Windows Hulpprogramma voor verwijderen van schadelijke software implementeren in een bedrijfsomgeving (KB891716)

Het SMS-softwarepakket gebruiken

Het volgende voorbeeld bevat stapsgewijze instructies voor het gebruik van SMS 2003. De stappen voor het gebruik van SMS 2.0 lijken op deze stappen.

1. Pak het Mrt.exe-bestand uit het pakket met de naam Windows-KB890830-V5.123.exe /x.

2. Maak een .bat-bestand om Mrt.exe te starten en de retourcode vast te leggen met behulp van ISMIF32.exe.
   
   Hier volgt een voorbeeld.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie over Ismif32.exe:

   268791 Hoe een MIF-bestand (Status Management Information Format) dat wordt geproduceerd door het ISMIF32.exe-bestand wordt verwerkt in SMS 2.0

   186415 Status MIF-maker, Ismif32.exe beschikbaar is

3. Voer de volgende stappen uit om een pakket te maken in de SMS 2003-console:

   1. Open de SMS Administrator-console.

   2. Selecteer met de rechtermuisknop het knooppunt Pakketten , selecteer Nieuw en selecteer vervolgens Pakket.
      
      Het dialoogvenster Pakketeigenschappen wordt weergegeven.

   3. Geef het pakket een naam op het tabblad Algemeen .

   4. Schakel op het tabblad Gegevensbron het selectievakje Dit pakket bevat bronbestanden in.

   5. Selecteer Instellen en kies vervolgens een bronmap die het hulpprogramma bevat.

   6. Stel op het tabblad Distributie-instellingen de prioriteit Verzenden in op Hoog.

   7. Selecteer op het tabblad Rapportagede optie Deze velden gebruiken voor mif-statuskoppeling en geef vervolgens een naam op voor het veld MIF-bestandsnaam en voor het
      veldNaam.
      
      Versie en Publisher zijn optioneel.

   8. Selecteer OK om het pakket te maken.

4. Voer de volgende stappen uit om een distributiepunt (DP) voor het pakket op te geven:

   1. Zoek in de SMS 2003-console het nieuwe pakket onder het knooppunt Pakketten .

   2. Vouw het pakket uit. Selecteer met de rechtermuisknop Distributiepunten, wijs Nieuw aan en selecteer vervolgens Distributiepunten.

   3. Start de wizard Nieuwe distributiepunten. Selecteer een bestaand distributiepunt.

   4. Selecteer Voltooien om de wizard af te sluiten.

5. Voer de volgende stappen uit om het batchbestand dat eerder is gemaakt toe te voegen aan het nieuwe pakket:

   1. Selecteer onder het nieuwe pakketknooppunt het knooppunt Programma's .

   2. Selecteer met de rechtermuisknop Programma's, wijs Nieuw aan en selecteer vervolgens Programma.

   3. Selecteer het tabblad Algemeen en voer een geldige naam in.

   4. Selecteer op de opdrachtregelBladeren om het batchbestand te selecteren dat u hebt gemaakt om Mrt.exe te starten.

   5. Wijzig Uitvoeren in Verborgen. Wijzig Na in Geen actie vereist.

   6. Selecteer het tabblad Vereisten en selecteer vervolgens Dit programma kan alleen worden uitgevoerd op opgegeven clientbesturingssystemen.

   7. Selecteer Alle x86 Windows XP.

   8. Selecteer het tabblad Omgeving en selecteer Of een gebruiker is aangemeld in de lijst Programma kan worden uitgevoerd . Stel de uitvoeringsmodus in op Uitvoeren met beheerdersrechten.

   9. Selecteer OK om het dialoogvenster te sluiten.

6. Volg deze stappen om een advertentie te maken om het programma aan clients te adverteren:

   1. Selecteer met de rechtermuisknop het knooppunt Advertentie , selecteer Nieuw en selecteer vervolgens Advertentie.

   2. Voer op het tabblad Algemeen een naam in voor de advertentie. Selecteer in het veld Pakket het pakket dat u eerder hebt gemaakt. Selecteer in het veld Programma het programma dat u eerder hebt gemaakt. Selecteer Bladeren en selecteer vervolgens de verzameling Alle systeem of selecteer een verzameling computers die alleen Windows Vista en latere versies bevat.

   3. Laat op het tabblad Planning de standaardopties staan als u wilt dat het programma slechts één keer wordt uitgevoerd. Als u het programma volgens een schema wilt uitvoeren, wijst u een schema-interval toe.

   4. Stel prioriteit in op Hoog.

   5. Selecteer OK om de advertentie te maken.

Een opstartscript voor een groepsbeleid computer gebruiken

Voor deze methode moet u de clientcomputer opnieuw opstarten nadat u het script hebt ingesteld en nadat u de instelling groepsbeleid hebt toegepast.

1. Stel de shares in. Volg hiervoor de stappen in de sectie Eerste installatie en configuratie .

2. Stel het opstartscript in. Ga hiervoor als volgt te werk:

   1. Selecteer in de mmc-module Active Directory: gebruikers en computers met de rechtermuisknop de domeinnaam en selecteer vervolgens Eigenschappen.

   2. Selecteer het tabblad groepsbeleid.

   3. Selecteer Nieuw om een nieuw groepsbeleid Object (GPO) te maken en typ MRT-implementatie als naam van het beleid.

   4. Selecteer het nieuwe beleid en selecteer vervolgens Bewerken.

   5. Vouw Windows-instellingen voor Computerconfiguratie uit en selecteer vervolgens Scripts.

   6. Dubbel selecteer Aanmelden en selecteer vervolgens Toevoegen.
      
      Het dialoogvenster Een script toevoegen wordt weergegeven.

   7. Typ \\ServerName\ShareName\RunMRT.cmd in het vak Scriptnaam.

   8. Selecteer OK en selecteer vervolgens Toepassen.

3. Start de clientcomputers die lid zijn van dit domein opnieuw op.

Een gebruikersaanmeldingsscript op basis van groepsbeleid gebruiken

Voor deze methode moet het gebruikersaccount voor aanmelding een domeinaccount zijn en lid zijn van de lokale beheerdersgroep op de clientcomputer.

1. Stel de shares in. Volg hiervoor de stappen in de
   sectieEerste installatie en configuratie.

2. Stel het aanmeldingsscript in. Ga hiervoor als volgt te werk:

   1. Selecteer in de mmc-module Active Directory: gebruikers en computers met de rechtermuisknop de domeinnaam en selecteer vervolgens Eigenschappen.

   2. Selecteer het tabblad groepsbeleid.

   3. Selecteer Nieuw om een nieuw groepsbeleidsobject te maken en typ mrt-implementatie als naam.

   4. Selecteer het nieuwe beleid en selecteer vervolgens Bewerken.

   5. Vouw Windows-instellingen voor gebruikersconfiguratie uit en selecteer scripts.

   6. Dubbel selecteer Aanmelden en selecteer vervolgens Toevoegen. Het dialoogvenster Een script toevoegen wordt weergegeven.

   7. Typ \\ServerName\ShareName\RunMRT.cmd in het vak Scriptnaam.

   8. Selecteer OK en selecteer vervolgens Toepassen.

3. Meld u af en meld u vervolgens aan bij de clientcomputers.

In dit scenario worden het script en het hulpprogramma uitgevoerd in de context van de aangemelde gebruiker. Als deze gebruiker niet tot de lokale beheerdersgroep behoort of niet over voldoende machtigingen beschikt, wordt het hulpprogramma niet uitgevoerd en wordt de juiste retourcode niet geretourneerd. Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie over het gebruik van opstartscripts en aanmeldingsscripts:

198642 Overzicht van scripts voor aanmelden, afmelden, opstarten en afsluiten in Windows 2000

322241 Scripts toewijzen in Windows 2000

Retourcodes onderzoeken

U kunt de retourcode van het hulpprogramma bekijken in het aanmeldingsscript voor de implementatie of in het opstartscript van de implementatie om de resultaten van de uitvoering te controleren. Zie de sectie Codevoorbeeld voor een voorbeeld van hoe u dit doet.

De volgende lijst bevat de geldige retourcodes.

Het logboekbestand parseren

Het hulpprogramma voor het verwijderen van schadelijke software schrijft details over het resultaat van de uitvoering in het logboekbestand %windir%\debug\mrt.log.

Notities

• Dit logboekbestand is alleen beschikbaar in het Engels.

• Vanaf versie 1.2 van het verwijderingsprogramma (maart 2005) gebruikt dit logboekbestand Unicode-tekst. Vóór versie 1.2 gebruikte het logboekbestand ANSI-tekst.

• De logboekbestandsindeling is gewijzigd met versie 1.2 en we raden u aan de nieuwste versie van het hulpprogramma te downloaden en te gebruiken.
  
  Als dit logboekbestand al bestaat, wordt het hulpprogramma toegevoegd aan het bestaande bestand.

• U kunt een opdrachtscript gebruiken dat lijkt op het vorige voorbeeld om de retourcode vast te leggen en de bestanden naar een netwerkshare te verzamelen.

• Vanwege de overschakeling van ANSI naar Unicode, kopieert versie 1.2 van het verwijderingsprogramma alle ANSI-versies van het Mrt.log-bestand in de map %windir%\debug naar Mrt.log.old in dezelfde map. Versie 1.2 maakt ook een nieuwe Unicode-versie van het Mrt.log-bestand in dezelfde map. Net als de ANSI-versie wordt dit logboekbestand toegevoegd aan de release van elke maand.

Het volgende voorbeeld is een Mrt.log-bestand van een computer die is geïnfecteerd met de worm MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Hier volgt een voorbeeld van een logboekbestand waarin geen schadelijke software is gevonden.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Hier volgt een voorbeeldlogboekbestand waarin fouten worden aangetroffen.

Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie over waarschuwingen en fouten die worden veroorzaakt door het hulpprogramma:

891717 Een fout oplossen wanneer u het Hulpprogramma voor het verwijderen van schadelijke software van Microsoft Windows uitvoert Microsoft Windows Hulpprogramma voor verwijderen van schadelijke software v5.3, augustus 2013 (build 5.3.9300.0) Gestart op vr 02 augustus 16:17:49 2013 Scanresultaten: ------------- Bedreiging gedetecteerd: Virus:Win32/MPTestFile.2004, gedeeltelijk verwijderd. De bewerking is mislukt. Actie: Opschonen, Resultaat: 0x8007065E. Gebruik een volledig antivirusproduct! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Results Summary: ---------------- Found Virus:Win32/MPTestFile.2004, gedeeltelijk verwijderd. Microsoft Windows Hulpprogramma voor het verwijderen van schadelijke software voltooid op vr 02 augustus 16:18:09 2013 Retourcode: 7 (0x7)

Bekend probleem 1

Wanneer u het hulpprogramma uitvoert met behulp van een opstartscript, worden foutberichten die lijken op het volgende foutbericht mogelijk vastgelegd in het Mrt.log-bestand:
 

Opmerking Het pid-getal varieert.

Dit foutbericht treedt op wanneer een proces net wordt gestart of wanneer een proces onlangs is gestopt. Het enige effect is dat het proces dat is aangewezen door de pid niet wordt gescand.

Bekend probleem 2

In sommige zeldzame gevallen, als een beheerder ervoor kiest om de MSRT te implementeren met behulp van de /q stille switch (ook wel bekend als stille modus), kan dit mogelijk niet volledig worden opgelost voor een kleine subset van infecties in situaties waarin extra reiniging is vereist na een herstart. Dit is alleen waargenomen bij het verwijderen van bepaalde rootkit-varianten.