Wdrażanie narzędzia windows do usuwania złośliwego oprogramowania w środowisku przedsiębiorstwa (KB891716)

Jak korzystać z pakietu oprogramowania SMS

W poniższym przykładzie przedstawiono instrukcje krok po kroku dotyczące korzystania z programu SMS 2003. Kroki dotyczące korzystania z programu SMS 2.0 przypominają te kroki.

1. Wyodrębnij plik Mrt.exe z pakietu o nazwie Windows-KB890830-V5.123.exe /x.

2. Utwórz plik .bat, aby rozpocząć Mrt.exe i przechwycić kod zwrotny przy użyciu ISMIF32.exe.
   
   Poniżej przedstawiono przykład.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Aby uzyskać więcej informacji na temat Ismif32.exe, przejdź do następującego artykułu z bazy wiedzy Microsoft Knowledge Base:

   268791 W jaki sposób plik MIF (Status Management Information Format) wyprodukowany przez plik ISMIF32.exe jest przetwarzany w programie SMS 2.0

   186415 Kreator mif stanu, Ismif32.exe jest dostępny

3. Aby utworzyć pakiet w konsoli programu SMS 2003, wykonaj następujące czynności:

   1. Otwórz konsolę administratora usługi SMS.

   2. Wybierz prawym przyciskiem węzeł Pakiety , wybierz pozycję Nowy, a następnie wybierz pozycję Spakuj.
      
      Zostanie wyświetlone okno dialogowe Właściwości pakietu.

   3. Na karcie Ogólne nadaj pakietowi nazwę.

   4. Na karcie Źródło danych zaznacz pole wyboru Ten pakiet zawiera pliki źródłowe .

   5. Wybierz pozycję Ustaw, a następnie wybierz katalog źródłowy zawierający narzędzie.

   6. Na karcie Ustawienia dystrybucji ustaw wysoki priorytet wysyłania.

   7. Na karcie Raportowanie wybierz pozycję Użyj tych pól do dopasowywania mifów stanu, a następnie określ nazwę pola nazwy pliku MIF i
      polaNazwa.
      
      Programy Version i Publisher są opcjonalne.

   8. Wybierz przycisk OK , aby utworzyć pakiet.

4. Aby określić punkt dystrybucji (DP) dla pakietu, wykonaj następujące czynności:

   1. W konsoli SMS 2003 znajdź nowy pakiet w węźle Pakiety .

   2. Rozwiń pakiet. Wybierz prawym przyciskiem pozycję Punkty dystrybucji, wskaż pozycję Nowe, a następnie wybierz pozycję Punkty dystrybucyjne.

   3. Uruchom Kreatora nowych punktów dystrybucji. Wybierz istniejący punkt dystrybucji.

   4. Wybierz pozycję Zakończ , aby zamknąć kreatora.

5. Aby dodać plik partii utworzony wcześniej do nowego pakietu, wykonaj następujące czynności:

   1. W obszarze nowego węzła pakietu wybierz węzeł Programy .

   2. Wybierz pozycję Programy z prawej strony, wskaż pozycję Nowy, a następnie wybierz pozycję Program.

   3. Wybierz kartę Ogólne , a następnie wprowadź prawidłową nazwę.

   4. W wierszu polecenia wybierz pozycję Przeglądaj , aby wybrać plik partii utworzony w celu rozpoczęcia Mrt.exe.

   5. Zmień ustawienie Uruchom na ukryte. Zmień ustawienie Po na Brak wymaganej akcji.

   6. Wybierz kartę Wymagania , a następnie wybierz pozycję Ten program może działać tylko w określonych klienckich systemach operacyjnych.

   7. Wybierz pozycję Wszystkie x86 systemu Windows XP.

   8. Wybierz kartę Środowisko , a następnie wybierz pozycję Czy użytkownik jest zalogowany na liście Program może uruchamiać . Ustaw w trybie uruchamiania opcję Uruchom z prawami administracyjnymi.

   9. Wybierz przycisk OK , aby zamknąć okno dialogowe.

6. Aby utworzyć reklamę w celu ogłaszania programu klientom, wykonaj następujące czynności:

   1. Wybierz prawym przyciskiem węzeł Anons , wybierz pozycję Nowy, a następnie wybierz pozycję Anons.

   2. Na karcie Ogólne wprowadź nazwę reklamy. W polu Spakuj wybierz pakiet, który został wcześniej utworzony. W polu Program wybierz program, który został wcześniej utworzony. Wybierz pozycję Przeglądaj, a następnie wybierz kolekcję Wszystkie systemy lub kolekcję komputerów, która zawiera tylko system Windows Vista i nowsze wersje.

   3. Na karcie Harmonogram pozostaw opcje domyślne, jeśli chcesz, aby program działał tylko raz. Aby uruchomić program zgodnie z harmonogramem, przypisz interwał harmonogramu.

   4. Ustaw wartość Priorytet na Wysoka.

   5. Wybierz przycisk OK , aby utworzyć reklamę.

Jak używać skryptu uruchamiania komputera opartego na zasady grupy

Ta metoda wymaga ponownego uruchomienia komputera klienckiego po skonfigurowaniu skryptu i zastosowaniu ustawienia zasady grupy.

1. Skonfiguruj udziały. W tym celu wykonaj czynności opisane w sekcji Konfiguracja początkowa i konfiguracja .

2. Skonfiguruj skrypt uruchamiania. W tym celu wykonaj następujące czynności:

   1. W Użytkownicy i komputery usługi Active Directory przystawki MMC wybierz prawym przyciskiem myszy nazwę domeny, a następnie wybierz pozycję Właściwości.

   2. Wybierz kartę zasady grupy.

   3. Wybierz pozycję Nowy, aby utworzyć nowy obiekt zasady grupy (GPO), a następnie wpisz ciąg Wdrożenie MRT, aby określić nazwę zasad.

   4. Wybierz nowe zasady, a następnie wybierz pozycję Edytuj.

   5. Rozwiń pozycję Ustawienia systemu Windows dla konfiguracji komputera, a następnie wybierz pozycję Skrypty.

   6. Wybierz dwukrotnie pozycję Logowanie, a następnie wybierz pozycję Dodaj.
      
      Zostanie wyświetlone okno dialogowe Dodawanie skryptu .

   7. W polu Nazwa skryptu wpisz \\ServerName\ShareName\RunMRT.cmd.

   8. Wybierz przycisk OK, a następnie wybierz pozycję Zastosuj.

3. Uruchom ponownie komputery klienckie będące członkami tej domeny.

Jak używać skryptu logowania użytkownika opartego na zasady grupy

Ta metoda wymaga, aby konto użytkownika logowania było kontem domeny i było członkiem grupy administratora lokalnego na komputerze klienckim.

1. Skonfiguruj udziały. W tym celu wykonaj czynności opisane w
   sekcjiKonfiguracja początkowa i konfiguracja.

2. Skonfiguruj skrypt logowania. W tym celu wykonaj następujące czynności:

   1. W Użytkownicy i komputery usługi Active Directory przystawki MMC wybierz prawym przyciskiem myszy nazwę domeny, a następnie wybierz pozycję Właściwości.

   2. Wybierz kartę zasady grupy.

   3. Wybierz pozycję Nowy , aby utworzyć nowy obiekt zasad grupy, a następnie wpisz nazwę Wdrożenie MRT.

   4. Wybierz nowe zasady, a następnie wybierz pozycję Edytuj.

   5. Rozwiń pozycję Ustawienia systemu Windows dla konfiguracji użytkownika, a następnie wybierz pozycję Skrypty.

   6. Wybierz dwukrotnie pozycję Logowanie, a następnie wybierz pozycję Dodaj. Zostanie wyświetlone okno dialogowe Dodawanie skryptu .

   7. W polu Nazwa skryptu wpisz \\ServerName\ShareName\RunMRT.cmd.

   8. Wybierz przycisk OK, a następnie wybierz pozycję Zastosuj.

3. Wyloguj się, a następnie zaloguj się na komputerach klienckich.

W tym scenariuszu skrypt i narzędzie będą uruchamiane w kontekście zalogowanego użytkownika. Jeśli ten użytkownik nie należy do lokalnej grupy administratorów lub nie ma wystarczających uprawnień, narzędzie nie zostanie uruchomione i nie zwróci odpowiedniego kodu zwrotu. Aby uzyskać więcej informacji na temat używania skryptów uruchamiania i skryptów logowania, zobacz następujący artykuł z bazy wiedzy Microsoft Knowledge Base:

198642 Omówienie skryptów logowania, wylogowywanie, uruchamianie i zamykanie systemu Windows 2000

322241 Jak przypisywać skrypty w systemie Windows 2000

Jak sprawdzić kody zwracane

Możesz sprawdzić kod zwrotny narzędzia w skrypcie logowania wdrożenia lub w skrypcie uruchamiania wdrożenia, aby sprawdzić wyniki wykonania. Zobacz przykładową sekcję Kod , aby dowiedzieć się, jak to zrobić.

Poniższa lista zawiera prawidłowe kody zwrotu.

Jak przeanalizować plik dziennika

Narzędzie do usuwania złośliwego oprogramowania zapisuje szczegółowe informacje o wyniku jego wykonania w pliku dziennika %windir%\debug\mrt.log.

Notatki

• Ten plik dziennika jest dostępny tylko w języku angielskim.

• Począwszy od wersji 1.2 narzędzia do usuwania (marzec 2005), ten plik dziennika używa tekstu Unicode. Przed wersją 1.2 plik dziennika używał tekstu ANSI.

• Format pliku dziennika zmienił się w wersji 1.2 i zalecamy pobranie i użycie najnowszej wersji narzędzia.
  
  Jeśli ten plik dziennika już istnieje, narzędzie dołącza się do istniejącego pliku.

• Możesz użyć skryptu polecenia przypominającego poprzedni przykład, aby przechwycić kod zwrotny i zebrać pliki do udziału sieciowego.

• Z powodu przełączenia z ANSI na Unicode wersja 1.2 narzędzia do usuwania kopiuje wszystkie wersje ANSI pliku Mrt.log w folderze %windir%\debug do Mrt.log.old w tym samym katalogu. Wersja 1.2 tworzy również nową wersję Unicode pliku Mrt.log w tym samym katalogu. Podobnie jak wersja ANSI, ten plik dziennika będzie dołączany do każdego miesiąca wydania.

Poniższy przykład to plik Mrt.log z komputera, który został zainfekowany robakiem MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Poniżej przedstawiono przykładowy plik dziennika, w którym nie znaleziono złośliwego oprogramowania.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Poniżej przedstawiono przykładowy plik dziennika, w którym można znaleźć błędy.

Aby uzyskać więcej informacji na temat ostrzeżeń i błędów spowodowanych przez narzędzie, przejdź do następującego artykułu z bazy wiedzy Microsoft Knowledge Base:

891717 Jak rozwiązać problem z błędem po uruchomieniu narzędzia do usuwania złośliwego oprogramowania systemu Microsoft Windows Narzędzie do usuwania złośliwego oprogramowania systemu Microsoft Windows w wersji 5.3, sierpień 2013 r. (kompilacja 5.3.9300.0) rozpoczęto w dniu 02 sierpnia 16:17:49 Wyniki skanowania: ------------- wykryte zagrożenie: Wirus:Win32/MPTestFile.2004, częściowo usunięte. Operacja nie powiodła się. Akcja: Oczyść, Wynik: 0x8007065E. Użyj pełnego produktu antywirusowego! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Podsumowanie wyników: ---------------- Znaleziono wirusa:Win32/MPTestFile.2004, częściowo usunięte. Narzędzie do usuwania złośliwego oprogramowania systemu Microsoft Windows zostało zakończone 02 sierpnia 16:18:09 2013 Kod zwrotu: 7 (0x7)

Znany problem 1

Po uruchomieniu narzędzia przy użyciu skryptu uruchamiania w pliku Mrt.log mogą być rejestrowane komunikaty o błędach przypominające następujący komunikat o błędzie:
 

Uwaga Liczba pid będzie się różnić.

Ten komunikat o błędzie występuje, gdy proces dopiero się rozpoczyna lub gdy proces został niedawno zatrzymany. Jedynym skutkiem jest to, że proces wyznaczony przez pid nie jest skanowany.

Znany problem 2

W rzadkich przypadkach, jeśli administrator zdecyduje się wdrożyć MSRT za pomocą przełącznika ciszy /q (znanego również jako tryb cichy), może to nie rozwiązać problemu z czyszczeniem niewielkiego podzestawu infekcji w sytuacjach, w których po ponownym uruchomieniu wymagane jest dodatkowe czyszczenie. Zaobserwowano to tylko w usuwaniu niektórych wariantów programu rootkit.