Wdrażanie narzędzia do usuwania złośliwego oprogramowania systemu Windows w środowisku przedsiębiorstwa (KB891716)

Jak korzystać z pakietu oprogramowania SMS

W poniższym przykładzie przedstawiono instrukcje krok po kroku dotyczące korzystania z programu SMS 2003. Kroki dotyczące korzystania z programu SMS 2.0 przypominają te kroki.

1. Wyodrębnij plik Mrt.exe z pakietu o nazwie Windows-KB890830-V5.113.exe /x.

2. Utwórz plik .bat, aby rozpocząć Mrt.exe i przechwycić kod zwrotny przy użyciu ISMIF32.exe.
   
   Poniżej przedstawiono przykład.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Aby uzyskać więcej informacji na temat Ismif32.exe, przejdź do następującego artykułu z bazy wiedzy Microsoft Knowledge Base:

   268791 W jaki sposób plik MIF (Status Management Information Format) wyprodukowany przez plik ISMIF32.exe jest przetwarzany w programie SMS 2.0

   186415 Kreator mif stanu, Ismif32.exe jest dostępny

3. Aby utworzyć pakiet w konsoli programu SMS 2003, wykonaj następujące czynności:

   1. Otwórz konsolę administratora usługi SMS.

   2. Kliknij prawym przyciskiem myszy węzeł Pakiety , kliknij pozycję
      Nowy, a następnie kliknij polecenie Spakuj.
      
      Zostanie
      wyświetlone okno dialogoweWłaściwości pakietu.

   3. Na karcie Ogólne nadaj pakietowi nazwę.

   4. Na karcie Źródło danych kliknij, aby zaznaczyć pole wyboru Ten pakiet zawiera pliki źródłowe .

   5. Kliknij pozycję Ustaw, a następnie wybierz katalog źródłowy zawierający narzędzie.

   6. Na karcie Ustawienia dystrybucji ustaw wysoki priorytet wysyłania.

   7. Na karcie Raportowanie kliknij pozycję Użyj tych pól do dopasowywania mifów stanu, a następnie określ nazwę pola nazwy pliku MIF i
      polaNazwa.
      
      Programy Version i Publisher są opcjonalne.

   8. Kliknij przycisk OK , aby utworzyć pakiet.

4. Aby określić punkt dystrybucji (DP) dla pakietu, wykonaj następujące czynności:

   1. W konsoli SMS 2003 znajdź nowy pakiet w węźle Pakiety .

   2. Rozwiń pakiet. Kliknij prawym przyciskiem myszy pozycję Punkty dystrybucyjne, wskaż pozycję Nowe, a następnie kliknij pozycję Punkty dystrybucyjne.

   3. Uruchom Kreatora nowych punktów dystrybucji. Wybierz istniejący punkt dystrybucji.

   4. Kliknij przycisk Zakończ , aby zamknąć kreatora.

5. Aby dodać plik partii utworzony wcześniej do nowego pakietu, wykonaj następujące czynności:

   1. W obszarze nowego węzła pakietu kliknij węzeł Programy .

   2. Kliknij prawym przyciskiem myszy pozycję Programy, wskaż pozycję
      Nowy, a następnie kliknij pozycję Program.

   3. Kliknij kartę Ogólne , a następnie wprowadź prawidłową nazwę.

   4. W wierszu polecenia kliknij przycisk
      Przeglądaj , aby wybrać plik partii utworzony w celu rozpoczęcia Mrt.exe.

   5. Zmień ustawienie Uruchom na
      ukryte. Zmień ustawienie Po na Brak wymaganej akcji.

   6. Kliknij kartę Wymagania , a następnie kliknij pozycję Ten program może działać tylko w określonych klienckich systemach operacyjnych.

   7. Kliknij pozycję Wszystkie x86 systemu Windows XP.

   8. Kliknij kartę Środowisko , kliknij pozycję
      Czy użytkownik jest zalogowany na liście Program może uruchamiać . Ustaw w trybie uruchamiania opcję Uruchom z prawami administracyjnymi.

   9. Kliknij przycisk OK , aby zamknąć okno dialogowe.

6. Aby utworzyć reklamę w celu ogłaszania programu klientom, wykonaj następujące czynności:

   1. Kliknij prawym przyciskiem myszy węzeł Anons , kliknij pozycję Nowy, a następnie kliknij pozycję
      Anons.

   2. Na karcie Ogólne wprowadź nazwę reklamy. W polu Spakuj wybierz pakiet, który został wcześniej utworzony. W polu Program wybierz program, który został wcześniej utworzony. Kliknij przycisk Przeglądaj, a następnie kliknij kolekcję Wszystkie systemy lub wybierz kolekcję komputerów, która zawiera tylko system Windows Vista i nowsze wersje.

   3. Na karcie Harmonogram pozostaw opcje domyślne, jeśli chcesz, aby program działał tylko raz. Aby uruchomić program zgodnie z harmonogramem, przypisz interwał harmonogramu.

   4. Ustaw wartość Priorytet na Wysoka.

   5. Kliknij przycisk OK , aby utworzyć ogłoszenie.

Jak używać skryptu uruchamiania komputera opartego na zasady grupy

Ta metoda wymaga ponownego uruchomienia komputera klienckiego po skonfigurowaniu skryptu i zastosowaniu ustawienia zasady grupy.

1. Skonfiguruj udziały. W tym celu wykonaj czynności opisane w
   sekcjiKonfiguracja początkowa i konfiguracja.

2. Skonfiguruj skrypt uruchamiania. W tym celu wykonaj następujące czynności:

   1. W Użytkownicy i komputery usługi Active Directory przystawki MMC kliknij prawym przyciskiem myszy nazwę domeny, a następnie kliknij polecenie
      Właściwości.

   2. Kliknij kartę zasady grupy.

   3. Kliknij pozycję Nowy, aby utworzyć nowy obiekt zasady grupy (GPO), a następnie wpisz ciąg Wdrożenie MRT dla nazwy zasad.

   4. Kliknij nowe zasady, a następnie kliknij pozycję Edytuj.

   5. Rozwiń pozycję Ustawienia systemu Windows dla konfiguracji komputera, a następnie kliknij pozycję Skrypty.

   6. Kliknij dwukrotnie pozycję Logowanie, a następnie kliknij pozycję Dodaj.
      
      Zostanie wyświetlone okno dialogowe Dodawanie skryptu .

   7. W polu Nazwa skryptu wpisz
      \\ServerName\ShareName\RunMRT.cmd.

   8. Kliknij przycisk OK, a następnie kliknij przycisk Zastosuj.

3. Uruchom ponownie komputery klienckie będące członkami tej domeny.

Jak używać skryptu logowania użytkownika opartego na zasady grupy

Ta metoda wymaga, aby konto użytkownika logowania było kontem domeny i było członkiem grupy administratora lokalnego na komputerze klienckim.

1. Skonfiguruj udziały. W tym celu wykonaj czynności opisane w
   sekcjiKonfiguracja początkowa i konfiguracja.

2. Skonfiguruj skrypt logowania. W tym celu wykonaj następujące czynności:

   1. W Użytkownicy i komputery usługi Active Directory przystawki MMC kliknij prawym przyciskiem myszy nazwę domeny, a następnie kliknij polecenie
      Właściwości.

   2. Kliknij kartę zasady grupy.

   3. Kliknij pozycję Nowy , aby utworzyć nowy obiekt zasad grupy, a następnie wpisz nazwę Wdrożenie MRT.

   4. Kliknij nowe zasady, a następnie kliknij pozycję
      Edytuj.

   5. Rozwiń pozycję Ustawienia systemu Windows dla konfiguracji użytkownika, a następnie kliknij pozycję Skrypty.

   6. Kliknij dwukrotnie pozycję Logowanie, a następnie kliknij pozycję Dodaj. Zostanie wyświetlone okno dialogowe Dodawanie skryptu .

   7. W polu Nazwa skryptu wpisz
      \\ServerName\ShareName\RunMRT.cmd.

   8. Kliknij przycisk OK, a następnie kliknij przycisk Zastosuj.

3. Wyloguj się, a następnie zaloguj się na komputerach klienckich.

W tym scenariuszu skrypt i narzędzie będą uruchamiane w kontekście zalogowanego użytkownika. Jeśli ten użytkownik nie należy do lokalnej grupy administratorów lub nie ma wystarczających uprawnień, narzędzie nie zostanie uruchomione i nie zwróci odpowiedniego kodu zwrotu. Aby uzyskać więcej informacji na temat używania skryptów uruchamiania i skryptów logowania, zobacz następujący artykuł z bazy wiedzy Microsoft Knowledge Base:

198642 Omówienie skryptów logowania, wylogowywanie, uruchamianie i zamykanie systemu Windows 2000

322241 Jak przypisywać skrypty w systemie Windows 2000

Jak sprawdzić kody zwracane

Możesz sprawdzić kod zwrotny narzędzia w skrypcie logowania wdrożenia lub w skrypcie uruchamiania wdrożenia, aby sprawdzić wyniki wykonania. Zobacz przykładową sekcję Kod , aby dowiedzieć się, jak to zrobić.

Poniższa lista zawiera prawidłowe kody zwrotu.

Jak przeanalizować plik dziennika

Narzędzie do usuwania złośliwego oprogramowania zapisuje szczegółowe informacje o wyniku jego wykonania w pliku dziennika %windir%\debug\mrt.log.

Notatki

• Ten plik dziennika jest dostępny tylko w języku angielskim.

• Począwszy od wersji 1.2 narzędzia do usuwania (marzec 2005), ten plik dziennika używa tekstu Unicode. Przed wersją 1.2 plik dziennika używał tekstu ANSI.

• Format pliku dziennika zmienił się w wersji 1.2 i zalecamy pobranie i użycie najnowszej wersji narzędzia.
  
  Jeśli ten plik dziennika już istnieje, narzędzie dołącza się do istniejącego pliku.

• Możesz użyć skryptu polecenia przypominającego poprzedni przykład, aby przechwycić kod zwrotny i zebrać pliki do udziału sieciowego.

• Z powodu przełączenia z ANSI na Unicode wersja 1.2 narzędzia do usuwania kopiuje wszystkie wersje ANSI pliku Mrt.log w folderze %windir%\debug do mrt.log.old w tym samym katalogu. Wersja 1.2 tworzy również nową wersję Unicode pliku Mrt.log w tym samym katalogu. Podobnie jak wersja ANSI, ten plik dziennika będzie dołączany do każdego miesiąca wydania.

Poniższy przykład to plik Mrt.log z komputera, który został zainfekowany robakiem MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Poniżej przedstawiono przykładowy plik dziennika, w którym nie znaleziono złośliwego oprogramowania.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Poniżej przedstawiono przykładowy plik dziennika, w którym można znaleźć błędy.


Aby uzyskać więcej informacji na temat ostrzeżeń i błędów spowodowanych przez narzędzie, przejdź do następującego artykułu z bazy wiedzy Microsoft Knowledge Base:

891717 Jak rozwiązać problem z błędem po uruchomieniu narzędzia do usuwania złośliwego oprogramowania systemu Microsoft Windows Narzędzie do usuwania złośliwego oprogramowania systemu Microsoft Windows w wersji 5.3, sierpień 2013 r. (kompilacja 5.3.9300.0) rozpoczęto w dniu 02 sierpnia 16:17:49 Wyniki skanowania: ------------- wykryte zagrożenie: Wirus:Win32/MPTestFile.2004, częściowo usunięte. Operacja nie powiodła się. Akcja: Oczyść, Wynik: 0x8007065E. Użyj pełnego produktu antywirusowego! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Podsumowanie wyników: ---------------- Znaleziono wirusa:Win32/MPTestFile.2004, częściowo usunięte. Narzędzie do usuwania złośliwego oprogramowania systemu Microsoft Windows zostało zakończone 02 sierpnia 16:18:09 2013 Kod zwrotu: 7 (0x7)

Znany problem 1

Po uruchomieniu narzędzia przy użyciu skryptu uruchamiania w pliku Mrt.log mogą być rejestrowane komunikaty o błędach przypominające następujący komunikat o błędzie:
 

Uwaga Liczba identyfikatorów pid będzie się różnić.

Ten komunikat o błędzie występuje, gdy proces dopiero się rozpoczyna lub gdy proces został niedawno zatrzymany. Jedynym skutkiem jest to, że proces wyznaczony przez pid nie jest skanowany.

Znany problem 2

W rzadkich przypadkach, jeśli administrator zdecyduje się wdrożyć MSRT za pomocą przełącznika ciszy /q (znanego również jako tryb cichy), może to nie rozwiązać problemu z czyszczeniem niewielkiego podzestawu infekcji w sytuacjach, w których po ponownym uruchomieniu wymagane jest dodatkowe czyszczenie. Zaobserwowano to tylko w usuwaniu niektórych wariantów programu rootkit.