Implementacija alata za uklanjanje zlonamjernog softvera u sustavu Windows u poslovnom okruženju (KB891716)

Korištenje softverskog paketa SMS-a

U sljedećem primjeru navedene su detaljne upute za korištenje SMS-a 2003. Koraci za korištenje sms-a 2.0 nalikuju ovim koracima.

1. Izdvojite Mrt.exe iz paketa koji se zove Windows-KB890830-V1.34-ENU.exe /x.

2. Stvorite .bat datoteku da biste Mrt.exe i snimili povratni kod pomoću ISMIF32.exe.
   
   U nastavku je primjer.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Dodatne informacije o Ismif32.exe potražite u sljedećem članku u Microsoftovoj bazi znanja:

   268791 Kako se datoteka s informacijama o upravljanju (MIF) koju stvara ISMIF32.exe obrađuje u sms-u 2.0

   186415 Status MIF creator, Ismif32.exe je dostupan

3. Da biste stvorili paket na konzoli SMS 2003, slijedite ove korake:

   1. Otvorite konzolu administratora SMS-a.

   2. Desnom tipkom miša kliknite node Paketi, zatim Novo , a
      zatim Paket.
      
      Prikazat
      će se dijaloški okvir Svojstva paketa.

   3. Na kartici Općenito imenuj paket.

   4. Na kartici Izvor podataka klikom potvrdite okvir Ovaj paket sadrži izvorne datoteke.

   5. Kliknite Postavi, a zatim odaberite izvorišni direktorij koji sadrži alat.

   6. Na kartici Postavke raspodjele postavite prioritet Slanje naVisoko.

   7. Na kartici Izvješćivanje kliknite Koristi ta polja za podudaranje MIFstatusa , a zatim navedite naziv polja naziva MIF datoteke i za
      polje Naziv.
      
      Verzija iPublisher nisu obavezni.

   8. Kliknite U redu da biste stvorili paket.

4. Da biste naveli točku raspodjele (DP) u paket, slijedite ove korake:

   1. U konzoli SMS 2003 pronađite novi paket u odjeljku Paketi.

   2. Proširite paket. Desnom tipkom miša kliknite Točke raspodjele, pokažite na Novo, a zatim kliknite Točke raspodjele.

   3. Pokrenite čarobnjak za nove točke raspodjele. Odaberite postojeću točku raspodjele.

   4. Kliknite Završi da biste izašli iz čarobnjaka.

5. Da biste dodali skupnu datoteku koja je prethodno stvorena u novi paket, slijedite ove korake:

   1. Ispod novog paketa kliknite node Programi.

   2. Desnom tipkom miša kliknite Programi,
      pokažite na Novo, a zatim kliknite Program.

   3. Kliknite karticu Općenito, a zatim unesite valjani naziv.

   4. U naredbenom retkukliknite
      Pregledaj da biste odabrali skupnu datoteku koju ste stvorili da biste Mrt.exe.

   5. Promijeni Pokreni u
      Skriveno. Promjena nakon u Bez potrebne akcije.

   6. Kliknite karticu Preduvjeti, a zatim Ovaj program može se pokrenuti samo na određenim klijentskim operacijskim sustavima.

   7. Kliknite Sve x86 Windows XP.

   8. Kliknite karticu Okruženje, a
      zatim Je li korisnik prijavljen na popis Program može pokrenuti. Postavite način rada Pokreni na Pokreni s administratorskim pravima.

   9. Kliknite U redu da biste zatvorili dijaloški okvir.

6. Da biste stvorili oglas za oglašavanje programa klijentima, slijedite ove korake:

   1. Desnom tipkom miša kliknite node Oglas, zatim Novo, a zatim
      Oglas.

   2. Na kartici Općenito unesite naziv oglasa. U polju Paket odaberite paket koji ste prethodno stvorili. U polju Program odaberite program koji ste prethodno stvorili. Kliknite Pregledaj, a zatim zbirku Svi sustav ili odaberite zbirku računala koja obuhvaća samo Windows Vista i novije verzije.

   3. Na kartici Raspored ostavite zadane mogućnosti ako želite da se program pokrene samo jednom. Da biste program izvoditi po rasporedu, dodijelite interval rasporeda.

   4. Postavite prioritet naVisoko.

   5. Kliknite U redu da biste stvorili oglas.

Korištenje skripte za pokretanje računala utemeljene na pravilniku grupe

Na taj način morate ponovno pokrenuti klijentsko računalo nakon postavljanja skripte i nakon primjene postavke pravilnika grupe.

1. Postavite dionice. Da biste to učiniti, slijedite korake u odjeljku
   Početno postavljanje i konfiguracija.

2. Postavite skriptu za pokretanje. Da biste to učinili, slijedite ove korake:

   1. U dodataku Active Directory Users and Computers MMC desnom tipkom miša kliknite naziv domene, a zatim kliknite
      Svojstva.

   2. Kliknite karticu Pravilnik grupe.

   3. Kliknite Novo da biste stvorili novi objekt pravilnika grupe (GPO), a zatim upišite MRT Implementacija za naziv pravilnika.

   4. Kliknite novi pravilnik, a zatim Uređivanje.

   5. Proširite odjeljak Postavke sustava Windows za konfiguracijuračunala , a zatim kliknite Skripte.

   6. Dvokliknite Prijava, a zatim Dodaj.
      
      Prikazat će se dijaloški okvir Dodavanje skripte.

   7. U okvir Naziv skripte upišite
      \\ServerName\ShareName\RunMRT.cmd.

   8. Kliknite U redu, a zatim Primijeni.

3. Ponovno pokrenite klijentska računala koja su članovi ove domene.

Korištenje skripte za prijavu na temelju pravilnika grupe

Ta metoda zahtijeva da je korisnički račun za prijavu račun domene i član grupe lokalnog administratora na klijentskom računalu.

1. Postavite dionice. Da biste to učiniti, slijedite korake u odjeljku
   Početno postavljanje i konfiguracija.

2. Postavite skriptu za prijavu. Da biste to učinili, slijedite ove korake:

   1. U dodataku Active Directory Users and Computers MMC desnom tipkom miša kliknite naziv domene, a zatim kliknite
      Svojstva.

   2. Kliknite karticu Pravilnik grupe.

   3. Kliknite Novo da biste stvorili novi GPO, a zatim upišite MRT Implementacija za naziv.

   4. Kliknite novi pravilnik, a zatim
      Uređivanje.

   5. Proširite odjeljak Postavke sustava Windows za korisničkukonfiguraciju , a zatim kliknite Skripte.

   6. Dvokliknite Prijava, a zatim Dodaj. Prikazat će se dijaloški okvir Dodavanje skripte.

   7. U okvir Naziv skripte upišite
      \\ServerName\ShareName\RunMRT.cmd.

   8. Kliknite U redu, a zatim Primijeni.

3. Odjavite se, a zatim se prijavite na klijentska računala.

U ovom će se scenariju skripta i alat izvoditi u kontekstu prijavljenog korisnika. Ako taj korisnik ne pripada lokalnoj grupi administratora ili nema dovoljno dozvola, alat se neće pokrenuti i neće vratiti odgovarajući kod za povrat. Dodatne informacije o korištenju početnih skripti i skripti za prijavu potražite u sljedećem članku u Microsoftovoj bazi znanja:

198642 Pregled skripti za prijavu, prijavu, pokretanje i isključivanje u sustavu Windows 2000

322241 Kako dodijeliti skripte u sustavu Windows 2000

Pregled kodova za vraćanje

Kod za vraćanje alata možete pregledati u skripti za prijavu u implementaciju ili u skripti za pokretanje implementacije da biste potvrdili rezultate izvršenja. Pogledajte odjeljak Primjer koda da biste vidjeli kako to učiniti.

Sljedeći popis sadrži valjane kodove za povrat.

Raščlanite datoteku zapisnika

Alat za uklanjanje zlonamjernog softvera piše detalje o rezultatu izvršenja u datoteci zapisnika %windir%\debug\mrt.log.

Bilješke

• Ta je datoteka zapisnika dostupna samo na engleskom jeziku.

• Počevši od verzije 1.2 alata za uklanjanje (ožujak 2005.), ova datoteka zapisnika koristi Unicode tekst. Prije verzije 1.2 datoteka zapisnika koristila je ANSI tekst.

• Oblik datoteke zapisnika promijenio se u verziji 1.2, a preporučujemo da preuzmete i koristite najnoviju verziju alata.
  
  Ako ta datoteka zapisnika već postoji, alat će se dodati postojećoj datoteci.

• Pomoću naredbene skripte slične prethodnom primjeru možete snimiti povratni kod i prikupiti datoteke u zajednički mrežni sustav.

• Zbog prelaska s ANSI-ja na Unicode, verzija 1.2 alata za uklanjanje kopirat će sve ANSI verzije datoteke Mrt.log u mapi %windir%\debug u mrt.log.old u istom direktoriju. Verzija 1.2 stvara i novu Unicode verziju datoteke Mrt.log u istom direktoriju. Kao i verzija ANSI-ja, ta će se datoteka zapisnika prilanjati izdanju svakog mjeseca.

U sljedećem je primjeru datoteka mrt.log s računala koje je zaraženo crvom MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

U nastavku je primjer datoteke zapisnika u kojoj nije pronađen zlonamjerni softver.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Slijedi ogledna datoteka zapisnika u kojoj se nalaze pogreške.


Dodatne informacije o upozorenjima i pogreškama uzrokovanima alatom potražite u sljedećem članku u Microsoftovoj bazi znanja:

891717 Otklanjanje poteškoća prilikom rada s alatom za uklanjanje zlonamjernog softvera u sustavu Microsoft Windows Alat za uklanjanje zlonamjernog softvera u sustavu Microsoft Windows v5.3, kolovoz 2013. (međuverzija 5.3.9300.0) pokrenut je od petog kolovoza 16.17:49 2013 Rezultati skeniranja: ------------- Otkrivena je prijetnja: Virus:Win32/MPTestFile.2004, djelomično uklonjen. Operacija nije uspjela. Akcija: Čisto, Rezultat: 0x8007065E. Koristite cijeli antivirusni proizvod ! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Sažetak rezultata: ---------------- Pronađeno virus:Win32/MPTestFile.2004, djelomično uklonjeno. Alat za uklanjanje zlonamjernog softvera u sustavu Microsoft Windows dovršen petog kolovoza 16:18:09 2013 Kod povrata: 7 (0x7)

Poznati problem 1

Kada pokrenete alat pomoću skripte za pokretanje, poruke o pogreškama slične sljedećoj poruci o pogrešci mogu se prijaviti u datoteku Mrt.log:
 

Napomena Broj pid razlikuju se.

Ta se poruka o pogrešci pojavljuje prilikom pokretanja postupka ili kada je proces nedavno zaustavljen. Jedini je efekt to što se proces koji je odredio pid ne skenira.

Poznati problem 2

U nekim rijetkim slučajevima, ako administrator odluči implementirati MSRT pomoću prekidača /q quiet (poznat i kao tihi način rada), to možda neće u potpunosti riješiti čišćenje za mali podskup zaraza u situacijama u kojima je potrebno dodatno čišćenje nakon ponovnog pokretanja. To je opaženo samo u uklanjanju određenih varijanti rootkita.