Déployer l’outil de suppression de logiciels malveillants Windows dans un environnement d’entreprise (KB891716)

Procédure d'utilisation du package logiciel SMS

L'exemple suivant fournit les instructions détaillées pour l'utilisation de SMS 2003. Les étapes à suivre pour SMS 2.0 sont similaires.

1. Extraire le fichier Mrt.exe du paquet nommé Windows-KB890830-V5.129.exe /x.

2. Créez un fichier .bat pour démarrer Mrt.exe et capturer le code de retour à l'aide de ISMIF32.exe.
   
   Voici un exemple.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Pour plus d'informations sur Ismif32.exe, consultez l'article suivant de la Base de connaissances Microsoft :

   268791 Traitement dans SMS 2.0 d'un fichier MIF (Management Information Format) d'état produit par le fichier ISMIF32.exe

   186415 Disponibilité du créateur MIF d'état, Ismif32.exe

3. Pour créer un package dans la console SMS 2003, procédez comme suit :

   1. Ouvrez la console Administrateur SMS.

   2. Sélectionnez avec le bouton droit le nœud Packages, sélectionnez Nouveau, puis sélectionnez Package.
      
      La boîte de dialogue Propriétés du package s’affiche.

   3. Sous l'onglet Général, nommez le package.

   4. Sous l’onglet source de données, activez la case à cocher Ce package contient des fichiers sources case à cocher.

   5. Sélectionnez Définir, puis choisissez un répertoire source qui contient l’outil.

   6. Sous l'onglet Paramètres de distribution, donnez à la Priorité d'expédition la valeur Haute.

   7. Dans l'onglet Reporting, sélectionnez Utilisez ces champs pour l'appariement des CMI d'état, puis indiquez un nom pour les champs MIF nom de fichier (nom du fichier MIF) et
      Name (nom).
      
      Les éléments Version et Éditeur sont facultatifs.

   8. Sélectionnez sur OK pour créer le package.

4. Pour spécifier un point de distribution du package, procédez comme suit :

   1. Dans la console SMS 2003, recherchez le nouveau package sous le nœud Packages.

   2. Développez le package. Sélectionnez avec le bouton droit Points de distribution, pointez sur Nouveau, puis sélectionnez points de distribution.

   3. Démarrez l'Assistant Nouveaux points de distribution. Sélectionnez un point de distribution existant.

   4. Sélectionnez Terminer pour quitter l’Assistant.

5. Pour ajouter au nouveau package le fichier de commandes créé précédemment, procédez comme suit :

   1. Sous le nœud du nouveau package, sélectionnez sur le nœud Programmes.

   2. Sélectionnez Avec le bouton droit programmes, pointez sur Nouveau, puis sélectionnez Programme.

   3. Sélectionnez sur l'onglet Général, puis entrez un nom valide.

   4. Dans la ligne de commande, sélectionnez Parcourir pour sélectionner le fichier de commandes que vous avez créé pour démarrer Mrt.exe.

   5. Remplacez l’option Exécuter par Masquer. Modifiez l'option Après en Aucune action requise.

   6. Sélectionnez sur l'onglet Spécifications, puis sélectionnez l'option Ce programme ne peut s'exécuter que sur les plateformes indiquées.

   7. Sélectionnez Tous les Windows XP x86.

   8. Sélectionnez l'onglet Environnement, sélectionnez Si un utilisateur est connecté dans la liste Le programme peut s'exécuter. Donnez au mode d'exécution la valeur Exécuter avec les droits d'administration.

   9. Cliquez sur OK pour fermer la boîte de dialogue Courrier.

6. Pour créer une publication afin de publier le programme sur les clients, procédez comme suit :

   1. Sélectionnez avec le bouton droit le nœud Annonce publicitaire , sélectionnez Nouveau, puis Annonce Publicitaire.

   2. Sous l'onglet Général, entrez le nom à attribuer à la publication. Dans le champ Package, sélectionnez le package créé précédemment. Dans le champ Programme, sélectionnez le programme créé précédemment. Sélectionnez sur Parcourir, puis sur le regroupement Tous les systèmes ou sélectionnez un regroupement d'ordinateurs qui n'inclut que Windows Vista et ses versions ultérieures.

   3. Sous l'onglet Calendrier, laissez les options par défaut si vous souhaitez que le programme ne s'exécute qu'une fois. Pour planifier l'exécution du programme, affectez un intervalle de planification.

   4. Donnez à la priorité la valeur Haute.

   5. Sélectionnez sur OK pour créer la publication.

Utilisation d'un script de démarrage d'ordinateur basé sur la stratégie de groupe

Cette méthode exige que vous redémarriez l'ordinateur client après avoir configuré le script et appliqué le paramètre Stratégie de groupe.

1. Configurez les partages. Pour ce faire, suivez les étapes de la section Configuration initiale et configuration .

2. Créez le script de démarrage. Pour ce faire, procédez comme suit :

   1. Dans le composant logiciel enfichable MMC Utilisateurs et ordinateurs Active Directory , sélectionnez avec le bouton droit le nom de domaine, puis sélectionnez Propriétés.

   2. Sélectionnez l’onglet stratégie de groupe .

   3. Sélectionnez sur Nouveau pour créer un objet de stratégie de groupe (GPO), puis entrez le nom de stratégie Déploiement MRT.

   4. Sélectionnez la nouvelle stratégie, puis sélectionnez Modifier.

   5. Développez Paramètres Windows pour la configuration de l’ordinateur, puis sélectionnez Scripts.

   6. Double-sélectionnez Ouverture de session, puis Sélectionnez Ajouter.
      
      La boîte de dialogue Ajout d’un Script s’affiche.

   7. Dans la zone Nom du script, tapez \\ServerName\ShareName\RunMRT.cmd.

   8. Sélectionnez OK, puis Appliquer.

3. Redémarrez les ordinateurs clients membres de ce domaine.

Utilisation d'un script d'ouverture de session utilisateur basé sur la stratégie de groupe

Cette méthode exige que le compte d'utilisateur d'ouverture de session soit un compte de domaine et un membre du groupe Administrateurs local sur l'ordinateur client.

1. Configurez les partages. Pour ce faire, suivez les étapes décrites dans la section
   Installation initiale et configuration.

2. Créez le script d'ouverture de session. Pour ce faire, procédez comme suit :

   1. Dans le composant logiciel enfichable MMC Utilisateurs et ordinateurs Active Directory , sélectionnez avec le bouton droit le nom de domaine, puis sélectionnez Propriétés.

   2. Sélectionnez l’onglet stratégie de groupe .

   3. Sélectionnez Nouveau pour créer un objet de stratégie de groupe, puis tapez MRT Deployment pour le nom.

   4. Sélectionnez la nouvelle stratégie, puis sélectionnez Modifier.

   5. Développez Paramètres Windows pour la configuration utilisateur, puis sélectionnez Scripts.

   6. Double-sélectionnez Ouverture de session, puis Sélectionnez Ajouter. La boîte de dialogue Ajouter un script s’affiche.

   7. Dans la zone Nom du script, tapez \\ServerName\ShareName\RunMRT.cmd.

   8. Sélectionnez OK, puis Appliquer.

3. Déconnectez-vous et reconnectez-vous aux ordinateurs clients.

Dans ce scénario, le script et l'outil s'exécuteront dans le contexte de l'utilisateur ayant ouvert une session. Si cet utilisateur n'appartient pas au groupe local Administrateurs ou s'il ne possède pas les autorisations suffisantes, l'outil ne s'exécutera pas et ne renverra pas le code de retour approprié. Pour plus d'informations sur la façon d'utiliser les scripts de démarrage et d'ouverture de session, consultez l'article suivant de la Base de connaissances Microsoft :

198642 Présentation des scripts d'ouverture de session, de fermeture de session, de démarrage et d'arrêt dans Windows 2000

322241 Comment faire pour affecter des scripts sous Windows 2000

Procédure pour examiner les codes de retour

Vous pouvez examiner les codes de retour de l'outil dans votre script d'ouverture de session ou de déploiement afin de vérifier les résultats de l'exécution. Pour plus de détails, consultez la section Exemple de code.

La liste suivante contient les codes de retour valides.

Procédure pour analyser le fichier journal

L'outil de suppression de logiciels malveillants Microsoft Windows enregistre les détails relatifs aux résultats de son exécution dans le fichier journal %windir%\debug\mrt.log.

Remarques

• Ce fichier journal est disponible uniquement en anglais.

• À partir de la version 1.2 de l'outil de suppression (mars 2005), ce fichier journal utilise le texte Unicode. Avant la version 1.2, il utilisait le texte ANSI.

• Le format du fichier journal a changé avec la version 1.2. Il est recommandé de télécharger et d'utiliser la dernière version de l'outil.
  
  Si ce fichier journal existe déjà, l’outil ajoute les données au fichier existant.

• Vous pouvez utiliser un script de commandes semblable à l'exemple précédent pour capturer le code de retour et rassembler les fichiers sur un partage réseau.

• En raison du passage du format ANSI au format Unicode, la version 1.2 de l'outil de suppression copiera les versions ANSI du fichier Mrt.log du dossier %windir%\debug dans le fichier Mrt.log.old dans le même répertoire. La version 1.2 crée également une nouvelle version Unicode du fichier Mrt.log dans le même répertoire. Comme la version ANSI, ce fichier journal sera ajouté à chaque publication mensuelle.

L'exemple suivant est un fichier Mrt.log provenant d'un ordinateur infecté par le ver informatique MPnTestFile

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

L’exemple suivant concerne un fichier journal dans lequel aucun logiciel malveillant n’a été détecté.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

L’exemple suivant concerne un fichier journal dans lequel des erreurs ont été détectées.

Pour plus d’informations sur les avertissements et les erreurs provoqués par l’outil, consultez l’article suivant de la Base de connaissances Microsoft :

891717 Comment résoudre une erreur lors de l’exécution de l’outil de suppression de logiciels malveillants Microsoft Windows Outil de suppression de logiciels malveillants Microsoft Windows 5.3, août 2013 (build 5.3.9300.0) Démarré le 2 août 16:17:49 2013 Résultats de l’analyse : ------------- Menace détectée : Virus : Win32/MPTestFile.2004, partiellement supprimé. Échec de l’opération. Action : Nettoyer, Résultat : 0x8007065E. Veuillez utiliser un produit antivirus complet ! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Résumé des résultats : ---------------- Détection du Virus:Win32/MPTestFile.2004, partiellement supprimé. Outil de suppression de logiciels malveillants Microsoft Windows Terminé le 2 août 16:18:09 2013 Code de retour : 7 (0x7)

Problème connu 1

Lors de l’exécution de l’outil à l’aide d’un script de démarrage, des messages d’erreur semblables au suivant peuvent être consignés dans le fichier Mrt.log :
 

Remarque Le nombre de pid varie.

Ce message d’erreur s’affiche quand un processus vient de démarrer ou a été arrêté récemment. Le seul effet est que le processus désigné par le pid n'est pas analysé.

Problème connu 2

Dans certains cas rares, si un administrateur choisit de déployer l'outil de suppression de logiciels malveillants (MSRT) avec le commutateur quiet /q (également appelé « mode silencieux »), cet outil risque de ne pas résoudre complètement le nettoyage d'un petit sous-ensemble d'infections dans des cas où un nettoyage supplémentaire est nécessaire après un redémarrage. Ce comportement n'a été observé que dans la suppression de certaines variantes de rootkit.