Implementar a Ferramenta de Remoção de Software Malicioso do Windows num ambiente empresarial (KB891716)

Como utilizar o pacote de software SMS

O exemplo seguinte fornece instruções passo a passo para utilizar o SMS 2003. Os passos para utilizar o SMS 2.0 assemelham-se a estes passos.

1. Extraia o ficheiro de Mrt.exe do pacote com o nome Windows-KB890830-V5.123.exe /x.

2. Crie um ficheiro de .bat para iniciar Mrt.exe e capturar o código de retorno com ISMIF32.exe.
   
   Segue-se um exemplo.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Para obter mais informações sobre Ismif32.exe, aceda ao seguinte artigo na Base de Dados de Conhecimento Microsoft:

   268791 Como um ficheiro MIF (Management Information Format) de estado produzido pelo ficheiro ISMIF32.exe é processado em SMS 2.0

   186415 Criador MIF de estado, Ismif32.exe está disponível

3. Para criar um pacote na consola do SMS 2003, siga estes passos:

   1. Abra a Consola do Administrador de SMS.

   2. Selecione com o botão direito do rato o nó Pacotes , selecione Novo e, em seguida, selecione Pacote.
      
      É apresentada a caixa de diálogo Propriedades do Pacote .

   3. No separador Geral , atribua um nome ao pacote.

   4. No separador Origem de Dados , selecione para selecionar a caixa de verificação Este pacote contém ficheiros de origem .

   5. Selecione Definir e, em seguida, escolha um diretório de origem que contenha a ferramenta.

   6. No separador Definições de Distribuição , defina a Prioridade de envio como Alta.

   7. No separador Relatórios, selecione Utilizar estes campos para a correspondência MIF de estado e, em seguida, especifique um nome para o campo nome de ficheiro MIF e para o
      campoNome.
      
      A versão e o Publisher são opcionais.

   8. Selecione OK para criar o pacote.

4. Para especificar um Ponto de Distribuição (DP) para o pacote, siga estes passos:

   1. Na consola do SMS 2003, localize o novo pacote no nó Pacotes .

   2. Expanda o pacote. Selecione Pontos de Distribuição à direita, aponte para Novo e, em seguida, selecione Pontos de Distribuição.

   3. Inicie o Assistente de Novos Pontos de Distribuição. Selecione um Ponto de Distribuição existente.

   4. Selecione Concluir para sair do assistente.

5. Para adicionar o ficheiro batch que foi criado anteriormente ao novo pacote, siga estes passos:

   1. No novo nó do pacote, selecione o nó Programas .

   2. Selecione Programas com o botão direito do rato, aponte para Novo e, em seguida, selecione Programa.

   3. Selecione o separador Geral e, em seguida, introduza um nome válido.

   4. Na Linha de comandos, selecione Procurar para selecionar o ficheiro batch que criou para iniciar Mrt.exe.

   5. Altere Executar para Oculto. Altere Após para Nenhuma ação necessária.

   6. Selecione o separador Requisitos e, em seguida, selecione Este programa só pode ser executado em sistemas operativos cliente especificados.

   7. Selecione Todos os x86 Windows XP.

   8. Selecione o separador Ambiente , selecione Se um utilizador tem sessão iniciada na lista O programa pode ser executado . Defina o Modo de execução como Executar com direitos administrativos.

   9. Selecione OK para fechar a caixa de diálogo.

6. Para criar um anúncio para anunciar o programa aos clientes, siga estes passos:

   1. Selecione o nó Anúncio com o botão direito do rato, selecione Novo e, em seguida, selecione Anúncio.

   2. No separador Geral , introduza um nome para o anúncio. No campo Pacote , selecione o pacote que criou anteriormente. No campo Programa , selecione o programa que criou anteriormente. Selecione Procurar e, em seguida, selecione a coleção Todos os Sistemas ou selecione uma coleção de computadores que inclua apenas o Windows Vista e versões posteriores.

   3. No separador Agenda , deixe as opções predefinidas se quiser que o programa seja executado apenas uma vez. Para executar o programa com base numa agenda, atribua um intervalo de agendamento.

   4. Defina a Prioridade como Alta.

   5. Selecione OK para criar o anúncio.

Como utilizar um script de arranque de computador baseado em Política de Grupo

Este método requer que reinicie o computador cliente depois de configurar o script e depois de aplicar a definição Política de Grupo.

1. Configure as partilhas. Para tal, siga os passos na secção Configuração inicial e configuração .

2. Configure o script de arranque. Para tal, siga estes passos:

   1. No Utilizadores e Computadores do Active Directory snap-in MMC, selecione o nome de domínio com o botão direito do rato e, em seguida, selecione Propriedades.

   2. Selecione o separador Política de Grupo.

   3. Selecione Novo para criar um novo Objeto Política de Grupo (GPO) e escreva Implementação MRT para o nome da política.

   4. Selecione a nova política e, em seguida, selecione Editar.

   5. Expanda Definições do Windows para Configuração do Computador e, em seguida, selecione Scripts.

   6. Faça duplo selecione Início de Sessão e, em seguida, selecione Adicionar.
      
      É apresentada a caixa de diálogo Adicionar um Script .

   7. Na caixa Nome do Script , escreva \\ServerName\ShareName\RunMRT.cmd.

   8. Selecione OK e, em seguida, selecione Aplicar.

3. Reinicie os computadores cliente que são membros deste domínio.

Como utilizar um script de início de sessão de utilizador baseado em Política de Grupo

Este método requer que a conta de utilizador de início de sessão seja uma conta de domínio e seja membro do grupo do administrador local no computador cliente.

1. Configure as partilhas. Para tal, siga os passos na
   secçãoConfiguração inicial e configuração.

2. Configure o script de início de sessão. Para tal, siga estes passos:

   1. No Utilizadores e Computadores do Active Directory snap-in MMC, selecione o nome de domínio com o botão direito do rato e, em seguida, selecione Propriedades.

   2. Selecione o separador Política de Grupo.

   3. Selecione Novo para criar um novo GPO e, em seguida, escreva Implementação MRT para o nome.

   4. Selecione a nova política e, em seguida, selecione Editar.

   5. Expanda Definições do Windows para Configuração do Utilizador e, em seguida, selecione Scripts.

   6. Faça duplo selecione Início de Sessão e, em seguida, selecione Adicionar. É apresentada a caixa de diálogo Adicionar um Script .

   7. Na caixa Nome do Script , escreva \\ServerName\ShareName\RunMRT.cmd.

   8. Selecione OK e, em seguida, selecione Aplicar.

3. Termine sessão e, em seguida, inicie sessão nos computadores cliente.

Neste cenário, o script e a ferramenta serão executados no contexto do utilizador com sessão iniciada. Se este utilizador não pertencer ao grupo de administradores local ou não tiver permissões suficientes, a ferramenta não será executada e não devolverá o código de retorno adequado. Para obter mais informações sobre como utilizar scripts de arranque e scripts de início de sessão, aceda ao seguinte artigo na Base de Dados de Conhecimento Microsoft:

198642 Descrição geral dos scripts de início de sessão, início de sessão, arranque e encerramento no Windows 2000

322241 Como atribuir scripts no Windows 2000

Como examinar os códigos de retorno

Pode examinar o código de retorno da ferramenta no script de início de sessão de implementação ou no script de arranque da implementação para verificar os resultados da execução. Veja a secção Exemplo de código para obter um exemplo de como fazê-lo.

A lista seguinte contém os códigos de retorno válidos.

Como analisar o ficheiro de registo

A Ferramenta de Remoção de Software Malicioso escreve detalhes sobre o resultado da respetiva execução no ficheiro de registo %windir%\debug\mrt.log.

Notas

• Este ficheiro de registo só está disponível em inglês.

• A partir da versão 1.2 da ferramenta de remoção (março de 2005), este ficheiro de registo utiliza texto Unicode. Antes da versão 1.2, o ficheiro de registo utilizava texto ANSI.

• O formato do ficheiro de registo foi alterado com a versão 1.2 e recomendamos que transfira e utilize a versão mais recente da ferramenta.
  
  Se este ficheiro de registo já existir, a ferramenta acrescenta ao ficheiro existente.

• Pode utilizar um script de comandos semelhante ao exemplo anterior para capturar o código de retorno e recolher os ficheiros para uma partilha de rede.

• Devido à mudança de ANSI para Unicode, a versão 1.2 da ferramenta de remoção copiará todas as versões ANSI do ficheiro Mrt.log na pasta %windir%\debug para Mrt.log.old no mesmo diretório. A versão 1.2 também cria uma nova versão Unicode do ficheiro Mrt.log nesse mesmo diretório. Tal como a versão do ANSI, este ficheiro de registo será anexado à versão de cada mês.

O exemplo seguinte é um ficheiro Mrt.log de um computador que foi infetado com o worm MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Segue-se um ficheiro de registo de exemplo onde não foi encontrado software malicioso.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Segue-se um ficheiro de registo de exemplo no qual são encontrados erros.

Para obter mais informações sobre avisos e erros causados pela ferramenta, consulte o seguinte artigo na Base de Dados de Conhecimento Microsoft:

891717 Como resolver um erro ao executar a Ferramenta de Remoção de Software Malicioso do Microsoft Windows Microsoft Windows Malicious Software Removal Tool v5.3, agosto de 2013 (compilação 5.3.9300.0) Iniciada em 02 de agosto de 16:17:49 2013 Resultados da Análise: ------------- Ameaça Detetada: Virus:Win32/MPTestFile.2004, parcialmente removida. A operação falhou. Ação: Limpo, Resultado: 0x8007065E. Utilize um produto antivírus completo! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Resumo dos Resultados: ---------------- Vírus Encontrado:Win32/MPTestFile.2004, parcialmente removido. A Ferramenta de Remoção de Software Malicioso do Microsoft Windows foi concluída a 02 de agosto de 16:18:09 2013 Código de retorno: 7 (0x7)

Problema conhecido 1

Quando executa a ferramenta com um script de arranque, podem ser registadas mensagens de erro semelhantes à seguinte mensagem de erro no ficheiro de Mrt.log:
 

Nota O número pid irá variar.

Esta mensagem de erro ocorre quando um processo está apenas a iniciar ou quando um processo foi interrompido recentemente. O único efeito é que o processo designado pelo pid não é analisado.

Problema conhecido 2

Em alguns casos raros, se um administrador optar por implementar o MSRT utilizando o comutador /q quiet (também conhecido como modo silencioso), isto pode não resolver completamente a limpeza de um pequeno subconjunto de infeções em situações em que é necessária limpeza adicional após um reinício. Isto foi observado apenas na remoção de determinadas variantes do rootkit.