Uvajanje orodja sistema Windows za odstranjevanje zlonamerne programske opreme v poslovnem okolju (KB891716)

Uporaba programskega paketa SMS

V spodnjem primeru so navodila po korakih za uporabo sporočila SMS 2003. Koraki za uporabo sporočila SMS 2.0 so podobni tem korakom.

1. Ekstrahiraj Mrt.exe iz paketa, ki se imenuje Windows-KB890830-V5.123.exe /x.

2. Ustvarite datoteko .bat, da začnete Mrt.exe in zajamete vrnjeno kodo s pomočjo ISMIF32.exe.
   
   Spodaj je prikazan primer.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Če želite več informacij Ismif32.exe, si oglejte naslednji članek v Microsoftovi zbirki znanja:

   268791 Kako je datoteka z obliko zapisa MIF (status Management Information Format), ki jo ISMIF32.exe datoteka, obdelana s sporočilom SMS 2.0

   186415 Avtor mif stanja, Ismif32.exe na voljo

3. Če želite ustvariti paket v konzoli SMS 2003, sledite tem korakom:

   1. Odprite konzolo za skrbnike sporočil SMS.

   2. Z desno tipko miške izberite vozlišče Paketi, izberite Novo in nato izberite Paket.
      
      Odpre se pogovorno okno Lastnosti paketa.

   3. Na zavihku Splošno poimenujte paket.

   4. Na zavihku Vir podatkov potrdite polje Ta paket vsebuje izvorne datoteke.

   5. Izberite Nastavi in nato izberite izvorni imenik z orodjem.

   6. Na zavihku Nastavitve distribucije nastavite prednost Pošiljanja naVisoko.

   7. Na zavihku Poročanje izberite Uporabi ta polja za ujemanje z mif stanjem, nato pa določite ime za polje za ime datoteke MIF
      inpolje Ime.
      
      Različica inPublisher sta izbirna.

   8. Izberite V redu , da ustvarite paket.

4. Če želite določiti točko distribucije (DP) za paket, sledite tem korakom:

   1. V konzoli SMS 2003 poiščite nov paket v vozlišču Paketi .

   2. Razširite paket. Z desno tipko miške izberite Točke prejemnikov, pokažite na Novo in nato izberite Točke prejemnikov.

   3. Zaženite čarovnika za nove točke prejemnikov. Izberite obstoječo točko porazdelitve.

   4. Izberite Dokončaj, da zaprete čarovnika.

5. Če želite dodati paketno datoteko, ki je bila prej ustvarjena v nov paket, sledite tem korakom:

   1. Pod novim paketom izberite vozlišče Programi.

   2. Z desno tipko miške izberite Programi, pokažite na Novo in nato izberite Program.

   3. Izberite zavihek Splošno in vnesite veljavno ime.

   4. V ukazni vrstici izberitePrebrskaj, da izberete paketno datoteko, ki ste jo ustvarili za zagon Mrt.exe.

   5. Spremenite Zaženi v Skrito. Change After to No action Required.

   6. Izberite zavihek Zahteve in nato Izberite Ta program se lahko izvaja le v določenih odjemalskih operacijskih sistemih.

   7. Izberite Vse x86 Windows XP.

   8. Izberite zavihek Okolje, izberite Ali je uporabnik prijavljen naseznam Zaženi program . Nastavite način za zagon na Zaženi s skrbniškimi pravicami.

   9. Izberite V redu , da zaprete pogovorno okno.

6. Če želite ustvariti oglas za oglaševanje programa za odjemalce, sledite tem korakom:

   1. Z desno tipko miške izberite vozlišče Oglas, izberite Novo, nato pa izberite Oglas.

   2. Na zavihku Splošno vnesite ime za oglas. V polju Paket izberite paket, ki ste ga predhodno ustvarili. V polju Program izberite program, ki ste ga prej ustvarili. Izberite Prebrskaj in nato izberite zbirko Vsi sistem ali zbirko računalnikov, ki vključuje le sistem Windows Vista in novejše različice.

   3. Na zavihku Urnik pustite privzete možnosti, če želite, da se program izvaja le enkrat. Če želite program zagnati po urniku, dodelite interval urnika.

   4. Nastavite Prioriteto naVisoko.

   5. Izberite V redu , da ustvarite oglas.

Uporaba skripta za pravilnik skupine računalnik s sistemom Windows

Ta način zahteva, da znova zaženete odjemalski računalnik, ko nastavite skript in ko uporabite nastavitev pravilnik skupine.

1. Nastavite delnice. To naredite tako, da upoštevate navodila v razdelku Začetna nastavitev in konfiguracija .

2. Nastavite zagonski skript. To naredite tako:

   1. V uporabniki in računalniki storitve Active Directory MMC z desno tipko miške izberite ime domene in nato izberite Lastnosti.

   2. Izberite zavihek pravilnik skupine pošta.

   3. Izberite Novo, da ustvarite pravilnik skupine predmet (GPO) in vnesite Uvajanje MRT za ime pravilnika.

   4. Izberite nov pravilnik in nato izberite Uredi.

   5. Razširite možnost Nastavitve sistema Windows za konfiguracijo računalnika in izberite Skripti.

   6. Dvokliknite Prijava in nato izberite Dodaj.
      
      Prikaže se pogovorno okno Dodajanje skripta.

   7. V polje Ime skripta vnesite \\ServerName\ShareName\RunMRT.cmd.

   8. Izberite V redu in nato Uporabi.

3. Znova zaženite odjemalske računalnike, ki so člani te domene.

Uporaba skripta za prijavo, pravilnik skupine temelji na uporabniških navodilih

Ta način zahteva, da je uporabniški račun za prijavo račun domene in je član lokalne skrbniške skupine v odjemalskem računalniku.

1. Nastavite delnice. To naredite tako, da upoštevate navodila v razdelku Začetna
   nastavitev in konfiguracija .

2. Nastavite prijavni skript. To naredite tako:

   1. V uporabniki in računalniki storitve Active Directory MMC z desno tipko miške izberite ime domene in nato izberite Lastnosti.

   2. Izberite zavihek pravilnik skupine pošta.

   3. Izberite Novo , da ustvarite nov predmet pravilnika skupin, in za ime vnesite Uvajanje MRT.

   4. Izberite nov pravilnik in nato izberite Uredi.

   5. Razširite možnost Nastavitve sistema Windows za konfiguracijo uporabnika in izberite Skripti.

   6. Dvokliknite Prijava in nato izberite Dodaj. Prikaže se pogovorno okno Dodajanje skripta.

   7. V polje Ime skripta vnesite \\ServerName\ShareName\RunMRT.cmd.

   8. Izberite V redu in nato Uporabi.

3. Odjavite se in se prijavite v odjemalske računalnike.

V tem primeru se skript in orodje izvajata v kontekstu prijavljenega uporabnika. Če ta uporabnik ni član lokalne skupine skrbnikov ali nima zadostnih dovoljenj, se orodje ne bo zagnalo in ne bo vrnilo ustrezne vrnjene kode. Če želite več informacij o uporabi zagonskih skriptov in prijavnih skriptov, si oglejte naslednji članek v Microsoftovi zbirki znanja:

198642 Pregled prijav, odjave, zagona in zaustavitvenih skriptov v sistemu Windows 2000

322241 Dodeljevanje skriptov v sistemu Windows 2000

Kako preučiti vrnjene kode

Pregledate lahko vrnjeno kodo orodja v skriptu za prijavo uvajanja ali v skriptu zagona uvajanja, da preverite rezultate izvajanja. Če si želite ogledati primer tega, glejte razdelek Vzorec kode.

Na spodnjem seznamu so veljavne vrnjene kode.

Razčlenjevanje dnevniške datoteke

Orodje za odstranjevanje zlonamerne programske opreme v dnevniško datoteko %windir%\debug\mrt.log zabeleži podrobnosti o rezultatu izvajanja.

Opombe

• Ta dnevniške datoteke so na voljo le v angleščini.

• Od različice 1.2 orodja za odstranjevanje (marec 2005) naprej ta dnevniško datoteko uporablja besedilo Unicode. Pred različico 1.2 je dnevniško datoteko uporabljalo besedilo ANSI.

• Oblika zapisa dnevniške datoteke se je spremenila v različici 1.2, zato priporočamo, da prenesete in uporabljate najnovejšo različico orodja.
  
  Če ta dnevniško datoteko že obstaja, se orodje doda obstoječi datoteki.

• Uporabite lahko ukazni skript, podoben prejšnjemu primeru, za zajem vrnjene kode in zbiranje datotek v omrežni pogon.

• Zaradi preklopa z ANSI na Unicode bo različica 1.2 orodja za odstranjevanje kopirala vse različice ANSI datoteke Mrt.log v mapo %windir%\debug v mapo Mrt.log.old v istem imeniku. Različica 1.2 ustvari tudi novo različico nabora datotek Unicode Mrt.log istem imeniku. Tako kot različica ANSI, bo ta dnevniško datoteko dodana izdaji vsakega meseca.

Ta primer je datoteka Mrt.log iz računalnika, ki je bil okužen s črvom MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Spodaj je primer dnevniške datoteke, kjer ni najdena nobena zlonamerna programska oprema.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

V nadaljevanju je vzorčna dnevniške datoteke, v kateri so najdene napake.

Če želite več informacij o opozorilih in napakah, ki jih povzroča orodje, si oglejte naslednji članek v Microsoftovi zbirki znanja:

891717 Odpravljanje napake ob zagonu orodja microsoft Windows Malicious Software Removal Tool Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0) Started on fri Aug 02 16:17:49 2013 Scan Results: ------------- Threat Detected: Virus:Win32/MPTestFile.2004, partially removed. Operacija ni uspela. Dejanje: Čiščenje, Rezultat: 0x8007065E. Uporabite poln protivirusni izdelek! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Povzetek rezultatov: ---------------- Najden virus:Win32/MPTestFile.2004, delno odstranjen. Microsoft Windows Malicious Software Removal Tool Finished On fri 02 16:18:09 2013 Return code: 7 (0x7)

Znana težava 1

Ko zaženete orodje s skriptom za zagon, se lahko v datoteko sistema Mrt.log zabeležijo sporočila o napaki, podobna Mrt.log napaki:
 

Opomba Številka pida se razlikuje.

To sporočilo o napaki se prikaže, ko se postopek šele začne ali ko je bil postopek nedavno zaustavljen. Edini učinek je, da se postopek, ki ga določi pid, ne pregleda.

Znana težava 2

V nekaterih redkih primerih, ko skrbnik uvede orodje MSRT s tihim stikalom /q (imenovanim tudi tihi način), s tem morda ne bo popolnoma razrešil čiščenja manjše podskupine okužb v situacijah, ko je potrebno dodatno čiščenje po vnovičnem zagonu. To so opazili le pri odstranjevanju nekaterih različic korenskih kompletov.