Implementacija alata za uklanjanje zlonamjernog softvera sustava Windows u poslovnom okruženju (KB891716)

Kako koristiti softverski paket za SMS

Sljedeći primjer daje detaljne upute za korištenje programa SMS 2003. Koraci za korištenje SMS 2.0 slični su sljedećim koracima.

1. Izdvojite Mrt.exe datoteku iz paketa s nazivom Windows-KB890830-V5.141.exe /x.

2. Stvorite .bat datoteku za početak Mrt.exe i da biste snimili povratni kod pomoću ISMIF32.exe.
   
   Slijedi primjer.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Dodatne informacije o Ismif32.exe potražite u članku iz Microsoftove baze znanja pod brojem

   268791 Način obrade MIF-a (Status Management Information Format) koji proizvede ISMIF32.exe datoteka u programu SMS 2.0

   186415 Status autora MIF-a, Ismif32.exe je dostupan

3. Da biste stvorili paket na konzoli SMS 2003, slijedite ove korake:

   1. Otvorite administratorsku konzolu SMS-a.

   2. Desnom tipkom miša odaberite čvor Paketi , odaberite Novo, a zatim odaberite Paket.
      
      Prikazat će se dijaloški okvir Svojstva paketa .

   3. Na kartici Općenito dodijelite naziv paketu.

   4. Na kartici Izvor podataka potvrdite okvir Ovaj paket sadrži izvorne datoteke .

   5. Odaberite Postavi, a zatim odaberite izvorišni direktorij koji sadrži alat.

   6. Na kartici Postavke distribucije postavite prioritet slanja na Visok.

   7. Na kartici Izvješćivanje odaberite Koristi ova polja za podudaranje MIF statusa, a zatim navedite naziv za polje naziva datoteke MIF i
      poljeNaziv.
      
      Verzija i Publisher nisu obavezni.

   8. Odaberite U redu da biste stvorili paket.

4. Da biste odredili točku raspodjele (DP) paketa, slijedite ove korake:

   1. Na konzoli SMS 2003 pronađite novi paket u čvoru Paketi .

   2. Proširite paket. Desnom tipkom miša odaberite točke raspodjele, pokažite na Novo, a zatim odaberite točke raspodjele.

   3. Pokrenite čarobnjak za nove točke raspodjele. Odaberite postojeću točku raspodjele.

   4. Da biste izašli iz čarobnjaka, odaberite Završi.

5. Da biste prethodno stvorenu batch datoteku dodali u novi paket, slijedite ove korake:

   1. U čvoru novog paketa odaberite čvor Programi .

   2. Desnom tipkom miša odaberite Programi, pokažite na Novo, a zatim odaberite Program.

   3. Odaberite karticu Općenito , a zatim unesite valjani naziv.

   4. U naredbenom retku odaberite Pregledaj da biste odabrali skupnu datoteku koju ste stvorili za pokretanje Mrt.exe.

   5. Promijenite mogućnost Pokreni u Skriveno. Promijeni nakon u Nije potrebna nikakva radnja.

   6. Odaberite karticu Preduvjeti, a zatim odaberite Ovaj program se može izvoditi samo na određenim klijentskim operacijskim sustavima.

   7. Odaberite sve x86 Windows XP.

   8. Odaberite karticu Okruženje, a zatim odaberite je li korisnik prijavljen na popis Program može pokrenuti. Postavite način rada za pokretanje na Pokreni s administratorskim pravima.

   9. Odaberite U redu da biste zatvorili dijaloški okvir.

6. Da biste stvorili oglas za oglašavanje programa klijentima, slijedite ove korake:

   1. Desnom tipkom miša odaberite čvor Oglas, odaberite Novo, a zatim odaberite Oglas.

   2. Na kartici Općenito unesite naziv oglasa. U polju Paket odaberite paket koji ste prethodno stvorili. U polju Program odaberite program koji ste prethodno stvorili. Odaberite Pregledaj, a zatim zbirku Svi sustav ili odaberite zbirku računala koja sadrži samo sustav Windows Vista i novije verzije.

   3. Ako želite da se program pokrene samo jedanput, na kartici Raspored ostavite zadane mogućnosti. Da biste program izvodili prema rasporedu, dodijelite interval rasporeda.

   4. Postavite prioritet na Visok.

   5. Odaberite U redu da biste stvorili oglas.

Korištenje skripte za pokretanje računala utemeljene na pravilnik grupe

Za ovaj postupak potrebno je ponovno pokrenuti klijentsko računalo nakon postavljanja skripte i primjene postavke pravilnik grupe.

1. Postavite zajedničko korištenje. Da biste to učinili, slijedite korake navedene u odjeljku Početno postavljanje i konfiguracija .

2. Postavite skriptu za pokretanje. Da biste to učinili, učinite sljedeće:

   1. U dodatnom alatu Active Directory Users and Computers MMC desnom tipkom miša odaberite naziv domene, a zatim odaberite Svojstva.

   2. Odaberite karticu pravilnik grupe.

   3. Odaberite Novo da biste stvorili novi objekt pravilnik grupe (GPO), a zatim kao naziv pravilnika upišite MRT implementaciju.

   4. Odaberite novi pravilnik, a zatim odaberite Uredi.

   5. Proširite postavke sustava Windows za konfiguraciju računala, a zatim odaberite Skripte.

   6. Dvaput odaberite Prijava, a zatim Dodaj.
      
      Prikazat će se dijaloški okvir Dodavanje skripte .

   7. U okvir Naziv skripte upišite \\ServerName\ShareName\RunMRT.cmd.

   8. Odaberite U redu, a zatim Primijeni.

3. Ponovno pokrenite klijentska računala koja su članovi ove domene.

Korištenje skripte za prijavu korisnika utemeljene na pravilnik grupe

Za taj je postupak potreban korisnički račun za prijavu domenski račun te član lokalne administratorske grupe na klijentskom računalu.

1. Postavite zajedničko korištenje. Da biste to učinili, slijedite korake navedene u odjeljku
   Početno postavljanje i konfiguracija .

2. Postavite skriptu za prijavu. Da biste to učinili, učinite sljedeće:

   1. U dodatnom alatu Active Directory Users and Computers MMC desnom tipkom miša odaberite naziv domene, a zatim odaberite Svojstva.

   2. Odaberite karticu pravilnik grupe.

   3. Odaberite Novo da biste stvorili novi objekt pravilnika grupe, a zatim kao naziv upišite MRT Deployment.

   4. Odaberite novi pravilnik, a zatim odaberite Uredi.

   5. Proširite postavke sustava Windows za korisničku konfiguraciju, a zatim odaberite Skripte.

   6. Dvaput odaberite Prijava, a zatim Dodaj. Prikazat će se dijaloški okvir Dodavanje skripte .

   7. U okvir Naziv skripte upišite \\ServerName\ShareName\RunMRT.cmd.

   8. Odaberite U redu, a zatim Primijeni.

3. Odjavite se i ponovno uključite na klijentska računala.

U tom će se scenariju skripta i alat pokrenuti u kontekstu prijavljenog korisnika. Ako taj korisnik ne pripada lokalnoj grupi administratora ili nema odgovarajuće dozvole, alat se neće pokrenuti i neće vratiti odgovarajući povratni kod. Dodatne informacije o korištenju skripti za pokretanje i skripte za prijavu potražite u članku iz Microsoftove baze znanja pod brojem

198642 Pregled skripti prijave, odjave, pokretanja i isključivanja u sustavu Windows 2000

322241 Dodjela skripti u sustavu Windows 2000

Pregled povratnih kodova

Povratni kôd alata možete pregledati u skripti za prijavu u implementaciju ili u skripti za pokretanje implementacije da biste provjerili rezultate izvršenja. Primjer tog postupka potražite u odjeljku Primjer programskog koda .

Sljedeći popis sadrži valjane povratne kodove.

Kako raščlaniti datoteku zapisnika

Alat za uklanjanje zlonamjernog softvera zapisuje pojedinosti o rezultatu svog izvršavanja u datoteku zapisnika %windir%\debug\mrt.log.

Napomene

• Datoteka zapisnika dostupna je samo na engleskom.

• Počevši od verzije 1.2 alata za uklanjanje (ožujak 2005.), ta datoteka zapisnika koristi Unicode tekst. Prije verzije 1.2 datoteka zapisnika koristila je ANSI tekst.

• Oblik datoteke zapisnika promijenio se u verziji 1.2, pa preporučujemo da preuzmete i koristite najnoviju verziju alata.
  
  Ako ta datoteka zapisnika već postoji, alat će se dodati postojećoj datoteci.

• Pomoću naredbene skripte koja sliči prethodnom primjeru možete snimiti povratni kod i prikupiti datoteke na zajednički mrežni resurs.

• Zbog prelaska sa standarda ANSI na Unicode verzija 1.2 alata za uklanjanje kopirat će sve ANSI verzije datoteke Mrt.log iz mape %windir%\debug u Mrt.log.old u istom direktoriju. Verzija 1.2 stvara i novu Unicode verziju Mrt.log datoteke u istom direktoriju. Kao i verzija ANSI, ta će se datoteka zapisnika dodavati izdanju svakog mjeseca.

Slijedi primjer datoteke Mrt.log s računala koje je zaraženo crvom MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Slijedi primjer datoteke zapisnika u kojoj nije pronađen zlonamjerni softver.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Slijedi ogledna datoteka zapisnika u kojoj su pronađene pogreške.

Dodatne informacije o upozorenjima i pogreškama koje uzrokuje taj alat potražite u članku iz Microsoftove baze znanja pod brojem

891717 Otklanjanje poteškoća s pogreškom prilikom pokretanja alata za uklanjanje zlonamjernog softvera za Microsoft Windows Microsoftov alat za uklanjanje zlonamjernog softvera u sustavu Windows v5.3, kolovoz 2013. (međuverzija 5.3.9300.0) Početak Pet 02. kolovoza 16:17:49 2013. Rezultati pregleda: ------------- Otkrivena prijetnja: Virus:Win32/MPTestFile.2004, djelomično uklonjena. Operacija nije uspjela. Akcija: Čista, Rezultat: 0x8007065E. Upotrijebite potpuni antivirusni proizvod! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Sažetak rezultata: ---------------- pronađen virus:Win32/MPTestFile.2004, djelomično uklonjen. Alat za uklanjanje zlonamjernog softvera u sustavu Microsoft Windows Završen Pet Avg 02 16:18:09 2013 Povratni kod: 7 (0x7)

Poznati problem 1

Kada pokrenete alat pomoću skripte za pokretanje, u Mrt.log datoteci mogu biti zabilježene poruke o pogreškama koje izgledaju poput sljedeće poruke o pogrešci:
 

Napomena PID broj varira.

Ta se poruka o pogrešci prikazuje kada se proces tek pokreće ili ako je nedavno zaustavljen. Jedini učinak je da se postupak koji je označen pid-om ne skenira.

Poznati problem 2

U nekim rijetkim slučajevima, ako administrator implementira MSRT pomoću tihog prekidača /q (poznatog i kao tihi način rada), to možda neće u potpunosti riješiti čišćenje malog podskupa infekcija u situacijama u kojima je potrebno dodatno čišćenje nakon ponovnog pokretanja. To je primijećeno samo kod uklanjanja određenih varijanti rootkita.