Развертывание средства удаления вредоносных программ Windows в корпоративной среде (KB891716)

Использование пакета программного обеспечения SMS

В следующем примере приведены пошаговые инструкции по использованию SMS 2003. Инструкции по использованию SMS 2.0 похожи на эти действия.

1. Извлеките файл Mrt.exe из пакета с именем Windows-KB890830-V5.123.exe /x.

2. Создайте файл .bat, чтобы начать Mrt.exe и записать код возврата с помощью ISMIF32.exe.
   
   Ниже приведен пример.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Дополнительные сведения о Ismif32.exe см. в следующей статье базы знаний Майкрософт:

   268791 Как файл MIF, созданный файлом ISMIF32.exe, обрабатывается в SMS 2.0

   186415 Создатель MIF состояния, Ismif32.exe доступен

3. Чтобы создать пакет в консоли SMS 2003, выполните следующие действия:

   1. Откройте консоль администрирования SMS.

   2. Щелкните правой кнопкой мыши узел Пакеты , выберите Создать, а затем — Пакет.
      
      Откроется диалоговое окно Свойства пакета .

   3. На вкладке Общие назовите пакет.

   4. На вкладке Источник данных установите флажок Этот пакет содержит исходные файлы проверка.

   5. Выберите Задать, а затем выберите исходный каталог, содержащий средство.

   6. На вкладке Параметры распространения задайте для параметра Приоритет отправкизначение Высокий.

   7. На вкладке Отчеты выберите Использовать эти поля для сопоставления состояния MIF, а затем укажите имя для поля имени файла MIF и поля
      Имя .
      
      Версия и издатель являются необязательными.

   8. Нажмите кнопку ОК , чтобы создать пакет.

4. Чтобы указать точку распространения (DP) для пакета, выполните следующие действия:

   1. В консоли SMS 2003 найдите новый пакет в узле Пакеты .

   2. Разверните пакет. Щелкните правой кнопкой мыши Пункты распространения, наведите указатель на пункт Создать, а затем выберите Пункты распространения.

   3. Запустите мастер создания точек распространения. Выберите существующую точку распространения.

   4. Нажмите кнопку Готово , чтобы выйти из мастера.

5. Чтобы добавить пакетный файл, созданный ранее, в новый пакет, выполните следующие действия.

   1. В узле новый пакет выберите узел Программы .

   2. Щелкните правой кнопкой мыши Программы, наведите указатель мыши на пункт Создать, а затем выберите Пункт Программа.

   3. Перейдите на вкладку Общие и введите допустимое имя.

   4. В командной строке выберите Обзор , чтобы выбрать пакетный файл, созданный для запуска Mrt.exe.

   5. Измените значение Выполнить на Скрытый. Измените после на Нет обязательных действий.

   6. Перейдите на вкладку Требования , а затем выберите Эта программа может выполняться только в указанных клиентских операционных системах.

   7. Выберите Все x86 Windows XP.

   8. Перейдите на вкладку Среда и выберите, входит ли пользователь в список Программа может выполняться . Задайте для режима запуска значение Запуск с правами администратора.

   9. Нажмите кнопку ОК , чтобы закрыть диалоговое окно.

6. Чтобы создать объявление о программе для клиентов, выполните следующие действия:

   1. Щелкните правой кнопкой мыши узел Объявление , выберите Создать, а затем — Объявление.

   2. На вкладке Общие введите имя объявления. В поле Пакет выберите ранее созданный пакет. В поле Программа выберите созданную ранее программу. Выберите Обзор, а затем выберите коллекцию Все системы или выберите коллекцию компьютеров, включающую только Windows Vista и более поздние версии.

   3. На вкладке Расписание оставьте параметры по умолчанию, если нужно, чтобы программа запускала только один раз. Чтобы запустить программу по расписанию, назначьте интервал расписания.

   4. Задайте для параметра Приоритетзначение Высокий.

   5. Нажмите кнопку ОК , чтобы создать объявление.

Использование скрипта запуска компьютера на основе групповая политика

Для этого метода необходимо перезагрузить клиентский компьютер после настройки скрипта и применения параметра групповая политика.

1. Настройка общих папок. Для этого выполните действия, описанные в разделе Начальная настройка и настройка .

2. Настройте скрипт запуска. Для этого выполните указанные ниже действия.

   1. В оснастке MMC Пользователи и компьютеры Active Directory выберите правой кнопкой мыши доменное имя, а затем выберите Свойства.

   2. Перейдите на вкладку групповая политика.

   3. Выберите Создать, чтобы создать объект групповая политика и введите MRT Deployment в поле имя политики.

   4. Выберите новую политику и нажмите кнопку Изменить.

   5. Разверните узел Параметры Windows для конфигурации компьютера, а затем выберите Скрипты.

   6. Дважды щелкните Вход и нажмите кнопку Добавить.
      
      Откроется диалоговое окно Добавление скрипта .

   7. В поле Имя скрипта введите \\ServerName\ShareName\RunMRT.cmd.

   8. Нажмите кнопку ОК и нажмите кнопку Применить.

3. Перезапустите клиентские компьютеры, которые являются членами этого домена.

Использование скрипта входа пользователя на основе групповая политика

Для этого метода требуется, чтобы учетная запись пользователя входа была учетной записью домена и членом группы локального администратора на клиентском компьютере.

1. Настройка общих папок. Для этого выполните действия, описанные в
   разделеНачальная настройка и настройка.

2. Настройте сценарий входа. Для этого выполните указанные ниже действия.

   1. В оснастке MMC Пользователи и компьютеры Active Directory выберите правой кнопкой мыши доменное имя, а затем выберите Свойства.

   2. Перейдите на вкладку групповая политика.

   3. Выберите Создать , чтобы создать новый объект групповой политики, а затем введите mrt Deployment в поле имя.

   4. Выберите новую политику и нажмите кнопку Изменить.

   5. Разверните узел Параметры Windows для пользовательской конфигурации, а затем выберите Скрипты.

   6. Дважды щелкните Вход и нажмите кнопку Добавить. Откроется диалоговое окно Добавление скрипта .

   7. В поле Имя скрипта введите \\ServerName\ShareName\RunMRT.cmd.

   8. Нажмите кнопку ОК и нажмите кнопку Применить.

3. Выйдите из системы, а затем войдите на клиентские компьютеры.

В этом сценарии скрипт и средство будут выполняться в контексте пользователя, выполнившего вход. Если этот пользователь не принадлежит к локальной группе администраторов или не имеет достаточных разрешений, средство не будет запущено и не вернет соответствующий код возврата. Дополнительные сведения об использовании скриптов запуска и входа в систему см. в следующей статье базы знаний Майкрософт:

198642 обзор сценариев входа, выхода, запуска и завершения работы в Windows 2000

322241 Назначение скриптов в Windows 2000

Как изучить коды возврата

Чтобы проверить результаты выполнения, вы можете изучить код возврата средства в скрипте входа в развертывание или в скрипте запуска развертывания. Пример этого см. в разделе Пример кода .

В следующем списке содержатся допустимые коды возврата.

Анализ файла журнала

Средство удаления вредоносных программ записывает сведения о результате его выполнения в файл журнала %windir%\debug\mrt.log.

Заметки

• Этот файл журнала доступен только на английском языке.

• Начиная с версии 1.2 средства удаления (март 2005 г.), этот файл журнала использует текст Юникода. До версии 1.2 в файле журнала использовался текст ANSI.

• Формат файла журнала изменился с версии 1.2, поэтому рекомендуется скачать и использовать последнюю версию средства.
  
  Если этот файл журнала уже существует, средство добавляется к существующему файлу.

• Для записи кода возврата и сбора файлов в сетевую папку можно использовать скрипт команды, аналогичный предыдущему примеру.

• Из-за перехода с ANSI на Юникод версия 1.2 средства удаления копирует все версии ANSI файла Mrt.log в папке %windir%\debug в Mrt.log.old в том же каталоге. Версия 1.2 также создает новую версию Юникода Mrt.log файла в том же каталоге. Как и версия ANSI, этот файл журнала будет добавляться в выпуск каждого месяца.

В следующем примере показан файл Mrt.log с компьютера, который был заражен червем MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Ниже приведен пример файла журнала, в котором не найдено вредоносное программное обеспечение.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Ниже приведен пример файла журнала, в котором обнаруживаются ошибки.

Дополнительные сведения о предупреждениях и ошибках, вызванных средством, см. в следующей статье базы знаний Майкрософт:

891717 Устранение ошибок при запуске средства удаления вредоносных программ Microsoft Windows Средство удаления вредоносных программ Microsoft Windows версии 5.3, август 2013 г. (сборка 5.3.9300.0) запущено 2 августа 16:17:49 2013 Результаты сканирования: ------------- обнаружена угроза: Вирус:Win32/MPTestFile.2004, частично удалено. Сбой операции. Действие: очистка, результат: 0x8007065E. Используйте полный антивирусный продукт! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Results Summary: ---------------- Found Virus:Win32/MPTestFile.2004, частично удален. Средство удаления вредоносных программ Microsoft Windows завершено пт.августа 02 16:18:09 2013 г. Код возврата: 7 (0x7)

Известная проблема 1

При запуске средства с помощью скрипта запуска в файл Mrt.log могут быть зарегистрированы сообщения об ошибках, похожие на следующее:
 

Примечание Номер pid будет отличаться.

Это сообщение об ошибке возникает, когда процесс только начинается или когда процесс был недавно остановлен. Единственный результат заключается в том, что процесс, назначенный pid, не сканируется.

Известная проблема 2

В некоторых редких случаях, если администратор решает развернуть MSRT с помощью переключателя /q quiet (также известного как автоматический режим), это может не полностью устранить очистку для небольшого подмножества инфекций в ситуациях, когда после перезапуска требуется дополнительная очистка. Это наблюдалось только при удалении некоторых вариантов rootkit.