Primena Windows alatke za uklanjanje zlonamernog softvera u poslovnom okruženju (KB891716)

Kako se koristi SMS softverski paket

Sledeći primer pruža postupna uputstva za korišćenje programa SMS 2003. Koraci za korišćenje programa SMS 2.0 su slični ovim koracima.

1. Izdvojite Mrt.exe datoteku iz paketa koji se zove Windows-KB890830-V5.142.exe /x.

2. Napravite .bat datoteku da biste pokrenuli Mrt.exe i uhvatili povratni kôd pomoću ISMIF32.exe.
   
   Sledi primer.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Više informacija o Ismif32.exe potražite u sledećem članku Microsoft baze znanja:

   268791 Kako se u programu SMS 2.0 obrađuje datoteka formata MIF (Status Management Information Format) koju proizvodi ISMIF32.exe datoteka

   186415 Status MIF kreatora, Ismif32.exe je dostupan

3. Da biste kreirali paket u SMS 2003 konzoli, sledite ove korake:

   1. Otvorite konzolu SMS administratora.

   2. Kliknite desnim tasterom miša na čvor "Paketi ", izaberite stavku "Novo", a zatim stavku "Paket".
      
      Prikazuje se dijalog "Svojstva paketa ".

   3. Na kartici " Opšte " imenujte paket.

   4. Na kartici "Izvor podataka " potvrdite izbor i potvrdite izbor u polju za potvrdu "Ovaj paket sadrži izvorne datoteke ".

   5. Izaberite stavku "Skup", a zatim odaberite izvorni direktorijum koji sadrži alatku.

   6. Na kartici "Postavke distribucije " postavite prioritet slanja na "Visoko".

   7. Na kartici "Izveštavanje" izaberite stavku "Koristi ova polja za podudaranje MIF statusa", a zatim navedite ime za polje "Ime MIF datoteke" i za polje "Ime
      ".
      
      Verzija i Publisher su opcionalni.

   8. Izaberite dugme "U redu " da biste kreirali paket.

4. Da biste naveli tačku distribucije (DP) za paket, pratite ove korake:

   1. U SMS 2003 konzoli pronađite novi paket u čvoru "Paketi ".

   2. Razvijte paket. Kliknite desnim tasterom miša na stavku "Tačke distribucije", postavite pokazivač na stavku "Novo", a zatim izaberite stavku "Tačke distribucije".

   3. Pokrenite čarobnjak za nove tačke distribucije. Izbor postojeće tačke distribucije.

   4. Kliknite na dugme "Završi" da biste zatvorili čarobnjak.

5. Da biste dodali datoteku paketa koja je prethodno kreirana u novi paket, sledite ove korake:

   1. U okviru čvora novog paketa izaberite čvor "Programi ".

   2. Kliknite desnim tasterom miša na stavku "Programi", postavite pokazivač na stavku "Novo", a zatim izaberite stavku "Program".

   3. Izaberite karticu "Opšte ", a zatim unesite važeće ime.

   4. Na komandnoj liniji izaberite stavku "Potraži" da biste izabrali datoteku paketa koju ste napravili da biste pokrenuli Mrt.exe.

   5. Promenite opciju "Pokreni" u "Skriveno". Promeni posle u "Nije potrebna nikakva radnja".

   6. Izaberite karticu "Zahtevi", a zatim izaberite stavku Ovaj program može da se pokrene samo na navedenim klijentskim operativnim sistemima.

   7. Izaberite sve x86 Windows XP.

   8. Izaberite karticu "Okruženje", izaberite "Da li je korisnik prijavljen" na listi "Program može da pokrene". Postavite režim pokretanja na "Pokreni sa administratorskim pravima".

   9. Kliknite na dugme "U redu " da biste zatvorili dijalog.

6. Da biste kreirali oglas za oglašavanje programa klijentima, pratite ove korake:

   1. Kliknite desnim tasterom miša na čvor "Oglas", izaberite stavku "Novo", a zatim izaberite stavku "Oglas".

   2. Na kartici "Opšte " unesite ime oglasa. U polju "Paket " izaberite paket koji ste prethodno napravili. U polju "Program " izaberite program koji ste prethodno napravili. Izaberite stavku "Pretraži", a zatim izaberite kolekciju "Čitav sistem" ili kolekciju računara koja obuhvata samo Windows Vista i novije verzije.

   3. Na kartici "Raspored " ostavite podrazumevane opcije ako želite da se program pokreće samo jednom. Da biste pokrenuli program po rasporedu, dodelite interval rasporeda.

   4. Postavite prioritet na "Visoko".

   5. Kliknite na dugme "U redu " da biste kreirali oglas.

Kako da koristite skriptu za pokretanje računara zasnovanu na Smernice grupe

Ovaj metod zahteva da ponovo pokrenete klijentski računar nakon podešavanja skripte i primene postavke Smernice grupe.

1. Podesite deljenja. Da biste to uradili, pratite korake u odeljku "Početno podešavanje i konfiguracija ".

2. Podesite skriptu za pokretanje. Pratite ove korake da biste to uradili:

   1. U konzoli konzole Active Directory Users and Computers MMC kliknite desnim tasterom miša na ime domena, a zatim izaberite stavku "Svojstva".

   2. Izaberite karticu Smernice grupe.

   3. Izaberite stavku "Novo" da biste kreirali novi objekat Smernice grupe (GPO) i otkucajte "MRT primena" kao ime smernice.

   4. Izaberite novu smernicu, a zatim stavku "Uredi".

   5. Razvijte stavku "Postavke operativnog sistema Windows za konfiguraciju računara", a zatim izaberite stavku "Skripte".

   6. Dvaput izaberite stavku "Prijavljivanje", a zatim kliknite na dugme "Dodaj".
      
      Prikazuje se dijalog "Dodavanje skripte ".

   7. U polju " Ime skripte " otkucajte \\ImeServera\ImeDeljenja\RunMRT.cmd.

   8. Kliknite na dugme "U redu", a zatim na dugme "Primeni".

3. Ponovo pokrenite računare klijenata koji su članovi ovog domena.

Kako da koristite skriptu za prijavljivanje korisnika zasnovanu na Smernice grupe

Ovaj metod zahteva da korisnički nalog za prijavljivanje bude nalog domena i da bude član grupe lokalnog administratora na računaru klijenta.

1. Podesite deljenja. Da biste to uradili, pratite korake u odeljku "
   Početno podešavanje i konfiguracija ".

2. Podesite skriptu za prijavljivanje. Pratite ove korake da biste to uradili:

   1. U konzoli konzole Active Directory Users and Computers MMC kliknite desnim tasterom miša na ime domena, a zatim izaberite stavku "Svojstva".

   2. Izaberite karticu Smernice grupe.

   3. Izaberite stavku "Novo " da biste kreirali novi objekt za grupisanje, a zatim otkucajte "MRT primena" kao ime.

   4. Izaberite novu smernicu, a zatim stavku "Uredi".

   5. Razvijte postavke operativnog sistema Windows za konfiguraciju korisnika, a zatim izaberite stavku "Skripte".

   6. Dvaput izaberite stavku "Prijavljivanje", a zatim kliknite na dugme "Dodaj". Prikazuje se dijalog "Dodavanje skripte ".

   7. U polju " Ime skripte " otkucajte \\ImeServera\ImeDeljenja\RunMRT.cmd.

   8. Kliknite na dugme "U redu", a zatim na dugme "Primeni".

3. Odjavite se i ponovo povežite sa računarima klijenata.

U ovom scenariju, skripta i alatka će se pokretati u kontekstu prijavljenog korisnika. Ako ovaj korisnik ne pripada lokalnoj grupi administratora ili nema potrebne dozvole, alatka se neće pokrenuti i neće vratiti odgovarajući povratni kôd. Dodatne informacije o načinu korišćenja skripti za pokretanje i skripti za prijavljivanje potražite u sledećem članku Microsoft baze znanja:

198642 Pregled skripti za prijavljivanje, odjavljivanje, pokretanje i isključivanje u operativnom sistemu Windows 2000

322241 Kako dodeliti skripte u operativnom sistemu Windows 2000

Kako da ispitate povratne kodove

Kôd za povratak alatke možete da pregledate u skripti za prijavljivanje u primenu ili u početnoj skripti za pokretanje primene da biste potvrdili rezultate izvršavanja. Pogledajte odeljak "Uzorak koda " da biste dobili primer kako to da uradite.

Sledeća lista sadrži važeće povratne kodove.

Kako raščlaniti datoteku evidencije

Alatka za uklanjanje zlonamernog softvera zapisuje detalje o rezultatu svog izvršavanja u datoteku evidencije %windir%\debug\mrt.log.

Napomene

• Ta datoteka evidencije je dostupna samo na engleskom jeziku.

• Počevši od verzije 1.2 alatke za uklanjanje (mart 2005.), ova datoteka evidencije koristi Unikod tekst. Pre verzije 1.2, datoteka evidencije je koristila ANSI tekst.

• Format datoteke evidencije se promenio u verziji 1.2 i preporučujemo da preuzmete i koristite najnoviju verziju alatke.
  
  Ako ova datoteka evidencije već postoji, alatka se dodaje u postojeću datoteku.

• Možete da koristite komandnu skriptu koja je slična prethodnom primeru da biste uhvatili povratni kôd i prikupili datoteke u deljeni mrežni resurs.

• Zbog prebacivanja sa ANSI na Unikod, verzija 1.2 alatke za uklanjanje će kopirati sve ANSI verzije Mrt.log datoteke iz fascikle %windir%\debug u Mrt.log.old u istom direktorijumu. Verzija 1.2 takođe kreira novu Unikod verziju Mrt.log datoteke u tom istom direktorijumu. Kao i ANSI verzija, ova datoteka evidencije će se dodavati u izdanje svakog meseca.

Sledeći primer je Mrt.log datoteka sa računara koji je bio zaražen crvom MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Sledi primer datoteke evidencije u kojoj nije pronađen zlonamerni softver.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Sledi uzorak datoteke evidencije u kojoj su pronađene greške.

Više informacija o upozorenjima i greškama koje izaziva alatka potražite u sledećem članku Microsoft baze znanja:

891717 Rešavanje problema sa greškom prilikom pokretanja alatke za uklanjanje zlonamernog softvera u operativnom sistemu Microsoft Windows Microsoft Windows alatka za uklanjanje zlonamernog softvera v5.3, avgust 2013 (izdanje 5.3.9300.0) Started On Fri 02 02 16:17:49 2013 Rezultati skeniranja: ------------- Otkrivena pretnja: Virus:Win32/MPTestFile.2004, delimično uklonjena. Operacija nije uspela. Akcija: Čišćenje, Rezultat: 0x8007065E. Koristite punu antivirusni proizvod! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Rezime rezultata: ---------------- Pronađeni virus:Win32/MPTestFile.2004, delimično uklonjen. Microsoft Windows alatka za uklanjanje zlonamernog softvera je završena u petak, 02. avgust 16:18:09 2013 Povratni broj: 7 (0x7)

Poznati problem 1

Kada pokrenete alatku pomoću skripte za pokretanje, poruke o grešci nalik sledećoj grešci mogu da budu evidentirane u datoteci Mrt.log:
 

Napomena PID broj će se razlikovati.

Ova poruka o grešci pojavljuje se kada je proces tek pokrenut ili kada je nedavno zaustavljen. Jedini efekat je da se proces koji je određen pid-om ne skenira.

Poznati problem 2

U nekim retkim slučajevima, ako administrator odluči da primeni MSRT pomoću tihog prekidača /q (poznat i kao tihi režim), to možda neće u potpunosti rešiti čišćenje malog podskupa infekcija u situacijama kada je potrebno dodatno čišćenje nakon ponovnog pokretanja. Ovo je primećeno samo u uklanjanju određenih varijanti rootkit.