Distribuer windows verktøy for fjerning av skadelig programvare i et bedriftsmiljø (KB891716)

Slik bruker du SMS-programvarepakken

Følgende eksempel inneholder trinnvise instruksjoner for bruk av SMS 2003. Fremgangsmåten for bruk av SMS 2.0 ligner på disse trinnene.

1. Pakk ut Mrt.exe-filen fra pakken som heter Windows-KB890830-V5.123.exe /x.

2. Opprett en .bat fil for å starte Mrt.exe og registrere returkoden ved hjelp av ISMIF32.exe.
   
   Følgende er et eksempel.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Hvis du vil ha mer informasjon om Ismif32.exe, kan du gå til følgende artikkel i Microsoft Knowledge Base:

   268791 Hvordan en MIF-fil (status Management Information Format) som produseres av ISMIF32.exe-filen, behandles i SMS 2.0

   186415 Status MIF oppretter, Ismif32.exe er tilgjengelig

3. Følg disse trinnene for å opprette en pakke i SMS 2003-konsollen:

   1. Åpne SMS-administratorkonsollen.

   2. Høyreklikk Pakkenoden , velg Ny, og velg deretter Pakke.
      
      Dialogboksen Pakkeegenskaper vises.

   3. Gi pakken et navn på Generelt-fanen.

   4. Merk av for Denne pakken inneholder kildefiler på Datakilde-fanen.

   5. Velg Angi, og velg deretter en kildekatalog som inneholder verktøyet.

   6. Angi Sendingsprioritet til Høy på Fanen Distribusjonsinnstillinger.

   7. Velg Bruk disse feltene for status-MIF-samsvar på fanen Rapportering, og angi deretter et navn for MIF-filnavnfeltet ognavnefeltet
      .
      
      Versjon og Publisher er valgfrie.

   8. Velg OK for å opprette pakken.

4. Følg disse trinnene for å angi et distribusjonspunkt (DP) til pakken:

   1. Finn den nye pakken under Pakkenoden i SMS 2003-konsollen.

   2. Utvid pakken. Høyreklikk distribusjonspunkter, pek på Ny, og velg deretter Distribusjonspunkter.

   3. Start veiviseren for nye distribusjonspunkter. Velg et eksisterende distribusjonspunkt.

   4. Velg Fullfør for å avslutte veiviseren.

5. Hvis du vil legge til den satsvise filen som tidligere ble opprettet i den nye pakken, følger du disse trinnene:

   1. Velg Programmer-noden under den nye pakkenoden.

   2. Høyreklikk Programmer, pek på Ny, og velg deretter Program.

   3. Velg Generelt-fanen , og skriv deretter inn et gyldig navn.

   4. Velg Bla gjennom på kommandolinjen for å velge den satsvise filen du opprettet for å starte Mrt.exe.

   5. Endre Kjør til Skjult. Endre etter til Ingen handling kreves.

   6. Velg Krav-fanen , og velg deretter Dette programmet kan bare kjøre på angitte klientoperativsystemer.

   7. Velg Alle x86 Windows XP.

   8. Velg Miljø-fanen , og velg om en bruker er logget på listen Program kan kjøre . Sett Kjør-modusen til Kjør med administrative rettigheter.

   9. Velg OK for å lukke dialogboksen.

6. Følg disse trinnene for å opprette en annonse for å annonsere programmet til klienter:

   1. Høyreklikk annonsenoden , velg Ny, og velg deretter Annonse.

   2. Skriv inn et navn på annonsen på Generelt-fanen. Velg pakken du opprettet tidligere, i Pakke-feltet . Velg programmet du opprettet tidligere, i Program-feltet . Velg Bla gjennom, og velg deretter All System-samlingen , eller velg en samling datamaskiner som bare inkluderer Windows Vista og nyere versjoner.

   3. På Tidsplan-fanen lar du standardalternativene være hvis du vil at programmet bare skal kjøre én gang. Hvis du vil kjøre programmet etter en tidsplan, tilordner du et tidsplanintervall.

   4. Sett prioriteten til Høy.

   5. Velg OK for å opprette annonsen.

Slik bruker du et gruppepolicy-basert oppstartsskript for datamaskinen

Denne metoden krever at du starter klientdatamaskinen på nytt etter at du har konfigurert skriptet, og når du har brukt innstillingen gruppepolicy.

1. Konfigurer delinger. Hvis du vil gjøre dette, følger du trinnene i delen For første installasjon og konfigurasjon .

2. Konfigurer oppstartsskriptet. For å gjøre dette, følger du disse trinnene:

   1. Høyreklikk domenenavnet i snapin-modulen for Active Directory-brukere og -datamaskiner MMC, og velg deretter Egenskaper.

   2. Velg gruppepolicy-fanen.

   3. Velg Ny for å opprette en ny gruppepolicy object (GPO), og skriv inn MRT Deployment for navnet på policyen.

   4. Velg den nye policyen, og velg deretter Rediger.

   5. Utvid Windows-innstillinger for datamaskinkonfigurasjon, og velg deretter Skript.

   6. Dobbeltvalg av pålogging, og velg deretter Legg til.
      
      Dialogboksen Legg til et skript vises.

   7. Skriv inn \\ServerName\ShareName\RunMRT.cmd i Skriptnavn-boksen.

   8. Velg OK, og velg deretter Bruk.

3. Start klientdatamaskinene som er medlemmer av dette domenet, på nytt.

Slik bruker du et gruppepolicy-basert brukerpåloggingsskript

Denne metoden krever at påloggingsbrukerkontoen er en domenekonto og er medlem av den lokale administratorgruppen på klientdatamaskinen.

1. Konfigurer delinger. Hvis du vil gjøre dette, følger du trinnene i
   delenFor første installasjon og konfigurasjon.

2. Konfigurer påloggingsskriptet. For å gjøre dette, følger du disse trinnene:

   1. Høyreklikk domenenavnet i snapin-modulen for Active Directory-brukere og -datamaskiner MMC, og velg deretter Egenskaper.

   2. Velg gruppepolicy-fanen.

   3. Velg Ny for å opprette et nytt gruppepolicyobjekt, og skriv deretter inn MRT-distribusjon for navnet.

   4. Velg den nye policyen, og velg deretter Rediger.

   5. Utvid Windows-innstillinger for brukerkonfigurasjon, og velg deretter Skript.

   6. Dobbeltvalg av pålogging, og velg deretter Legg til. Dialogboksen Legg til et skript vises.

   7. Skriv inn \\ServerName\ShareName\RunMRT.cmd i Skriptnavn-boksen.

   8. Velg OK, og velg deretter Bruk.

3. Logg av, og logg deretter på klientdatamaskinene.

I dette scenarioet vil skriptet og verktøyet kjøre under konteksten til den påloggede brukeren. Hvis denne brukeren ikke tilhører den lokale administratorgruppen eller ikke har tilstrekkelige tillatelser, kjøres ikke verktøyet og returnerer ikke riktig returkode. Hvis du vil ha mer informasjon om hvordan du bruker oppstartsskript og påloggingsskript, kan du gå til følgende artikkel i Microsoft Knowledge Base:

198642 Oversikt over påloggings-, påloggings-, oppstarts- og avslutningsskript i Windows 2000

322241 Slik tilordner du skript i Windows 2000

Slik undersøker du returkoder

Du kan undersøke returkoden for verktøyet i påloggingsskriptet for distribusjon eller i oppstartsskriptet for distribusjon for å bekrefte resultatene av kjøringen. Se kodeeksempelinndelingen for et eksempel på hvordan du gjør dette.

Listen nedenfor inneholder gyldige returkoder.

Slik analyserer du loggfilen

Verktøyet for fjerning av skadelig programvare skriver detaljer om resultatet av kjøringen i loggfilen %windir%\debug\mrt.log.

Notater

• Denne loggfilen er bare tilgjengelig på engelsk.

• Fra og med versjon 1.2 av verktøyet for fjerning (mars 2005) bruker denne loggfilen Unicode-tekst. Før versjon 1.2 brukte loggfilen ANSI-tekst.

• Loggfilformatet er endret med versjon 1.2, og vi anbefaler at du laster ned og bruker den nyeste versjonen av verktøyet.
  
  Hvis denne loggfilen allerede finnes, føyer verktøyet til den eksisterende filen.

• Du kan bruke et kommandoskript som ligner på det forrige eksemplet for å registrere returkoden og samle filene til en delt nettverksressurs.

• På grunn av overgangen fra ANSI til Unicode vil versjon 1.2 av verktøyet for fjerning kopiere alle ANSI-versjoner av Mrt.log-filen i mappen %windir%\debug til Mrt.log.old i samme katalog. Versjon 1.2 oppretter også en ny Unicode-versjon av Mrt.log-filen i den samme katalogen. I likhet med ANSI-versjonen legges denne loggfilen til i hver måneds utgivelse.

Følgende eksempel er en Mrt.log-fil fra en datamaskin som ble infisert med MPnTestFile-ormen:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Følgende er et eksempel på en loggfil der ingen skadelig programvare blir funnet.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Nedenfor finner du en eksempelloggfil der det blir funnet feil.

Hvis du vil ha mer informasjon om advarsler og feil som er forårsaket av verktøyet, kan du gå til følgende artikkel i Microsoft Knowledge Base:

891717 Slik feilsøker du en feil når du kjører Verktøyet for fjerning av skadelig programvare for Microsoft Windows Microsoft Windows Verktøy for fjerning av skadelig programvare v5.3, august 2013 (bygg 5.3.9300.0) Startet på fre 02. august 16:17:49 2013 Skanneresultater: ------------- Trussel oppdaget: Virus:Win32/MPTestFile.2004, delvis fjernet. Operasjonen mislyktes. Handling: Rengjør, Resultat: 0x8007065E. Bruk et fullstendig antivirusprodukt! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Results Summary: ---------------- Found Virus:Win32/MPTestFile.2004, delvis fjernet. Microsoft Windows verktøy for fjerning av skadelig programvare ferdig på fre 02 august 16:18:09 2013 Returkode: 7 (0x7)

Kjent problem 1

Når du kjører verktøyet ved hjelp av et oppstartsskript, kan feilmeldinger som ligner på følgende feilmelding, være logget i Mrt.log-filen:
 

Merk PiD-nummeret varierer.

Denne feilmeldingen oppstår når en prosess bare starter eller når en prosess nylig har blitt stoppet. Den eneste effekten er at prosessen som er angitt av pid ikke skannes.

Kjent problem 2

I noen sjeldne tilfeller, hvis en administrator velger å distribuere MSRT ved hjelp av /q stille bryteren (også kjent som stille modus), kan dette ikke helt løse rengjøring for et lite delsett av infeksjoner i situasjoner der ytterligere rengjøring er nødvendig etter en omstart. Dette er bare observert ved fjerning av visse rootkit-varianter.