Implementați Instrumentul Windows de eliminare a software-ului rău intenționat într-un mediu de întreprindere (KB891716)

Cum se utilizează pachetul software SMS

Următorul exemplu oferă instrucțiuni pas cu pas pentru utilizarea SMS 2003. Pașii pentru utilizarea SMS 2.0 seamănă cu acești pași.

1. Extrageți fișierul Mrt.exe din pachetul denumit Windows-KB890830-V5.123.exe /x.

2. Creați un fișier .bat pentru a începe Mrt.exe și a captura codul de returnare utilizând ISMIF32.exe.
   
   Următorul este un exemplu.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Pentru mai multe informații despre Ismif32.exe, consultați următorul articol din Baza de cunoștințe Microsoft:

   268791 Cum este procesat în SMS 2.0 un fișier MIF produs de fișierul ISMIF32.exe

   186415 Creator MIF stare, Ismif32.exe este disponibil

3. Pentru a crea un pachet în consola SMS 2003, urmați acești pași:

   1. Deschideți consola de administrare SMS.

   2. Selectați din dreapta nodul Pachete , selectați Nou, apoi selectați Pachet.
      
      Se afișează caseta de dialog Proprietăți pachet .

   3. Pe fila General , denumiți pachetul.

   4. Pe fila Sursă de date , bifați pentru a bifa caseta de selectare Acest pachet conține fișiere sursă .

   5. Selectați Setare, apoi alegeți un director sursă care conține instrumentul.

   6. Pe fila Setări de distribuire , setați Prioritate de trimitere la Maxim.

   7. Pe fila Raportare , selectați Utilizați aceste câmpuri pentru potrivirea MIF de stare, apoi specificați un nume pentru câmpul Nume fișier MIF și pentru câmpul
      Nume .
      
      Versiunea și Publisher sunt opționale.

   8. Selectați OK pentru a crea pachetul.

4. Pentru a specifica un punct de distribuție (DP) pentru pachet, urmați acești pași:

   1. În consola SMS 2003, găsiți pachetul nou sub nodul Pachete .

   2. Extindeți pachetul. Selectați din dreapta Puncte de distribuție, indicați spre Nou, apoi selectați Puncte de distribuție.

   3. Porniți expertul Puncte de distribuire noi. Selectați un punct de distribuție existent.

   4. Selectați Terminare pentru a ieși din expert.

5. Pentru a adăuga fișierul lot care a fost creat anterior la noul pachet, urmați acești pași:

   1. Sub noul nod de pachet, selectați nodul Programe .

   2. Selectați din dreapta Programe, indicați spre Nou, apoi selectați Program.

   3. Selectați fila General , apoi introduceți un nume valid.

   4. În linia de comandă, selectați Răsfoire pentru a selecta fișierul pe care l-ați creat pentru a porni Mrt.exe.

   5. Modificați Rulare în ascuns. Modificare după la Nu este necesară nicio acțiune.

   6. Selectați fila Cerințe , apoi selectați Acest program poate rula doar pe sistemele de operare client specificate.

   7. Selectați Toate x86 Windows XP.

   8. Selectați fila Mediu , selectați Dacă un utilizator este înregistrat în lista Programul poate rula . Setați modul Rulare la Rulare cu drepturi administrative.

   9. Selectați OK pentru a închide caseta de dialog.

6. Pentru a crea o reclamă pentru a face publicitate programului clienților, urmați acești pași:

   1. Selectați din dreapta nodul Reclame , selectați Nou, apoi selectați Reclamă.

   2. Pe fila General , introduceți un nume pentru reclamă. În câmpul Pachet , selectați pachetul pe care l-ați creat anterior. În câmpul Program , selectați programul pe care l-ați creat anterior. Selectați Navigare, apoi selectați colecția Toate sistemele sau selectați o colecție de computere care include doar Windows Vista și versiunile mai recente.

   3. Pe fila Planificare , lăsați opțiunile implicite dacă doriți ca programul să ruleze o singură dată. Pentru a rula programul după un program, atribuiți un interval de programare.

   4. Setați Prioritatea la Înaltă.

   5. Selectați OK pentru a crea reclama.

Cum se utilizează un script de pornire a computerului bazat pe Politică de grup

Această metodă necesită repornirea computerului client după ce configurați scriptul și după ce aplicați setarea de Politică de grup.

1. Configurați partajările. Pentru a face acest lucru, urmați pașii din secțiunea Configurare inițială și configurare .

2. Configurați scriptul de pornire. Pentru a face acest lucru, urmați acești pași:

   1. În utilitarul de completare snap-in MMC Active Directory Users and Computers, selectați din dreapta numele domeniului, apoi selectați Proprietăți.

   2. Selectați fila Politică de grup.

   3. Selectați Nou pentru a crea un obiect Politică de grup nou (GPO) și tastați Implementare MRT pentru numele politicii.

   4. Selectați noua politică, apoi selectați Editare.

   5. Extindeți Setări Windows pentru configurația computerului, apoi selectați Scripturi.

   6. Selectați de două ori Conectare, apoi selectați Adăugare.
      
      Se afișează caseta de dialog Adăugare script .

   7. În caseta Nume script , tastați \\ServerName\ShareName\RunMRT.cmd.

   8. Selectați OK, apoi selectați Se aplică.

3. Reporniți computerele client care sunt membri ai acestui domeniu.

Cum se utilizează un script de conectare al utilizatorului bazat pe Politică de grup

Această metodă necesită ca un cont de utilizator de conectare să fie un cont de domeniu și să fie membru al grupului administratorului local de pe computerul client.

1. Configurați partajările. Pentru a face acest lucru, urmați pașii din secțiuneaConfigurare inițială
   și configurare.

2. Configurați scriptul de conectare. Pentru a face acest lucru, urmați acești pași:

   1. În utilitarul de completare snap-in MMC Active Directory Users and Computers, selectați din dreapta numele domeniului, apoi selectați Proprietăți.

   2. Selectați fila Politică de grup.

   3. Selectați Nou pentru a crea un GPO nou, apoi tastați Implementare MRT pentru nume.

   4. Selectați noua politică, apoi selectați Editare.

   5. Extindeți Setări Windows pentru configurarea utilizatorului, apoi selectați Scripturi.

   6. Selectați de două ori Conectare, apoi selectați Adăugare. Se afișează caseta de dialog Adăugare script .

   7. În caseta Nume script , tastați \\ServerName\ShareName\RunMRT.cmd.

   8. Selectați OK, apoi selectați Se aplică.

3. Deconectați-vă, apoi conectați-vă la computerele client.

În acest scenariu, scriptul și instrumentul vor rula sub contextul utilizatorului conectat. Dacă acest utilizator nu aparține grupului de administratori locali sau nu are permisiuni suficiente, instrumentul nu va rula și nu va returna codul de returnare corespunzător. Pentru mai multe informații despre cum să utilizați scripturi de pornire și scripturi de conectare, accesați următorul articol din Baza de cunoștințe Microsoft:

198642 Prezentare generală a scripturilor de conectare, deconectare, pornire și închidere în Windows 2000

322241 Cum se atribuie scripturi în Windows 2000

Cum se examinează codurile de returnare

Puteți examina codul de returnare al instrumentului în scriptul de conectare la implementare sau în scriptul de pornire a implementării pentru a verifica rezultatele executării. Consultați secțiunea Cod eșantion pentru un exemplu de cum să faceți acest lucru.

Lista următoare conține codurile de returnare valide.

Cum se analizează fișierul jurnal

Instrumentul de eliminare a malware scrie detalii despre rezultatul executării sale în fișierul jurnal %windir%\debug\mrt.log.

Note

• Acest fișier jurnal este disponibil numai în limba engleză.

• Începând cu versiunea 1.2 a instrumentului de eliminare (martie 2005), acest fișier jurnal utilizează text Unicode. Înainte de versiunea 1.2, fișierul jurnal utiliza text ANSI.

• Formatul de fișier jurnal s-a modificat cu versiunea 1.2 și vă recomandăm să descărcați și să utilizați cea mai recentă versiune a instrumentului.
  
  Dacă acest fișier jurnal există deja, instrumentul se adaugă la fișierul existent.

• Puteți utiliza un script de comandă care seamănă cu exemplul anterior pentru a captura codul de returnare și a colecta fișierele într-o partajare de rețea.

• Datorită comutării de la ANSI la Unicode, versiunea 1.2 a instrumentului de eliminare va copia toate versiunile ANSI ale fișierului Mrt.log din folderul %windir%\debug la Mrt.log.old în același director. Versiunea 1.2 creează, de asemenea, o nouă versiune Unicode a fișierului Mrt.log în același director. La fel ca versiunea ANSI, acest fișier jurnal va fi adăugat la versiunea fiecărei luni.

Următorul exemplu este un fișier Mrt.log de pe un computer care a fost infectat cu viermele MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Următorul este un exemplu de fișier jurnal în care nu s-a găsit niciun software rău intenționat.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Iată un exemplu de fișier jurnal în care se găsesc erori.

Pentru mai multe informații despre avertismentele și erorile cauzate de instrument, accesați următorul articol din Baza de cunoștințe Microsoft:

891717 Cum se depanează o eroare atunci când rulați Instrumentul Microsoft Windows de eliminare a malware Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (compilarea 5.3.9300.0) a început pe vineri 02 august 16:17:49 2013 Rezultatele scanării: ------------- amenințare detectată: Virus:Win32/MPTestFile.2004, eliminat parțial. Operația nu a reușit. Acțiune: Curățare, Rezultat: 0x8007065E. Utilizați un produs antivirus complet! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Rezumat rezultate: ---------------- Virus găsit:Win32/MPTestFile.2004, eliminat parțial. Instrumentul Microsoft Windows de eliminare a software-ului rău intenționat s-a terminat la vineri 02 august 16:18:09 Cod de returnare: 7 (0x7)

Problemă cunoscută 1

Atunci când rulați instrumentul utilizând un script de pornire, mesajele de eroare care seamănă cu următorul mesaj de eroare pot fi înregistrate în fișierul Mrt.log:
 

Notă Numărul pid va varia.

Acest mesaj de eroare apare atunci când un proces tocmai începe sau când un proces a fost oprit recent. Singurul efect este că procesul desemnat de pid nu este scanat.

Problemă cunoscută 2

În unele cazuri rare, dacă un administrator alege să implementeze MSRT utilizând comutatorul /q silențios (numit și mod silențios), acest lucru poate să nu rezolve complet curățarea pentru un subset mic de infecții în situațiile în care este necesară curățarea suplimentară după o repornire. Acest lucru a fost observat doar la eliminarea anumitor variante rootkit.