Distribuire lo Strumento di rimozione malware di Windows in un ambiente aziendale (KB891716)

Come usare il pacchetto software SMS

L'esempio seguente fornisce istruzioni dettagliate per l'uso di SMS 2003. I passaggi per l'uso di SMS 2.0 sono simili a questi.

1. Estrarre il file Mrt.exe dal pacchetto denominato Windows-KB890830-V5.128.exe /x.

2. Creare un file di .bat per avviare Mrt.exe e acquisire il codice restituito usando ISMIF32.exe.
   
   Di seguito è riportato un esempio.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Per altre informazioni su Ismif32.exe, vedere il seguente articolo della Microsoft Knowledge Base:

   268791 In che modo un file MIF (Management Information Format) prodotto dal file ISMIF32.exe viene elaborato in SMS 2.0

   186415 Creatore mif di stato, è disponibile Ismif32.exe

3. Per creare un pacchetto nella console di SMS 2003, segui questi passaggi:

   1. Apri la Console di amministrazione di SMS.

   2. Fai clic con il pulsante destro del mouse sul nodo Pacchetti , seleziona Nuovo e quindi seleziona Pacchetto.
      
      Viene visualizzata la finestra di dialogo Proprietà pacchetto .

   3. Nella scheda Generale assegnare un nome al pacchetto.

   4. Nella scheda Origine dati selezionare la casella di controllo Questo pacchetto contiene file di origine .

   5. Selezionare Imposta e quindi scegliere una directory di origine contenente lo strumento.

   6. Nella scheda Impostazioni distribuzione impostare priorità invio su Alta.

   7. Nella scheda Report selezionare Usa questi campi per la corrispondenza mif stato e quindi specificare un nome per il campo nome file MIF e per il
      campoNome.
      
      Versione e Publisher sono facoltativi.

   8. Selezionare OK per creare il pacchetto.

4. Per specificare un punto di distribuzione nel pacchetto, seguire questa procedura:

   1. Nella console di SMS 2003, individua il nuovo pacchetto nel nodo Pacchetti .

   2. Espandere il pacchetto. Fare clic con il pulsante destro del mouse su Punti di distribuzione, scegliere Nuovo e quindi selezionare Punti di distribuzione.

   3. Avviare la Creazione guidata Nuovi punti di distribuzione. Selezionare un punto di distribuzione esistente.

   4. Selezionare Fine per chiudere la procedura guidata.

5. Per aggiungere il file batch creato in precedenza al nuovo pacchetto, seguire questa procedura:

   1. Sotto il nuovo nodo pacchetto, seleziona il nodo Programmi .

   2. Fare clic con il pulsante destro del mouse su Programmi, scegliere Nuovo e quindi Programmi.

   3. Selezionare la scheda Generale e quindi immettere un nome valido.

   4. Nella riga di comando selezionare Sfoglia per selezionare il file batch creato per avviare Mrt.exe.

   5. Imposta Esegui su Nascosto. Cambia da Dopo a Nessuna azione richiesta.

   6. Seleziona la scheda Requisiti e quindi seleziona Questo programma può essere eseguito solo su sistemi operativi client specificati.

   7. Seleziona Tutti x86 Windows XP.

   8. Seleziona la scheda Ambiente e scegli Se un utente è connesso all'elenco Può essere eseguito dal programma . Impostare la modalità di esecuzione su Esegui con diritti amministrativi.

   9. Selezionare OK per chiudere la finestra di dialogo.

6. Per creare un annuncio pubblicitario per annunciare il programma ai clienti, attenersi alla seguente procedura:

   1. Fai clic con il pulsante destro del mouse sul nodo Annuncio , seleziona Nuovo, quindi Pubblicità.

   2. Nella scheda Generale immettere un nome per l'annuncio. Nel campo Pacchetto selezionare il pacchetto creato in precedenza. Nel campo Programma selezionare il programma creato in precedenza. Seleziona Sfoglia e quindi seleziona la raccolta Tutti i sistemi o seleziona una raccolta di computer che include solo Windows Vista e versioni successive.

   3. Nella scheda Pianificazione lasciare le opzioni predefinite se si vuole che il programma venga eseguito una sola volta. Per eseguire il programma in base a una pianificazione, assegnare un intervallo di pianificazione.

   4. Impostare Priorità su Alta.

   5. Selezionare OK per creare l'annuncio.

Come usare uno script di avvio del computer basato su Criteri di gruppo

Questo metodo richiede il riavvio del computer client dopo aver configurato lo script e dopo aver applicato l'impostazione Criteri di gruppo.

1. Impostare le condivisioni. A questo scopo, seguire i passaggi della sezione Configurazione iniziale e configurazione .

2. Configurare lo script di avvio. A tale scopo, esegui la procedura seguente:

   1. Nello snap-in MMC Utenti e computer di Active Directory, seleziona il nome di dominio con il pulsante destro del mouse e quindi seleziona Proprietà.

   2. Selezionare la scheda Criteri di gruppo.

   3. Selezionare Nuovo per creare un nuovo oggetto Criteri di gruppo (GPO) e digitare Distribuzione MRT per il nome del criterio.

   4. Selezionare il nuovo criterio e quindi modifica.

   5. Espandi Impostazioni di Windows per configurazione computer e quindi seleziona Script.

   6. Selezionare Doppio clic su Accesso e quindi su Aggiungi.
      
      Viene visualizzata la finestra di dialogo Aggiungi script .

   7. Nella casella Nome script digitare \\NomeServer\NomeCondividi\RunMRT.cmd.

   8. Seleziona OK e quindi seleziona Applica.

3. Riavviare i computer client che sono membri di questo dominio.

Come usare uno script di accesso utente basato su Criteri di gruppo

Questo metodo richiede che l'account utente di accesso sia un account di dominio ed è membro del gruppo dell'amministratore locale nel computer client.

1. Impostare le condivisioni. A questo scopo, seguire i passaggi della
   sezioneConfigurazione iniziale e configurazione.

2. Configurare lo script di accesso. A tale scopo, esegui la procedura seguente:

   1. Nello snap-in MMC Utenti e computer di Active Directory, seleziona il nome di dominio con il pulsante destro del mouse e quindi seleziona Proprietà.

   2. Selezionare la scheda Criteri di gruppo.

   3. Selezionare Nuovo per creare un nuovo oggetto Criteri di gruppo e quindi digitare Distribuzione MRT per il nome.

   4. Selezionare il nuovo criterio e quindi modifica.

   5. Espandi Impostazioni di Windows per la configurazione utente e quindi seleziona Script.

   6. Selezionare Doppio clic su Accesso e quindi su Aggiungi. Viene visualizzata la finestra di dialogo Aggiungi script .

   7. Nella casella Nome script digitare \\NomeServer\NomeCondividi\RunMRT.cmd.

   8. Seleziona OK e quindi seleziona Applica.

3. Disconnettersi e accedere di nuovo ai computer client.

In questo scenario, lo script e lo strumento verranno eseguiti nel contesto dell'utente connesso. Se questo utente non appartiene al gruppo di amministratori locale o non dispone di autorizzazioni sufficienti, lo strumento non verrà eseguito e non restituirà il codice restituito appropriato. Per altre informazioni su come usare script di avvio e script di accesso, vedere il seguente articolo della Microsoft Knowledge Base:

198642 Panoramica degli script di accesso, disconnessione, avvio e arresto in Windows 2000

322241 Come assegnare script in Windows 2000

Come esaminare i codici di reso

È possibile esaminare il codice restituito dello strumento nello script di accesso alla distribuzione o nello script di avvio della distribuzione per verificare i risultati dell'esecuzione. Per un esempio di questa operazione, vedere la sezione di esempio Codice .

L'elenco seguente contiene i codici restituiti validi.

Come analizzare il file di log

Lo Strumento di rimozione malware scrive dettagli sul risultato della sua esecuzione nel file di log %windir%\debug\mrt.log.

Note

• Questo file di log è disponibile solo in inglese.

• A partire dalla versione 1.2 dello strumento di rimozione (marzo 2005), questo file di log usa testo Unicode. Prima della versione 1.2, il file di log usava testo ANSI.

• Il formato del file di log è cambiato con la versione 1.2 ed è consigliabile scaricare e usare la versione più recente dello strumento.
  
  Se questo file di log esiste già, lo strumento viene aggiunto al file esistente.

• È possibile usare uno script di comando simile all'esempio precedente per acquisire il codice restituito e raccogliere i file in una condivisione di rete.

• A causa del passaggio da ANSI a Unicode, la versione 1.2 dello strumento di rimozione copierà tutte le versioni ANSI del file Mrt.log nella cartella %windir%\debug in Mrt.log.old nella stessa directory. La versione 1.2 crea anche una nuova versione Unicode del file Mrt.log nella stessa directory. Come la versione ANSI, questo file di log verrà aggiunto alla versione di ogni mese.

L'esempio seguente è un file Mrt.log da un computer che è stato infettato dal worm MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Di seguito è riportato un file di log di esempio in cui non viene trovato alcun software dannoso.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Di seguito è riportato un file di log di esempio in cui vengono rilevati errori.

Per altre informazioni sugli avvisi e gli errori causati dallo strumento, vedere il seguente articolo della Microsoft Knowledge Base:

891717 Come risolvere un errore durante l'esecuzione dello Strumento di rimozione malware di Microsoft Windows Strumento di rimozione malware di Microsoft Windows v5.3, agosto 2013 (build 5.3.9300.0) avviato il 2 agosto 16:17:49 2013 Risultati della ricerca: è stata rilevata una minaccia -------------: Virus:Win32/MPTestFile.2004, parzialmente rimosso. Operazione non riuscita. Azione: Pulito, Risultato: 0x8007065E. Si prega di utilizzare un prodotto antivirus completo ! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Riepilogo dei risultati: ---------------- trovato virus:Win32/MPTestFile.2004, parzialmente rimosso. Strumento di rimozione malware di Microsoft Windows terminato il venerdì 02 agosto 16:18:09 2013 Codice restituito: 7 (0x7)

Problema noto 1

Quando si esegue lo strumento usando uno script di avvio, nel file di Mrt.log potrebbero essere registrati messaggi di errore simili al seguente:
 

Nota Il numero pid varierà.

Questo messaggio di errore si verifica quando un processo è appena in avvio o quando un processo è stato arrestato di recente. L'unico effetto è che il processo designato dal pid non viene scansionato.

Problema noto 2

In alcuni rari casi, se un amministratore sceglie di distribuire lo strumento msrt utilizzando l'opzione /q quiet (nota anche come modalità silenziosa), la pulizia di un piccolo sottoinsieme di infezioni potrebbe non essere completamente risolta in situazioni in cui è necessaria una pulizia aggiuntiva dopo un riavvio. Questo è stato osservato solo nella rimozione di alcune varianti rootkit.