Windows Malicious Software Removal Tool implementeren in een bedrijfsomgeving (KB891716)

Het sms-softwarepakket gebruiken

In het volgende voorbeeld vindt u stapsgewijs instructies voor het gebruik van sms 2003. De stappen voor het gebruik van SMS 2.0 lijken op deze stappen.

1. Haal het Mrt.exe uit het pakket met de naam Windows-KB890830-V1.34-ENU.exe /x.

2. Maak een BAT-bestand om de Mrt.exe en om de retourcode vast te leggen met ISMIF32.exe.
   
   Het volgende is een voorbeeld.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Voor meer informatie over Ismif32.exe, gaat u naar het volgende artikel in de Microsoft Knowledge Base:

   268791 Hoe een MIF-bestand (Status Management Information Format) dat door het ISMIF32.exe-bestand wordt geproduceerd, wordt verwerkt in SMS 2.0

   186415 Status MIF creator, Ismif32.exe is beschikbaar

3. Als u een pakket wilt maken in de sms 2003-console, volgt u de volgende stappen:

   1. Open de sms-beheerdersconsole.

   2. Klik met de rechtermuisknop op het knooppunt Pakketten, klik
      op Nieuwen klik vervolgens op Pakket.
      
      Het
      dialoogvenster Eigenschappen van pakket wordt weergegeven.

   3. Noem het pakket op het tabblad Algemeen.

   4. Klik op het tabblad Gegevensbron om het selectievakje Dit pakket bevat bronbestanden in te selecteren.

   5. Klik op Instellenen kies vervolgens een bronmap met het hulpprogramma.

   6. Stel op het tabblad Distributie-instellingen de prioriteit Verzenden in op Hoog.

   7. Klik op het tabblad Rapportage op Deze velden gebruiken voor status MIF-matchingen geef vervolgens een naam op voor het veld MIF-bestandsnaam en voor
      het veld Naam.
      
      Versie en Publisher zijn optioneel.

   8. Klik op OK om het pakket te maken.

4. Als u een distributiepunt (DP) wilt opgeven voor het pakket, gaat u als volgt te werk:

   1. Zoek in de console SMS 2003 het nieuwe pakket onder het knooppunt Pakketten.

   2. Vouw het pakket uit. Klik met de rechtermuisknop op Distributiepunten,wijs Nieuwaan en klik vervolgens op Distributiepunten.

   3. Start de wizard Nieuwe distributiepunten. Selecteer een bestaand distributiepunt.

   4. Klik op Voltooien om de wizard te sluiten.

5. Als u het batchbestand dat eerder is gemaakt, wilt toevoegen aan het nieuwe pakket, gaat u als volgt te werk:

   1. Klik onder het nieuwe pakket knooppunt op het knooppunt Programma's.

   2. Klik met de rechtermuisknop op Programma's,wijs
      Nieuwaan en klik vervolgens op Programma.

   3. Klik op het tabblad Algemeen en voer een geldige naam in.

   4. Klik op de opdrachtregelop
      Bladeren om het batchbestand te selecteren dat u hebt gemaakt om de Mrt.exe.

   5. Uitvoeren wijzigen in
      Verborgen. Wijzigen na in Geen actie vereist.

   6. Klik op het tabblad Vereisten en klik vervolgens op Dit programma kan alleen worden uitgevoerd op opgegeven clientbesturingssystemen.

   7. Klik op Alle x86 Windows XP.

   8. Klik op het tabblad Omgeving en klik op Of een gebruiker
      is aangemeld in de lijst Programma kan worden uitgevoerd. Stel de modus Uitvoeren in op Uitvoeren met beheerdersrechten.

   9. Klik op OK om het dialoogvenster te sluiten.

6. Als u een advertentie wilt maken om reclame te maken voor het programma voor klanten, volgt u de volgende stappen:

   1. Klik met de rechtermuisknop op het knooppunt Reclame, klik op Nieuwen klik vervolgens op
      Reclame.

   2. Voer op het tabblad Algemeen een naam in voor de advertentie. Selecteer in het veld Pakket het pakket dat u eerder hebt gemaakt. Selecteer in het veld Programma het programma dat u eerder hebt gemaakt. Klik op Bladerenen klik vervolgens op de verzameling Alle systemen of selecteer een verzameling computers die alleen Windows Vista en nieuwere versies bevat.

   3. Laat op het tabblad Planning de standaardopties als u wilt dat het programma slechts één keer wordt uitgevoerd. Als u het programma volgens een planning wilt uitvoeren, wijst u een planningsinterval toe.

   4. Stel de prioriteit in op Hoog.

   5. Klik op OK om de advertentie te maken.

Een op groepsbeleid gebaseerd script voor het opstarten van een computer gebruiken

Voor deze methode moet u de clientcomputer opnieuw starten nadat u het script hebt ingesteld en nadat u de instelling Groepsbeleid hebt toegepast.

1. De aandelen instellen. Volg hiervoor de stappen in de sectie
   Initiële installatie en configuratie.

2. Het opstartscript instellen. Ga hiervoor als volgt te werk:

   1. Klik in de MMC-module Active Directory-gebruikers en -computers met de rechtermuisknop op de domeinnaam en klik vervolgens op
      Eigenschappen.

   2. Klik op het tabblad Groepsbeleid.

   3. Klik op Nieuw om een nieuw groepsbeleidsobject (GPO) te maken en typ MRT-implementatie voor de naam van het beleid.

   4. Klik op het nieuwe beleid en klik vervolgens op Bewerken.

   5. Vouw Windows-instellingen voor computerconfiguratieuit en klik vervolgens op Scripts.

   6. Dubbelklik op Aanmeldingen klik vervolgens op Toevoegen.
      
      Het dialoogvenster Een script toevoegen wordt weergegeven.

   7. Typ in het vak Scriptnaam
      \\Servernaam\ShareName\RunMRT.cmd.

   8. Klik op OKen klik vervolgens op Toepassen.

3. Start de clientcomputers die lid zijn van dit domein opnieuw op.

Een gebruikerslogenscript op basis van groepsbeleid gebruiken

Voor deze methode moet het aanmeldingsgebruikersaccount een domeinaccount zijn en lid zijn van de groep van de lokale beheerder op de clientcomputer.

1. De aandelen instellen. Volg hiervoor de stappen in de sectie
   Initiële installatie en configuratie.

2. Het aanmeldingsscript instellen. Ga hiervoor als volgt te werk:

   1. Klik in de MMC-module Active Directory-gebruikers en -computers met de rechtermuisknop op de domeinnaam en klik vervolgens op
      Eigenschappen.

   2. Klik op het tabblad Groepsbeleid.

   3. Klik op Nieuw om een nieuw GPO te maken en typ mrt-implementatie voor de naam.

   4. Klik op het nieuwe beleid en klik vervolgens op
      Bewerken.

   5. Vouw Windows-instellingen voor gebruikersconfiguratieuit en klik vervolgens op Scripts.

   6. Dubbelklik op Aanmeldingen klik vervolgens op Toevoegen. Het dialoogvenster Een script toevoegen wordt weergegeven.

   7. Typ in het vak Scriptnaam
      \\Servernaam\ShareName\RunMRT.cmd.

   8. Klik op OKen klik vervolgens op Toepassen.

3. Meld u af en meld u aan bij de clientcomputers.

In dit scenario worden het script en het hulpprogramma uitgevoerd onder de context van de aangemelde gebruiker. Als deze gebruiker niet tot de lokale beheerdersgroep behoort of onvoldoende machtigingen heeft, wordt het hulpprogramma niet uitgevoerd en wordt de juiste retourcode niet retourneert. Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie over het gebruik van opstartscripts en aanmeldingsscripts:

198642 Overzicht van aanmeldings-, logoff-, opstart- en afsluitscripts in Windows 2000

322241 Scripts toewijzen in Windows 2000

Retourcodes onderzoeken

U kunt de retourcode van het hulpprogramma in het implementatielogenscript of in het script voor het opstarten van de implementatie bekijken om de resultaten van de uitvoering te controleren. Zie de sectie Codevoorbeeld voor een voorbeeld van hoe u dit doet.

De volgende lijst bevat de geldige retourcodes.

Het logboekbestand parseren

Het hulpprogramma voor het verwijderen van schadelijke software schrijft details over het resultaat van de uitvoering in het bestand %windir%\debug\mrt.log.

Notities

• Dit logboekbestand is alleen beschikbaar in het Engels.

• Vanaf versie 1.2 van het verwijderingshulpmiddel (maart 2005) wordt in dit logboekbestand Unicode-tekst gebruikt. Vóór versie 1.2 heeft het logboekbestand ANSI-tekst gebruikt.

• De logbestandsindeling is gewijzigd met versie 1.2 en u wordt aangeraden de nieuwste versie van het hulpprogramma te downloaden en te gebruiken.
  
  Als dit logboekbestand al bestaat, wordt het hulpprogramma toegevoegd aan het bestaande bestand.

• U kunt een opdrachtscript gebruiken dat lijkt op het vorige voorbeeld om de retourcode vast te leggen en de bestanden te verzamelen in een netwerk delen.

• Vanwege de overstap van ANSI naar Unicode, kopieert versie 1.2 van het verwijderingshulpmiddel alle ANSI-versies van het Mrt.log-bestand in de map %windir%\debug naar Mrt.log.old in dezelfde adreslijst. Versie 1.2 maakt ook een nieuwe Unicode-versie van het Mrt.log-bestand in dezelfde adreslijst. Net als de ANSI-versie wordt dit logboekbestand toegevoegd aan de release van elke maand.

Het volgende voorbeeld is een Mrt.log-bestand van een computer die is geïnfecteerd met de MPnTestFile-worm:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Hieronder volgt een voorbeeldlogboekbestand waarin geen schadelijke software wordt gevonden.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Het volgende is een voorbeeldlogboekbestand waarin fouten worden gevonden.


Ga naar het volgende artikel in de Microsoft Knowledge Base voor meer informatie over waarschuwingen en fouten die door het hulpprogramma worden veroorzaakt:

891717 Een fout oplossen wanneer u het hulpprogramma voor het verwijderen van schadelijke software van Microsoft Windows gebruikt Microsoft Windows Malicious Software Removal Tool v5.3, augustus 2013 (build 5.3.9300.0) Gestart op vr 02 16:17:49 2013 Scanresultaten: ------------- Threat Detected: Virus:Win32/MPFilTeste.2004, gedeeltelijk verwijderd. Bewerking is mislukt. Actie: Clean, Result: 0x8007065E. Gebruik een volledig antivirusproduct! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Results Summary: ---------------- Found Virus:Win32/MPTestFile.2004, gedeeltelijk verwijderd. Microsoft Windows Malicious Software Removal Tool Finished On Vr 02 16:18:09 2013 Return code: 7 (0x7)

Bekend probleem 1

Wanneer u het hulpprogramma met een opstartscript uit te voeren, kunnen foutberichten die lijken op het volgende foutbericht, worden geregistreerd in het Mrt.log-bestand:
 

Opmerking Het pidnummer verschilt.

Dit foutbericht treedt op wanneer een proces net is begonnen of wanneer een proces onlangs is gestopt. Het enige effect is dat het proces dat door de pid is aangewezen, niet wordt gescand.

Bekend probleem 2

In sommige zeldzame gevallen, als een beheerder ervoor kiest om de MSRT te implementeren met behulp van de /q quiet-schakelaar (ook wel stille modus genoemd), wordt het reinigen mogelijk niet volledig opgelost voor een kleine subset van infecties in situaties waarin extra reiniging vereist is na een herstart. Dit is alleen waargenomen bij het verwijderen van bepaalde rootkitvarianten.