakemisto, joka sisältää työkalun.

   6. Määritä Jakeluasetukset-välilehdenLähetä prioriteetti -asetukseksi Suuri.

   7. Valitse Raportointi-välilehdessäKäytä näitä kenttiä tilan MIF-täsmäytykseen ja määritä sitten nimi MIF-tiedostonimikentälle jaNimi-kentälle.
      
      
      Versio ja Publisher ovat valinnaisia.

   8. Luo paketti valitsemalla OK .

4. Jos haluat määrittää pakettiin jakelupisteen (DP), toimi seuraavasti:

   1. Etsi uusi paketti SMS 2003 -konsolista Paketit-solmun alta.

   2. Laajenna paketti. Valitse jakelupisteet hiiren kakkospainikkeella, valitse Uusi ja valitse sitten Jakelupisteet.

   3. Käynnistä ohjattu uusi jakelupisteiden luominen. Valitse aiemmin luotu jakelupiste.

   4. Poistu ohjatusta toiminnosta valitsemalla Valmis .

5. Jos haluat lisätä aiemmin luodun erätiedoston uuteen pakettiin, toimi seuraavasti:

   1. Valitse uusi pakettisolmu -kohdassa Ohjelmat-solmu .

   2. Valitse hiiren kakkospainikkeella Ohjelmat, valitse Uusi ja valitse sitten Ohjelma.

   3. Valitse Yleiset-välilehti ja kirjoita sitten kelvollinen nimi.

   4. Valitse KomentoriviltäSelaa ja valitse luomasi komentojonotiedosto aloittaaksesi Mrt.exe.

   5. Muuta Suorita-toiminnoksi Piilotettu. Muuta Jälkeen-toiminnoksi Ei pakollista toimintoa.

   6. Valitse Vaatimukset-välilehti ja valitse sitten Tämä ohjelma voi toimia vain määritetyissä asiakaskäyttöjärjestelmissä.

   7. Valitse Kaikki x86 Windows XP.

   8. Valitse Ympäristö-välilehti ja valitse, onko käyttäjä kirjautuneenaOhjelmaan voi suorittaa - luetteloon. Määritä Suorita-tilaksi Suorita järjestelmänvalvojan oikeuksilla.

   9. Sulje valintaikkuna valitsemalla OK .

6. Jos haluat luoda ilmoituksen ohjelman mainostamiseksi asiakkaille, toimi seuraavasti:

   1. Valitse Mainossolmu hiiren kakkospainikkeella , valitse Uusi ja valitse sitten Mainos.

   2. Kirjoita Yleinen-välilehdessä mainokselle nimi. Valitse Paketti-kentässä aiemmin luomasi paketti. Valitse Ohjelma-kentässä ohjelma, jonka loit aiemmin. Valitse Selaa ja valitse sitten Kaikki järjestelmä - kokoelma tai valitse tietokonekokoelma, joka sisältää vain Windows Vistan ja uudemmat versiot.

   3. Jätä Aikataulu-välilehden oletusasetukset, jos haluat ohjelman suoritettavan vain kerran. Jos haluat suorittaa ohjelman aikataulussa, määritä aikatauluväli.

   4. Määritä Prioriteetti-asetukseksiSuuri.

   5. Luo mainos valitsemalla OK .

ryhmäkäytäntö-pohjaisen tietokoneen käynnistyskomentosarjan käyttäminen

Tämä menetelmä edellyttää, että käynnistät asiakastietokoneen uudelleen komentosarjan määrittämisen jälkeen ja sen jälkeen, kun olet määrittänyt ryhmäkäytäntö-asetuksen.

1. Määritä jaot. Voit tehdä tämän noudattamalla Ensimmäisen määrityksen ja määrityksen osion ohjeita.

2. Määritä käynnistyskomentosarja. Voit tehdä tämän seuraavasti:

   1. Valitse Active Directoryn käyttäjät ja tietokoneet MMC-laajennuksessa toimialueen nimi hiiren kakkospainikkeella ja valitse sitten Ominaisuudet.

   2. Valitse ryhmäkäytäntö-välilehti.

   3. Luo uusi ryhmäkäytäntö-objekti (GPO) valitsemalla Uusi ja kirjoita käytännön nimeksi MRT Deployment.

   4. Valitse uusi käytäntö ja valitse sitten Muokkaa.

   5. Laajenna Windowsin asetukset tietokoneasetuksia varten ja valitse sitten Komentosarjat.

   6. Kaksoisnapsauta Kirjaudu sisään ja valitse sitten Lisää.
      
      Lisää komentosarja -valintaikkuna tulee näkyviin.

   7. Kirjoita Komentosarjan nimi -ruutuun \\ServerName\ShareName\RunMRT.cmd.

   8. Valitse OK ja valitse sitten Käytä.

3. Käynnistä uudelleen asiakastietokoneet, jotka kuuluvat tähän toimialueeseen.

ryhmäkäytäntö-pohjaisen käyttäjän kirjautumiskomentosarjan käyttäminen

Tämä menetelmä edellyttää, että kirjautumiskäyttäjätili on toimialuetili ja paikallisen järjestelmänvalvojan ryhmän jäsen asiakastietokoneessa.

1. Määritä jaot. Voit tehdä tämän noudattamallaEnsimmäisen määrityksen ja määrityksen osion
   ohjeita.

2. Määritä kirjautumiskomentosarja. Voit tehdä tämän seuraavasti:

   1. Valitse Active Directoryn käyttäjät ja tietokoneet MMC-laajennuksessa toimialueen nimi hiiren kakkospainikkeella ja valitse sitten Ominaisuudet.

   2. Valitse ryhmäkäytäntö-välilehti.

   3. Luo uusi ryhmäkäytäntöobjekti valitsemalla Uusi ja kirjoita nimelle MRT Deployment.

   4. Valitse uusi käytäntö ja valitse sitten Muokkaa.

   5. Laajenna Windowsin asetukset käyttäjäkokoonpanoa varten ja valitse sitten Komentosarjat.

   6. Kaksoisnapsauta Kirjaudu sisään ja valitse sitten Lisää. Lisää komentosarja -valintaikkuna tulee näkyviin.

   7. Kirjoita Komentosarjan nimi -ruutuun \\ServerName\ShareName\RunMRT.cmd.

   8. Valitse OK ja valitse sitten Käytä.

3. Kirjaudu ulos ja kirjaudu sitten asiakastietokoneisiin.

Tässä skenaariossa komentosarja ja työkalu suoritetaan kirjautuneen käyttäjän kontekstissa. Jos tämä käyttäjä ei kuulu paikalliseen järjestelmänvalvojaryhmään tai hänellä ei ole riittäviä käyttöoikeuksia, työkalua ei suoriteta eikä se palauta asianmukaista palautuskoodia. Lisätietoja käynnistyskomentosarjojen ja kirjautumiskomentosarjojen käyttämisestä on seuraavassa Microsoft Knowledge Base -tietokannan artikkelissa:

198642 Windows 2000:n kirjautumis-, uloskirjautumis-, käynnistys- ja sammutuskomentosarjat

322241 Komentosarjojen määrittäminen Windows 2000:ssa

Palautuskoodien tutkiminen

Voit tarkistaa käyttöönoton kirjautumiskomentosarjan tai käyttöönoton käynnistyskomentosarjan työkalun palautuskoodin ja tarkistaa suoritustulokset. Katso koodiesimerkkiosasta esimerkki siitä, miten tämä tehdään.

Seuraavassa luettelossa on kelvolliset palautuskoodit.

Lokitiedoston jäsentäminen

Haittaohjelmien poistotyökalu kirjoittaa tietoja sen suorittamisen tuloksesta %windir%\debug\mrt.log lokitiedostoon.

Muistiinpanoja

• Tämä lokitiedosto on käytettävissä vain englanniksi.

• Tämä lokitiedosto käyttää Unicode-tekstiä poistotyökalun versiosta 1.2 alkaen (maaliskuussa 2005). Ennen versiota 1.2 lokitiedostossa käytettiin ANSI-tekstiä.

• Lokitiedostomuoto on muuttunut version 1.2 myötä, ja suosittelemme, että lataat ja käytät työkalun uusinta versiota.
  
  Jos tämä lokitiedosto on jo olemassa, työkalu liitetään aiemmin luotuun tiedostoon.

• Voit käyttää aiempaa esimerkkiä muistuttavan komentosarjaa palautuskoodin sieppaamiseen ja tiedostojen keräämiseen jaettuun verkkoresurssiin.

• Ansi-versiosta Unicode-versioon siirtymisen vuoksi poistotyökalun versio 1.2 kopioi kaikki Mrt.log-tiedoston ANSI-versiot %windir%\debug-kansiossa Mrt.log.old samassa hakemistossa. Versio 1.2 luo myös uuden Unicode-version Mrt.log tiedostosta samaan hakemistoon. Kuten ANSI-versiossa, tämä lokitiedosto liitetään kunkin kuukauden julkaisuun.

Seuraava esimerkki on Mrt.log tiedosto tietokoneesta, jossa on MPnTestFile-mato:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Seuraavassa on esimerkkilokitiedosto, josta ei löydy haittaohjelmia.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Seuraavassa on esimerkkilokitiedosto, josta löytyy virheitä.

Lisätietoja työkalun aiheuttamista varoituksista ja virheistä on seuraavassa Microsoft Knowledge Base -tietokannan artikkelissa:

891717 Virheen vianmääritys, kun suoritat Microsoft Windowsin haittaohjelmien poistotyökalun Microsoft Windowsin haittaohjelmien poistotyökalu v5.3. elokuuta 2013 (koontiversio 5.3.9300.0) alkoi pe 02.8.2013 16:17:49 Skannaustulokset: ------------- uhka havaittu: Virus:Win32/MPTestFile.2004, osittain poistettu. Toiminto epäonnistui. Toiminto: Puhdista, Tulos: 0x8007065E. Käytä täysiä virustentorjuntaohjelmia! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z tulosten yhteenveto: ---------------- löydetty virus:Win32/MPTestFile.2004, osittain poistettu. Microsoft Windowsin haittaohjelmien poistotyökalu valmis pe 02.8.2013 16:18:09 Palautuskoodi: 7 (0x7)

Tunnettu ongelma 1

Kun suoritat työkalun käynnistyskomentosarjan avulla, seuraavan virhesanoman näköisiä virhesanomia saatetaan kirjata Mrt.log tiedostoon:
 

Huomautus Pid-luku vaihtelee.

Tämä virhesanoma tulee näkyviin, kun prosessi on vasta alkamassa tai kun prosessi on äskettäin pysäytetty. Ainoa vaikutus on se, että pid:n määrittämää prosessia ei skannata.

Tunnettu ongelma 2

Joissakin harvoissa tapauksissa, jos järjestelmänvalvoja ottaa MSRT:n käyttöön käyttämällä /q:n hiljaista valitsinta (tunnetaan myös nimellä hiljainen tila), tämä ei välttämättä ratkaise täysin pienen osatartuntojen puhdistusta tilanteissa, joissa uudelleenkäynnistyksen jälkeen tarvitaan lisäpuhdistustoimintoa. Tämä on havaittu vain tiettyjen rootkit-varianttien poistamisessa.