Implementacija alata za uklanjanje zlonamjernog softvera u sustavu Windows u poslovnom okruženju (KB891716)

Kako koristiti softverski paket za SMS

U sljedećem se primjeru navode detaljne upute za korištenje sms-a 2003. Koraci za korištenje sms-a 2.0 slični su ovim koracima.

1. Izdvojite Mrt.exe datoteke iz paketa s nazivom Windows-KB890830-V5.131.exe /x.

2. Stvorite datoteku .bat da biste Mrt.exe i snimili povratni kod pomoću ISMIF32.exe.
   
   Slijedi primjer.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Dodatne informacije o Ismif32.exe potražite u sljedećem članku u Microsoftovoj bazi znanja:

   268791 Kako se datoteka oblika informacija o upravljanju statusom (MIF) koju je proizvela ISMIF32.exe datoteka obrađuje u sms 2.0

   186415 Status MIF creator, Ismif32.exe je dostupan

3. Da biste stvorili paket na konzoli SMS 2003, slijedite ove korake:

   1. Otvorite konzolu za administratore SMS-ova.

   2. Desnom tipkom miša odaberite čvor Paketi, odaberite Novo, a zatim Odaberite Paket.
      
      Prikazuje se dijaloški okvir Svojstva paketa.

   3. Na kartici Općenito dodijelite naziv paketu.

   4. Na kartici Izvor podataka potvrdite okvir Ovaj paket sadrži izvorne datoteke.

   5. Odaberite Postavi, a zatim izvorišni direktorij koji sadrži alat.

   6. Na kartici Postavke raspodjele postavite prioritet Slanje naVisoko.

   7. Na kartici Izvješćivanje odaberite Koristi ta polja za podudaranje MIF statusa, a zatim navedite naziv za polje s nazivom MIF datoteke i
      polje Naziv.
      
      Verzija iPublisher nisu obavezni.

   8. Odaberite U redu da biste stvorili paket.

4. Da biste naveli točku raspodjele (DP) u paket, slijedite ove korake:

   1. Na konzoli SMS 2003 pronađite novi paket u čvoru Paketi.

   2. Proširite paket. Desnom tipkom miša odaberite Točke raspodjele, pokažite na Novo, a zatim odaberite Točke raspodjele.

   3. Pokrenite čarobnjak za nove točke raspodjele. Odaberite postojeću točku raspodjele.

   4. Odaberite Završi da biste izašli iz čarobnjaka.

5. Da biste dodali skupnu datoteku koja je prethodno stvorena u novi paket, slijedite ove korake:

   1. U novom čvoru paketa odaberite čvor Programi.

   2. Desnom tipkom miša odaberite Programi, pokažite na Novo, a zatim odaberite Program.

   3. Odaberite karticu Općenito, a zatim unesite valjani naziv.

   4. U naredbenom retku odaberite Pregledaj da biste odabrali skupnu datoteku koju ste stvorili da biste pokrenuli Mrt.exe.

   5. Promijeni Pokreni uSkriveno. Promijeni nakon uBez potrebne akcije.

   6. Odaberite karticu Preduvjeti, a zatim Ovaj program može se izvoditi samo na određenim klijentskim operacijskim sustavima.

   7. Odaberite Sve x86 Windows XP.

   8. Odaberite karticu Okruženje, odaberite Je li korisnik prijavljen napopisu Program može pokrenuti . Postavite način izvođenja na Pokreni s administratorskim pravima.

   9. Odaberite U redu da biste zatvorili dijaloški okvir.

6. Da biste stvorili oglas za oglašavanje programa klijentima, slijedite ove korake:

   1. Desnom tipkom miša odaberite čvor Oglas, odaberite Novo, a zatim Oglas.

   2. Na kartici Općenito unesite naziv oglasa. U polju Paket odaberite paket koji ste prethodno stvorili. U polju Program odaberite program koji ste prethodno stvorili. Odaberite Pregledaj, a zatim zbirku Svi sustav ili odaberite zbirku računala koja obuhvaća samo Sustav Windows Vista i novije verzije.

   3. Na kartici Raspored ostavite zadane mogućnosti ako želite da se program izvodi samo jednom. Da biste program pokrenuli prema rasporedu, dodijelite interval rasporeda.

   4. Postavite prioritet naVisoko.

   5. Odaberite U redu da biste stvorili oglas.

Korištenje skripte pravilnik grupe računala

Ta metoda zahtijeva ponovno pokretanje klijentskog računala nakon postavljanja skripte i nakon primjene postavke pravilnik grupe.

1. Postavite zajedničko korištenje. Da biste to učinili, slijedite korake u odjeljku Početno postavljanje i konfiguracija .

2. Postavite skriptu pokretanja. Da biste to učinili, učinite sljedeće:

   1. U Active Directory Users and Computers MMC desnom tipkom miša odaberite naziv domene, a zatim odaberite Svojstva.

   2. Odaberite pravilnik grupe kartice.

   3. Odaberite Novo da biste stvorili pravilnik grupe objekt (GPO) i upišite MRT Deployment za naziv pravilnika.

   4. Odaberite novi pravilnik, a zatim Uređivanje.

   5. Proširite Postavke sustava Windows za konfiguraciju računala, a zatim odaberite Skripte.

   6. Dvaput odaberite Prijava, a zatim Dodaj.
      
      Prikazuje se dijaloški okvir Dodavanje skripte.

   7. U okvir Naziv skripte upišite \\ServerName\ShareName\RunMRT.cmd.

   8. Odaberite U redu, a zatim Primijeni.

3. Ponovno pokrenite klijentska računala koja su članovi ove domene.

Kako koristiti skriptu pravilnik grupe-temeljenu na korisniku

Za tu je metodu potreban korisnički račun za prijavu domenski račun i član grupe lokalnog administratora na klijentskom računalu.

1. Postavite zajedničko korištenje. Da biste to učinili, slijedite korake u odjeljku
   Početno postavljanje i konfiguracija .

2. Postavite skriptu za prijavu. Da biste to učinili, učinite sljedeće:

   1. U Active Directory Users and Computers MMC desnom tipkom miša odaberite naziv domene, a zatim odaberite Svojstva.

   2. Odaberite pravilnik grupe kartice.

   3. Odaberite Novo da biste stvorili novi GPO, a zatim upišite MRT Implementacija za naziv.

   4. Odaberite novi pravilnik, a zatim Uređivanje.

   5. Proširite postavke sustava Windows za korisničku konfiguraciju, a zatim odaberite Skripte.

   6. Dvaput odaberite Prijava, a zatim Dodaj. Prikazuje se dijaloški okvir Dodavanje skripte.

   7. U okvir Naziv skripte upišite \\ServerName\ShareName\RunMRT.cmd.

   8. Odaberite U redu, a zatim Primijeni.

3. Odjavite se i ponovno uključite na klijentska računala.

U tom će se scenariju skripta i alat izvoditi u kontekstu prijavljenog korisnika. Ako ovaj korisnik ne pripada lokalnoj grupi administratora ili nema odgovarajuće dozvole, alat se neće pokrenuti i neće vratiti odgovarajući povratni kod. Dodatne informacije o korištenju početnih skripti i skripti za prijavu potražite u sljedećem članku u Microsoftovoj bazi znanja:

198642 pregled skripti za prijavu, odjavu, pokretanje i isključivanje u sustavu Windows 2000

322241 Dodjela skripti u sustavu Windows 2000

Kako pregledati kodove za povrat

Možete ispitati povratni kod alata u skripti za prijavu u implementaciju ili u skripti pokretanja implementacije da biste provjerili rezultate izvršavanja. U odjeljku Primjer koda pogledajte primjer kako to učiniti.

Sljedeći popis sadrži valjane kodove povrata.

Raščlanjivanje datoteke zapisnika

Alat za uklanjanje zlonamjernog softvera zapisuje pojedinosti o rezultatu njegova izvršavanja u datoteci zapisnika %windir%\debug\mrt.log.

Bilješke

• Ova datoteka zapisnika dostupna je samo na engleskom jeziku.

• Počevši od verzije 1.2 alata za uklanjanje (ožujak 2005.), ova datoteka zapisnika koristi Unicode tekst. Prije verzije 1.2 datoteka zapisnika koristi ANSI tekst.

• Oblik datoteke zapisnika promijenjen je u verziji 1.2 i preporučujemo da preuzmete i koristite najnoviju verziju alata.
  
  Ako datoteka zapisnika već postoji, alat će dodati postojeću datoteku.

• Pomoću skripte naredbi slične prethodnom primjeru možete snimiti povratni kod i prikupiti datoteke na mrežnom mjestu.

• Zbog prebacivanja s ANSI-ja na Unicode, verzija 1.2 alata za uklanjanje kopirat će sve ANSI verzije Mrt.log datoteke u mapi %windir%\debug u Mrt.log.old u istom direktoriju. Verzija 1.2 stvara i novu Unicode verziju Mrt.log datoteke u istom direktoriju. Kao i ansi verzija, ova datoteka zapisnika bit će dodana u svako mjesečno izdanje.

U sljedećem je primjeru Mrt.log datoteka s računala koje je zaraženo crvom MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

U nastavku je primjer datoteke zapisnika u kojoj nije pronađen zlonamjerni softver.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

U nastavku je ogledna datoteka zapisnika u kojoj se nalaze pogreške.

Dodatne informacije o upozorenju i pogreškama koje je uzrokovao alat potražite u sljedećem članku u Microsoftovoj bazi znanja:

891717 Otklanjanje poteškoća prilikom pokretanja alata za uklanjanje zlonamjernog softvera u sustavu Microsoft Windows Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0) started on Fri Aug 02 16:17:49 2013 Scan Results: ------------- Threat Detected: Virus:Win32/MPTestFile.2004, djelomično uklonjen. Operacija nije uspjela. Akcija: Čisto, rezultat: 0x8007065E. Koristite cijeli antivirusni proizvod! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Sažetak rezultata: ---------------- Pronađeno virus:Win32/MPTestFile.2004, djelomično uklonjeno. Alat za uklanjanje zlonamjernog softvera u sustavu Microsoft Windows dovršen je 02. kolovoza 16:18:09 2013 Povratni kod: 7 (0x7)

Poznati problem 1

Kada pokrenete alat pomoću skripte pokretanja, poruke o pogreškama slične sljedećoj poruci o pogrešci mogu se prijaviti u Mrt.log datoteku:
 

Bilješka Broj pid-a razlikuje se.

Ova se poruka o pogrešci pojavljuje kada se proces upravo pokreće ili kada je proces nedavno zaustavljen. Jedini efekt je da se proces koji je određen pid ne skenira.

Poznati problem 2

U nekim rijetkim slučajevima, ako administrator odluči implementirati MSRT pomoću prekidača /q quiet (koji se naziva i tihi način rada), to možda neće u potpunosti riješiti čišćenje za mali podskup infekcija u situacijama u kojima je nakon ponovnog pokretanja potrebno dodatno čišćenje. To je opaženo samo u uklanjanju određenih varijanti jezgrenog kompleta.