Nasadenie nástroja na odstránenie škodlivého softvéru systému Windows v podnikovom prostredí (KB891716)

Používanie softvérového balíka SMS

Nasledujúci príklad obsahuje podrobné pokyny na používanie SMS 2003. Kroky na používanie SMS 2.0 pripomínajú tieto kroky.

1. Extrahujte súbor Mrt.exe z balíka s názvom Windows-KB890830-V5.123.exe /x.

2. Vytvorte súbor .bat na spustenie Mrt.exe a zaznamenanie vráteného kódu pomocou ISMIF32.exe.
   
   Nižšie je uvedený príklad.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Ďalšie informácie o Ismif32.exe nájdete v nasledujúcom článku databázy Microsoft Knowledge Base:

   268791 Spôsob spracovania súboru MIF (status Management Information Format) vytvoreného súborom ISMIF32.exe v SMS 2.0

   186415 Tvorca stavu MIF, Ismif32.exe je k dispozícii

3. Ak chcete vytvoriť balík v konzole SMS 2003, postupujte takto:

   1. Otvorte konzolu správcu SMS.

   2. Pravým tlačidlom vyberte uzol Balíky , vyberte položku Nové a potom vyberte položku Balík.
      
      Zobrazí sa dialógové okno Vlastnosti balíka .

   3. Na karte Všeobecné pomenujte balík.

   4. Na karte Zdroj údajov začiarknite políčko Tento balík obsahuje zdrojové súbory .

   5. Vyberte položku Nastaviť a potom vyberte zdrojový adresár, ktorý obsahuje nástroj.

   6. Na karte Nastavenie distribúcienastavte položku Odoslať prioritu na možnosť Vysoká.

   7. Na karte Vytváranie zostáv vyberte položku Použiť tieto polia na určenie zhody stavu mif a potom zadajte názov poľa názvu súboru MIF a poľa
      Názov .
      
      Verzia a Publisher sú voliteľné.

   8. Ak chcete vytvoriť balík, vyberte tlačidlo OK .

4. Ak chcete do balíka zadať distribučný bod (DP), postupujte takto:

   1. V konzole SMS 2003 vyhľadajte nový balík pod uzlom Packages .

   2. Rozbaľte balík. Vyberte distribučné body pravým tlačidlom, ukážte na položku Nové a potom vyberte položku Distribučné body.

   3. Spustite Sprievodcu novými distribučnými bodmi. Vyberte existujúci distribučný bod.

   4. Ak chcete ukončiť sprievodcu, vyberte položku Dokončiť .

5. Ak chcete pridať dávkový súbor, ktorý bol predtým vytvorený do nového balíka, postupujte takto:

   1. V novom uzli balíka vyberte uzol Programy .

   2. Vyberte programy pravým tlačidlom, ukážte na položku Nové a potom vyberte položku Program.

   3. Vyberte kartu Všeobecné a potom zadajte platný názov.

   4. V príkazovom riadku vyberte položku Prehľadávať a vyberte dávkový súbor, ktorý ste vytvorili na spustenie Mrt.exe.

   5. Zmeniť nastavenie Spustiť na skryté. Zmeňte možnosť Za na žiadnu akciu.

   6. Vyberte kartu Požiadavky a potom vyberte položku Tento program môže byť spustený iba v určených operačných systémoch klienta.

   7. Vyberte všetky x86 Windows XP.

   8. Vyberte kartu Prostredie a vyberte, či používateľ je prihlásený do zoznamu Program môže spustiť zoznam. Nastavte režim Spustenie na spustenie s právami správcu.

   9. Kliknutím na tlačidlo OK zatvoríte dialógové okno.

6. Ak chcete vytvoriť reklamu na inzerovanie programu klientom, postupujte podľa týchto krokov:

   1. Pravým tlačidlom vyberte uzol Reklama , vyberte položku Nové a potom vyberte položku Reklama.

   2. Na karte Všeobecné zadajte názov reklamy. V poli Balík vyberte balík, ktorý ste predtým vytvorili. V poli Program vyberte program, ktorý ste predtým vytvorili. Vyberte položku Prehľadávať a potom vyberte kolekciu Celý systém alebo vyberte kolekciu počítačov, ktorá obsahuje iba Windows Vista a novšie verzie.

   3. Ak chcete, aby sa program spustil iba raz, na karte Plán ponechajte predvolené možnosti. Ak chcete spustiť program podľa plánu, priraďte časový interval.

   4. Nastavte prioritu na možnosť Vysoká.

   5. Ak chcete vytvoriť reklamu, vyberte tlačidlo OK .

Používanie skriptu pri spustení počítača založeného na skupinová politika

Táto metóda vyžaduje reštartovanie klientskeho počítača po nastavení skriptu a po použití nastavenia skupinová politika.

1. Nastavte akcie. Postupujte podľa krokov v časti Počiatočné nastavenie a konfigurácia .

2. Nastavenie skriptu pri spustení. Ak to chcete urobiť, postupujte podľa týchto krokov:

   1. V Používatelia a počítače služby Active Directory modulu konzoly MMC vyberte názov domény pravým tlačidlom a potom vyberte položku Vlastnosti.

   2. Vyberte kartu skupinová politika.

   3. Vyberte položku Nové a vytvorte nový objekt skupinová politika (GPO) a zadajte mrt nasadenie pre názov politiky.

   4. Vyberte novú politiku a potom vyberte položku Upraviť.

   5. Rozbaľte položku Nastavenia systému Windows pre konfiguráciu počítača a potom vyberte položku Skripty.

   6. Dvakrát vyberte položku Prihlásiť sa a potom vyberte položku Pridať.
      
      Zobrazí sa dialógové okno Pridanie skriptu .

   7. Do poľa Názov skriptu zadajte \\ServerName\ShareName\RunMRT.cmd.

   8. Vyberte tlačidlo OK a potom vyberte položku Použiť.

3. Reštartujte klientske počítače, ktoré sú členmi tejto domény.

Používanie prihlasovacieho skriptu používateľa založeného na skupinová politika

Táto metóda vyžaduje, aby prihlasovacie používateľské konto bolo doménovým kontom a bolo členom skupiny lokálneho správcu v klientskom počítači.

1. Nastavte akcie. Postupujte podľa krokov v
   častiPočiatočné nastavenie a konfigurácia.

2. Nastavte prihlasovací skript. Ak to chcete urobiť, postupujte podľa týchto krokov:

   1. V Používatelia a počítače služby Active Directory modulu konzoly MMC vyberte názov domény pravým tlačidlom a potom vyberte položku Vlastnosti.

   2. Vyberte kartu skupinová politika.

   3. Ak chcete vytvoriť nový objekt GPO, vyberte položku Nové a zadajte názov nasadenia MRT.

   4. Vyberte novú politiku a potom vyberte položku Upraviť.

   5. Rozbaľte položku Nastavenia systému Windows pre konfiguráciu používateľa a potom vyberte položku Skripty.

   6. Dvakrát vyberte položku Prihlásiť sa a potom vyberte položku Pridať. Zobrazí sa dialógové okno Pridanie skriptu .

   7. Do poľa Názov skriptu zadajte \\ServerName\ShareName\RunMRT.cmd.

   8. Vyberte tlačidlo OK a potom vyberte položku Použiť.

3. Odhláste sa a prihláste sa do klientskych počítačov.

V tomto scenári sa skript a nástroj spustia v kontexte prihláseného používateľa. Ak tento používateľ nepatrí do skupiny lokálnych správcov alebo nemá dostatočné povolenia, nástroj sa nespustí a nevráti príslušný návratový kód. Ďalšie informácie o používaní skriptov pri spustení a prihlasovacích skriptov nájdete v nasledujúcom článku v databáze Microsoft Knowledge Base:

198642 Prehľad skriptov prihlásenia, odhlásenia, spustenia a vypnutia vo Windowse 2000

322241 Priradenie skriptov vo Windowse 2000

Ako preskúmať vrátené kódy

Môžete preskúmať návratový kód nástroja v prihlasovacom skripte nasadenia alebo v skripte spustenia nasadenia a overiť výsledky spustenia. Príklad postupu nájdete v časti Ukážka kódu .

Nasledujúci zoznam obsahuje platné návratové kódy.

Analýza súboru denníka

Nástroj na odstránenie škodlivého softvéru zapisuje podrobnosti o výsledku jeho spustenia do súboru denníka %windir%\debug\mrt.log.

Poznámky

• Tento súbor denníka je k dispozícii len v angličtine.

• Počnúc verziou 1.2 nástroja na odstránenie (marec 2005) tento súbor denníka používa text Unicode. Pred verziou 1.2 súbor denníka použil text ANSI.

• Formát súboru denníka sa zmenil vo verzii 1.2 a odporúčame stiahnuť a použiť najnovšiu verziu nástroja.
  
  Ak tento súbor denníka už existuje, nástroj sa pripojí k existujúcemu súboru.

• Na zaznamenanie vráteného kódu a zhromažďovanie súborov do zdieľaného sieťového umiestnenia môžete použiť príkazový skript podobný predchádzajúcemu príkladu.

• Z dôvodu prepnutia z ANSI na Unicode sa vo verzii 1.2 nástroja na odstránenie skopírujú všetky verzie ansi súboru Mrt.log v priečinku %windir%\debug do priečinka Mrt.log.old v tom istom adresári. Verzia 1.2 tiež vytvorí novú verziu unicode súboru Mrt.log v tom istom adresári. Podobne ako verzia ANSI, aj tento súbor denníka sa pripojí k vydaniu každého mesiaca.

Nasledujúci príklad je súbor Mrt.log z počítača, ktorý bol infikovaný červom MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Nižšie je uvedený príklad súboru denníka, v ktorom sa nenašiel žiadny škodlivý softvér.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Nasleduje vzorový súbor denníka, v ktorom sa našli chyby.

Ďalšie informácie o upozorneniach a chybách, ktoré nástroj spôsobuje, nájdete v nasledujúcom článku v databáze Microsoft Knowledge Base:

891717 Riešenie problémov s chybou pri spustení nástroja na odstránenie škodlivého softvéru systému Microsoft Windows Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (zostava 5.3.9300.0) Started On Fri Aug 02 16:17:49 2013 Výsledky kontroly: ------------- zistená hrozba: Virus:Win32/MPTestFile.2004, čiastočne odstránené. Operácia zlyhala. Akcia: Čisté, Výsledok: 0x8007065E. Použite celý antivírusový program! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Results Summary: ---------------- Found Virus:Win32/MPTestFile.2004, čiastočne odstránené. Nástroj na odstránenie škodlivého softvéru systému Microsoft Windows skončil 2. augusta 16:18:09 2013 Návratový kód: 7 (0x7)

Známy problém 1

Pri spustení nástroja pomocou skriptu pri spustení sa chybové hlásenia, ktoré pripomínajú nasledujúce chybové hlásenie, môžu zapísať do Mrt.log súboru:
 

Poznámka Číslo pid sa bude líšiť.

Toto chybové hlásenie sa zobrazí, keď sa proces práve začína alebo keď bol proces nedávno zastavený. Jediným účinkom je, že proces, ktorý je určený pid nie je naskenovaný.

Známy problém 2

V niektorých zriedkavých prípadoch, ak správca rozhodne nasadiť MSRT pomocou /q quiet prepínač (tiež známy ako tichý režim), to nemusí úplne vyriešiť čistenie pre malú podmnožinu infekcií v situáciách, v ktorých je potrebné ďalšie čistenie po reštarte. Toto sa pozorovalo len pri odstraňovaní určitých variantov rootkitu.