Implementacija alata za uklanjanje zlonamjernog softvera u sustavu Windows u poslovnom okruženju (KB891716)

Korištenje paketa SMS Software

Sljedeći primjer nudi detaljne upute za korištenje SMS-a 2003. Koraci za korištenje SMS-a 2,0 nalikuju sljedećim koracima.

1. Ekstrakt Mrt.exe datoteku iz paketa koji se zove Windows-KB890830-V1.34-ENU.exe/x.

2. Stvorite. bat datoteku da biste pokrenuli Mrt.exe i snimili kod za povrat pomoću ISMIF32.exe.
   
   Slijedi primjer.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Dodatne informacije o Ismif32.exe potražite u sljedećem članku iz Microsoftove baze znanja:

   268791 način na koji se datoteka sustava upravljanje podacima (MIF) proizvodi ISMIF32.exe datoteka obrađuje se u SMS-u 2,0.

   186415 Status MIF Creator, Ismif32.exe je dostupan

3. Da biste stvorili paket u konzoli SMS 2003, slijedite ove korake:

   1. Otvorite konzolu za administratore SMS-a.

   2. Desnom tipkom miša kliknite čvor paketa , kliknite
      novo, a zatim paket.
      
      Prikazat će se
      dijaloški okvirSvojstva paketa .

   3. Na kartici Općenito dodijelite naziv paketu.

   4. Na kartici izvor podataka kliknite da biste odabrali potvrdni okvir ovaj paket sadrži izvorne datoteke .

   5. Kliknite Postavi, a zatim odaberite izvorišni direktorij koji sadrži alat.

   6. Na kartici Postavke raspodjele postavite prioritet slanja na visoku.

   7. Na kartici izvješćivanje kliknite koristi ta polja za status mif Matching, a zatim navedite naziv polja naziva datoteke mif i
      poljanaziv .
      
      Verzija i Publisher nisu obavezni.

   8. Kliknite u redu da biste stvorili paket.

4. Da biste u paket naveli točku raspodjele (DP), slijedite ove korake:

   1. U konzoli SMS 2003 Pronađite novi paket ispod čvora paketi .

   2. Proširite paket. Desnom tipkom miša kliknite točke raspodjele, pokažite na novo, a zatim kliknite točke raspodjele.

   3. Počnite s novim čarobnjakom za razdiobe. Odaberite postojeću točku raspodjele.

   4. Da biste izašli iz čarobnjaka, kliknite završi .

5. Da biste dodali skupnu datoteku koja je prethodno stvorena u novi paket, slijedite ove korake:

   1. U odjeljku novi čvor paketa kliknite čvor programi .

   2. Desnom tipkom miša kliknite programe, pokažite na
      novo, a zatim kliknite program.

   3. Kliknite karticu Općenito , a zatim unesite valjani naziv.

   4. U naredbenom retkukliknite
      Pregledaj da biste odabrali skupnu datoteku koju ste stvorili da biste pokrenuli Mrt.exe.

   5. Promjena Pokreni na
      skriveno. Promjena nakonbez potrebne akcije.

   6. Kliknite karticu Preduvjeti , a zatim kliknite ovaj program koji se može izvoditi samo na određenim klijentskim operativnim sustavima.

   7. Kliknite Svi x86 Windows XP.

   8. Kliknite karticu okolina , kliknite je
      li korisnik prijavljen u programu može pokrenuti popis. Postavljanje načina rada za pokretanje s administratorskim pravima

   9. Kliknite u redu da biste zatvorili dijaloški okvir.

6. Da biste stvorili reklamu za oglašavanje programa klijentima, slijedite ove korake:

   1. Desnom tipkom miša kliknite čvor za oglašavanje , kliknite novo, a zatim kliknite
      oglašavanje.

   2. Na kartici Općenito unesite naziv reklame. U polju paket odaberite paket koji ste prethodno stvorili. U polju program odaberite program koji ste prethodno stvorili. Kliknite Pregledaj, a zatim kliknite cijelu zbirku sustava ili odaberite zbirku računala koja sadrži samo Windows Vista i novije verzije.

   3. Na kartici raspored ostavite zadane mogućnosti ako želite da se program pokreće samo jednom. Da biste program pokrenuli u rasporedu, dodijelite Interval rasporeda.

   4. Postavite prioritet na visoku.

   5. Kliknite u redu da biste stvorili reklamu.

Korištenje skripte za pokretanje sustava utemeljenog na pravilima grupe

Ova metoda zahtijeva da ponovno pokrenete klijentsko računalo nakon postavljanja skripte i nakon primjene postavke pravilnika grupe.

1. Postavljanje dionica. Da biste to učinili, slijedite korake u odjeljku
   početno postavljanje i konfiguracija .

2. Postavite skriptu za pokretanje. Da biste to učinili, slijedite ove korake:

   1. U pomoćnom servisu Active Directory korisnici i Alati za MMC, desnom tipkom miša kliknite naziv domene, a zatim kliknite
      Svojstva.

   2. Kliknite karticu pravila grupe .

   3. Kliknite novo da biste stvorili novi objekt pravilnika grupe (GPO), a zatim unesite MRT implementaciju za naziv pravilnika.

   4. Kliknite novo pravilo, a zatim kliknite Uredi.

   5. Proširite Postavke sustava Windows za konfiguraciju računala, a zatim kliknite skripte.

   6. Dvokliknite Logon, a zatim kliknite Dodaj.
      
      Prikazat će se dijaloški okvir Dodavanje skripte .

   7. U okvir naziv skripte upišite
      \ \Servername\sharename\Runmrt.cmd.

   8. Kliknite u redu, a zatim Primijeni.

3. Ponovno pokrenite klijentska računala koja su članovi ove domene.

Korištenje skripte za prijavu korisnika utemeljenih na pravilima grupe

Ovaj način zahtijeva da je korisnički račun za prijavu račun domene te da je član grupe lokalnog administratora na klijentskom računalu.

1. Postavljanje dionica. Da biste to učinili, slijedite korake u odjeljku
   početno postavljanje i konfiguracija .

2. Postavite skriptu za prijavu. Da biste to učinili, slijedite ove korake:

   1. U pomoćnom servisu Active Directory korisnici i Alati za MMC, desnom tipkom miša kliknite naziv domene, a zatim kliknite
      Svojstva.

   2. Kliknite karticu pravila grupe .

   3. Kliknite novo da biste stvorili novi GPO, a zatim upišite MRT implementaciju za naziv.

   4. Kliknite novo pravilo, a zatim kliknite
      Uredi.

   5. Proširite Postavke sustava Windows za konfiguraciju korisnika, a zatim kliknite skripte.

   6. Dvokliknite Logon, a zatim kliknite Dodaj. Prikazat će se dijaloški okvir Dodavanje skripte .

   7. U okvir naziv skripte upišite
      \ \Servername\sharename\Runmrt.cmd.

   8. Kliknite u redu, a zatim Primijeni.

3. Odjavite se, a zatim se prijavite na klijentsko računalo.

U ovom scenariju skripta i alat pokrenuti će se u kontekstu prijavljnog korisnika. Ako taj korisnik ne pripada lokalnoj grupi administratora ili nema dovoljne dozvole, alat se neće pokrenuti i neće vratiti odgovarajući kod za povrat. Dodatne informacije o tome kako koristiti skripte za pokretanje i skripte za prijavu potražite u sljedećem članku iz Microsoftove baze znanja:

198642 pregled prijava, odjava, početak i skripte za gašenje u sustavu Windows 2000

322241 dodjela skripti u sustavu Windows 2000

Pregled šifri povrata

Kod povrata alata u skriptu za prijavu implementacije ili u skriptu za pokretanje implementacije možete ispitati rezultat provjere rezultata izvršavanja. Pogledajte odjeljak ogledni broj za primjer kako to učiniti.

Sljedeći popis sadrži valjane šifre povrata.

Kako raščlaniti datoteku zapisnika

Alat za uklanjanje zlonamjernog softvera zapisuje detalje o rezultatu izvođenja u datoteci zapisnika%windir%\debug\mrt.log.

Bilješke

• Datoteka zapisnika dostupna je samo na engleskom.

• Počevši od verzije 1,2 alata za uklanjanje (Ožujak 2005), ova datoteka zapisnika koristi Unicode tekst. Prije verzije 1,2, datoteka zapisnika koristila je ANSI tekst.

• Oblik datoteke zapisnika promijenio se pomoću verzije 1,2, a preporučujemo vam da preuzmete i koristite najnoviju verziju alata.
  
  Ako ta datoteka zapisnika već postoji, alat će se dodati u postojeću datoteku.

• Možete koristiti naredbenu skriptu koja sliči prethodnom primjeru za hvatanje koda za povrat i prikupljanje datoteka na zajedničko korištenje mreže.

• Zbog prelaska iz ANSI u Unicode, verzija 1,2 alata za uklanjanje kopirat će bilo koje ANSI verzije datoteke MRT. log u mapu%windir%\Debug na MRT. log. old u istom direktoriju. Verzija 1,2 stvara i novu Unicode verziju datoteke MRT. log u tom istom direktoriju. Kao i ANSI verzija, ta će se datoteka zapisnika dodati u izdanje svakog mjeseca.

U sljedećem je primjeru datoteka MRT. log s računala koja je zaražena crve MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Slijedi Ogledna datoteka zapisnika u kojoj nije pronađen zlonamjerni softver.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Slijedi Ogledna datoteka zapisnika u kojoj se nalaze pogreške.


Dodatne informacije o upozorenjima i pogreškama koje je uzrokovao alat potražite u sljedećem članku iz Microsoftove baze znanja:

891717 otklanjanje pogrešaka prilikom pokretanja alata za uklanjanje zlonamjernog softvera u sustavu Microsoft Windows Alat za uklanjanje zlonamjernih programa u sustavu Microsoft Windows 2013 (međuverzija 5.3.9300.0) pokrenut je na servisu Fri Aug 02 16:17:49 2013 rezultati skeniranja:-------------opasnost otkrivena: virus: Win32/MPTestFile. 2004, djelomično uklonjen. Operacija nije uspjela. Akcija: čisto, rezultat: 0x8007065E. Koristite puni antivirusni proizvod! ! datoteka:/d: \temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC između njih:/d: \temp\mpcleantest.7z rezultati sažetka:----------------pronađeno virus: Win32/MPTestFile. 2004, djelomično uklonjen. Alat za uklanjanje zlonamjernih programa u sustavu Microsoft Windows dovršen je u petak Aug 02 16:18:09 2013 povratna Šifra: 7 (0x7)

Poznati problem 1

Kada pokrenete alat pomoću skripte za pokretanje, poruke o pogreškama koje nalikuju sljedećoj poruci o pogrešci mogu se prijaviti u datoteku mrt. log:
 

Primjetite da će se broj PID razlikovati.

Ova se poruka o pogrešci pojavljuje kada se postupak upravo pokreće ili kada je postupak nedavno zaustavljen. Jedini je učinak da se postupak koji je određen PID-om ne skenira.

Poznati problem 2

U nekim rijetkim slučajevima, ako administrator odabere Implementirajte MSRT pomoću tihog prekidača/q (poznat i kao tihi način rada), to ne može u potpunosti razriješiti čišćenje za mali podskup infekcija u situacijama u kojima je potrebno dodatno čišćenje nakon ponovnog pokretanja. To je primijećeno samo u uklanjanju određenih varijanti rootkita.