Implementarea instrumentului Windows de eliminare a programelor malware într-un mediu de întreprindere (KB891716)

Cum se utilizează pachetul software SMS

Următorul exemplu oferă instrucțiuni pas cu pas pentru utilizarea SMS 2003. Pașii pentru utilizarea SMS 2.0 seamănă cu următorii pași.

1. Extrageți fișierul Mrt.exe din pachetul denumit Windows-KB890830-V5.142.exe /x.

2. Creați un fișier .bat pentru a porni Mrt.exe și a captura codul de returnare utilizând ISMIF32.exe.
   
   Următorul este un exemplu.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Pentru mai multe informații despre Ismif32.exe, accesați următorul articol din Baza de cunoștințe Microsoft:

   268791 Cum se procesează în SMS 2.0 un fișier format informații de gestionare a stării (MIF) produs de fișierul ISMIF32.exe

   186415 Creatorul MIF de stare, Ismif32.exe este disponibil

3. Pentru a crea un pachet în consola SMS 2003, urmați acești pași:

   1. Deschideți consola de administrare SMS.

   2. Selectați cu butonul din dreapta nodul Pachete , selectați Nou, apoi selectați Pachet.
      
      Se afișează caseta de dialog Proprietăți pachet .

   3. Pe fila General , denumiți pachetul.

   4. Pe fila Sursă de date , bifați caseta de selectare Acest pachet conține fișiere sursă .

   5. Selectați Setare, apoi alegeți un director sursă care conține instrumentul.

   6. Pe fila Setări distribuire , setați prioritatea de trimitere la Mare.

   7. Pe fila Raportare , selectați Utilizați aceste câmpuri pentru potrivirea MIF de stare, apoi specificați un nume pentru câmpul Nume de fișier MIF și pentru câmpul
      Nume .
      
      Versiunea și Publisher sunt opționale.

   8. Selectați OK pentru a crea pachetul.

4. Pentru a specifica un punct de distribuție (DP) pentru pachet, urmați acești pași:

   1. În consola SMS 2003, găsiți pachetul nou sub nodul Pachete .

   2. Extindeți pachetul. Selectați cu butonul din dreapta Puncte de distribuire, indicați spre Nou, apoi selectați Puncte de distribuire.

   3. Porniți expertul Noi puncte de distribuție. Selectați un punct de distribuire existent.

   4. Selectați Terminare pentru a închide expertul.

5. Pentru a adăuga fișierul batch creat anterior la pachetul nou, urmați acești pași:

   1. Sub nodul pachet nou, selectați nodul Programe .

   2. Selectați cu butonul din dreapta Programe, indicați spre Nou, apoi selectați Program.

   3. Selectați fila General , apoi introduceți un nume valid.

   4. În linia de comandă, selectați Navigare pentru a selecta fișierul grup pe care l-ați creat pentru a porni Mrt.exe.

   5. Treceți prin Executare în Ascuns. Comutați după la Nicio acțiune necesară.

   6. Selectați fila Cerințe , apoi selectați Acest program poate rula numai pe sistemele de operare client specificate.

   7. Selectarea tuturor Windows XP x86.

   8. Selectați fila Mediu , selectați Dacă un utilizator este conectat la lista Program poate rula . Setați modul de rulare la Rulare cu drepturi administrative.

   9. Selectați OK pentru a închide caseta de dialog.

6. Pentru a crea o reclamă pentru a face publicitate programului clienților, urmați acești pași:

   1. Selectați cu butonul din dreapta nodul Publicitate , selectați Nou, apoi selectați Publicitate.

   2. Pe fila General , introduceți un nume pentru reclamă. În câmpul Pachet , selectați pachetul pe care l-ați creat anterior. În câmpul Program , selectați programul pe care l-ați creat anterior. Selectați Răsfoire, apoi selectați colecția Tot sistemul sau selectați o colecție de computere care include doar Windows Vista și versiuni mai recente.

   3. Pe fila Planificare , lăsați opțiunile implicite dacă doriți ca programul să ruleze o singură dată. Pentru a rula programul conform unui program, atribuiți un interval de planificare.

   4. Setați prioritatea la mare.

   5. Selectați OK pentru a crea reclama.

Cum se utilizează un script de pornire a computerului bazat pe Politica de grup

Această metodă necesită să reporniți computerul client după ce configurați scriptul și după ce aplicați setarea Politicii de grup.

1. Configurați partajările. Pentru a face acest lucru, urmați pașii din secțiunea Configurare și configurare inițială .

2. Configurați scriptul de pornire. Pentru a face acest lucru, urmați acești pași:

   1. În utilitarul de completare snap-in MMC Active Directory Users and Computers, selectați cu butonul din dreapta numele de domeniu, apoi selectați Proprietăți.

   2. Selectați fila Politică de grup.

   3. Selectați Nou pentru a crea un nou obiect de Politică de grup (GPO) și tastați Implementare MRT pentru numele politicii.

   4. Selectați noua politică, apoi selectați Editare.

   5. Extindeți Setări Windows pentru configurația computerului, apoi selectați Scripturi.

   6. Selectați de două ori Conectare, apoi selectați Adăugare.
      
      Se afișează caseta de dialog Adăugare script .

   7. În caseta Nume script , tastați \\ServerName\ShareName\RunMRT.cmd.

   8. Selectați OK, apoi selectați Se aplică.

3. Reporniți computerele client care sunt membre ale acestui domeniu.

Cum se utilizează un script de conectare a utilizatorului bazat pe Politica de grup

Această metodă necesită ca contul de utilizator conectat să fie un cont de domeniu și să fie membru al grupului administratorului local de pe computerul client.

1. Configurați partajările. Pentru a face acest lucru, urmați pașii din
   secțiuneaConfigurare și configurare inițială.

2. Configurați scriptul de conectare. Pentru a face acest lucru, urmați acești pași:

   1. În utilitarul de completare snap-in MMC Active Directory Users and Computers, selectați cu butonul din dreapta numele de domeniu, apoi selectați Proprietăți.

   2. Selectați fila Politică de grup.

   3. Selectați Nou pentru a crea un GPO nou, apoi tastați Implementare MRT pentru nume.

   4. Selectați noua politică, apoi selectați Editare.

   5. Extindeți Setări Windows pentru Configurație utilizator, apoi selectați Scripturi.

   6. Selectați de două ori Conectare, apoi selectați Adăugare. Se afișează caseta de dialog Adăugare script .

   7. În caseta Nume script , tastați \\ServerName\ShareName\RunMRT.cmd.

   8. Selectați OK, apoi selectați Se aplică.

3. Deconectați-vă și conectați-vă din nou la computerele client.

În acest scenariu, scriptul și instrumentul vor rula în contextul utilizatorului conectat. Dacă acest utilizator nu aparține grupului de administratori locali sau nu are permisiuni suficiente, instrumentul nu va rula și nu va returna codul de returnare corespunzător. Pentru mai multe informații despre utilizarea scripturilor de pornire și a scripturilor de conectare, accesați următorul articol din Baza de cunoștințe Microsoft:

198642 Prezentare generală a scripturilor de conectare, deconectare, pornire și oprire în Windows 2000

322241 Cum se atribuie scripturi în Windows 2000

Cum să examinați codurile de returnare

Puteți examina codul de returnare al instrumentului în scriptul de conectare la implementare sau în scriptul de lansare a implementării pentru a verifica rezultatele executării. Consultați secțiunea Exemplu de cod pentru un exemplu de procedură.

Următoarea listă conține codurile de returnare valide.

Cum se analizează fișierul jurnal

Instrumentul de eliminare a programelor malware scrie detalii despre rezultatul execuției sale în fișierul jurnal %windir%\debug\mrt.log.

Note

• Acest fișier jurnal este disponibil numai în limba engleză.

• Începând cu versiunea 1.2 a instrumentului de eliminare (martie 2005), acest fișier jurnal utilizează text Unicode. Înainte de versiunea 1.2, fișierul jurnal utiliza text ANSI.

• Formatul fișierului jurnal s-a modificat odată cu versiunea 1.2 și vă recomandăm să descărcați și să utilizați cea mai recentă versiune a instrumentului.
  
  Dacă acest fișier jurnal există deja, instrumentul se adaugă la fișierul existent.

• Puteți utiliza un script de comandă asemănător cu exemplul anterior pentru a captura codul de returnare și a colecta fișierele într-o partajare de rețea.

• Din cauza trecerii de la ANSI la Unicode, versiunea 1.2 a instrumentului de eliminare va copia toate versiunile ANSI ale fișierului Mrt.log din folderul %windir%\debug în Mrt.log.old în același director. Versiunea 1.2 creează, de asemenea, o nouă versiune Unicode a fișierului Mrt.log în același director. La fel ca versiunea ANSI, acest fișier jurnal va fi adăugat la lansarea din fiecare lună.

Următorul exemplu este un fișier Mrt.log de pe un computer care a fost infectat cu viermele MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Următorul este un exemplu de fișier jurnal în care nu se găsește niciun software rău intenționat.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Următorul este un exemplu de fișier jurnal în care se găsesc erori.

Pentru mai multe informații despre avertismentele și erorile provocate de instrument, accesați următorul articol din Baza de cunoștințe Microsoft:

891717 Cum se depanează o eroare atunci când rulați instrumentul Microsoft Windows Malicious Software Removal Tool Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0) Started On Fri Aug 02 16:17:49 2013 Scan Results: ------------- Threat Detected: Virus:Win32/MPTestFile.2004, eliminat parțial. Operațiunea nu a reușit. Acțiune: Curățare, Rezultat: 0x8007065E. Vă rugăm să utilizați un produs antivirus complet! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Rezumatul rezultatelor: ---------------- găsit Virus:Win32/MPTestFile.2004, eliminat parțial. Instrumentul de eliminare a programelor malware Microsoft Windows Terminat pe Fri Aug 02 16:18:09 2013 Cod de retur: 7 (0x7)

Problemă cunoscută 1

Atunci când rulați instrumentul utilizând un script de pornire, în fișierul Mrt.log pot fi înregistrate mesaje de eroare asemănătoare cu următorul mesaj:
 

Notă Numărul pid va varia.

Acest mesaj de eroare apare atunci când un proces abia începe sau când un proces a fost oprit recent. Singurul efect este că procesul desemnat de pid nu este scanat.

Problemă cunoscută 2

În unele cazuri rare, dacă un administrator alege să implementeze MSRT utilizând parametrul silențios /q (numit și mod silențios), este posibil ca acest lucru să nu rezolve complet curățarea pentru un subset mic de infecții în situațiile în care este necesară curățarea suplimentară după o repornire. Acest lucru a fost observat doar în eliminarea anumitor variante de rootkit.