Distribuera verktyget Borttagning av skadlig programvara i en företagsmiljö (KB891716)

Så här använder du programvarupaketet för SMS

I följande exempel finns stegvisa instruktioner för hur du använder SMS 2003. Anvisningarna för att använda SMS 2.0 liknar de här stegen.

1. Extrahera den Mrt.exe filen från paketet som heter Windows-KB890830-V5.129.exe /x.

2. Skapa en .bat fil för att starta Mrt.exe och fånga in returkoden med hjälp av ISMIF32.exe.
   
   Följande är ett exempel.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Mer information om Ismif32.exe finns i följande artikel i Microsoft Knowledge Base:

   268791 Hur en MIF-fil (Status Management Information Format) som produceras av den ISMIF32.exe filen bearbetas i SMS 2.0

   186415 Status MIF creator, Ismif32.exe är tillgänglig

3. Så här skapar du ett paket i SMS 2003-konsolen:

   1. Öppna administratörskonsolen för SMS.

   2. Högerklicka på noden Paket , välj Nytt och välj sedan Paket.
      
      Dialogrutan Paketegenskaper visas.

   3. Namnge paketet på fliken Allmänt .

   4. Markera kryssrutan Det här paketet innehåller källfiler på fliken Datakälla.

   5. Välj Ange och välj sedan en källkatalog som innehåller verktyget.

   6. På fliken Distributionsinställningar ställer du in prioriteten Skicka till Hög.

   7. På fliken Rapportering väljer du Använd dessa fält för status-MIF-matchning och anger sedan ett namn för MIF-filnamnsfältet och för fältet
      Namn .
      
      Version och Publisher är valfria.

   8. Välj OK för att skapa paketet.

4. Gör så här om du vill ange en distributionspunkt (DP) för paketet:

   1. Leta reda på det nya paketet under noden Paket i SMS 2003-konsolen.

   2. Expandera paketet. Högerklicka på Distributionspunkter, peka på Nytt och välj sedan Distributionspunkter.

   3. Starta guiden Nya distributionspunkter. Välj en befintlig distributionspunkt.

   4. Välj Slutför för att avsluta guiden.

5. Följ de här stegen om du vill lägga till batchfilen som skapades tidigare i det nya paketet:

   1. Under den nya paketnoden väljer du noden Program .

   2. Högerklicka på Program, peka på Nytt och välj sedan Program.

   3. Välj fliken Allmänt och ange sedan ett giltigt namn.

   4. Välj Bläddra på kommandoraden för att välja den batchfil som du skapade för att starta Mrt.exe.

   5. Ändra Kör till Dold. Ändra Efter till Ingen åtgärd krävs.

   6. Välj fliken Krav och välj sedan Det här programmet kan endast köras på angivna klientoperativsystem.

   7. Välj Alla x86 Windows XP.

   8. Välj fliken Miljö och välj Om en användare är inloggad i listan Program kan köra . Ställ in körläget på Kör med administrativa rättigheter.

   9. Stäng dialogrutan genom att välja OK .

6. Gör så här om du vill skapa en annons för att annonsera programmet till klienter:

   1. Högerklicka på noden Annons , välj Nytt och välj sedan Annons.

   2. På fliken Allmänt anger du ett namn för annonsen. I fältet Paket väljer du det paket som du skapade tidigare. I fältet Program väljer du det program som du skapade tidigare. Välj Bläddra och välj sedan samlingen All System eller välj en samling datorer som bara innehåller Windows Vista och senare versioner.

   3. Lämna standardalternativen på fliken Schema om du vill att programmet bara ska köras en gång. Tilldela ett schemaintervall om du vill köra programmet enligt ett schema.

   4. Ställ in Prioritet på Hög.

   5. Välj OK för att skapa annonsen.

Så här använder du ett grupprincip-baserat datorstartskript

Den här metoden kräver att du startar om klientdatorn efter att du har konfigurerat skriptet och när du har tillämpat inställningen grupprincip.

1. Konfigurera resurserna. Det gör du genom att följa anvisningarna i avsnittet Inledande konfiguration .

2. Konfigurera startskriptet. Gör så här:

   1. Högerklicka på domännamnet i snapin-modulen Active Directory - användare och datorer MMC och välj sedan Egenskaper.

   2. Välj fliken grupprincip.

   3. Välj Nytt för att skapa ett nytt grupprincip-objekt (GPO) och skriv MRT-distribution för namnet på principen.

   4. Välj den nya principen och välj sedan Redigera.

   5. Expandera Windows-inställningar för datorkonfiguration och välj sedan Skript.

   6. Dubbelklicka på Inloggning och välj sedan Lägg till.
      
      Dialogrutan Lägg till ett skript visas.

   7. Skriv \\ServerName\ShareName\RunMRT.cmd i rutan Skriptnamn.

   8. Välj OK och sedan Verkställ.

3. Starta om klientdatorerna som är medlemmar i den här domänen.

Så här använder du ett grupprincip-baserat användaranloggningsskript

Den här metoden kräver att inloggningsanvändarkontot är ett domänkonto och är medlem i den lokala administratörsgruppen på klientdatorn.

1. Konfigurera resurserna. Det gör du genom att följa anvisningarna i
   avsnittetInledande konfiguration.

2. Konfigurera inloggningsskriptet. Gör så här:

   1. Högerklicka på domännamnet i snapin-modulen Active Directory - användare och datorer MMC och välj sedan Egenskaper.

   2. Välj fliken grupprincip.

   3. Välj Nytt för att skapa ett nytt GPO och skriv sedan MRT-distribution för namnet.

   4. Välj den nya principen och välj sedan Redigera.

   5. Expandera Windows-inställningar för användarkonfiguration och välj sedan Skript.

   6. Dubbelklicka på Inloggning och välj sedan Lägg till. Dialogrutan Lägg till ett skript visas.

   7. Skriv \\ServerName\ShareName\RunMRT.cmd i rutan Skriptnamn.

   8. Välj OK och sedan Verkställ.

3. Logga ut och tillbaka till klientdatorerna.

I det här scenariot körs skriptet och verktyget under kontexten för den inloggade användaren. Om användaren inte tillhör den lokala administratörsgruppen eller inte har tillräcklig behörighet körs inte verktyget och returnerar inte rätt returkod. Mer information om hur du använder startskript och inloggningsskript finns i följande artikel i Microsoft Knowledge Base:

198642 Översikt över skript för inloggning, utloggning, start och avstängning i Windows 2000

322241 Så här tilldelar du skript i Windows 2000

Så här undersöker du returkoder

Du kan undersöka returkoden för verktyget i distributionsloggskriptet eller i distributionsstartskriptet för att verifiera resultatet av körningen. Se exempelavsnittet kod för ett exempel på hur du gör detta.

Följande lista innehåller giltiga returkoder.

Så här tolkar du loggfilen

Verktyget Borttagning av skadlig programvara skriver information om resultatet av körningen i loggfilen %windir%\debug\mrt.log.

Anteckningar

• Den här loggfilen är endast tillgänglig på engelska.

• Från och med version 1.2 av borttagningsverktyget (mars 2005) använder loggfilen Unicode-text. Före version 1.2 använde loggfilen ANSI-text.

• Loggfilformatet har ändrats med version 1.2 och vi rekommenderar att du laddar ned och använder den senaste versionen av verktyget.
  
  Om loggfilen redan finns lägger verktyget till den befintliga filen.

• Du kan använda ett kommandoskript som liknar föregående exempel för att samla in returkoden och samla in filerna till en nätverksresurs.

• På grund av bytet från ANSI till Unicode kopierar version 1.2 av borttagningsverktyget alla ANSI-versioner av den Mrt.log filen i mappen %windir%\debug till Mrt.log.old i samma katalog. Version 1.2 skapar också en ny Unicode-version av den Mrt.log filen i samma katalog. Precis som ANSI-versionen läggs den här loggfilen till i varje månads version.

Följande exempel är en Mrt.log fil från en dator som var infekterad med MPnTestFile-masken:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Följande är en exempelloggfil där ingen skadlig programvara hittas.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Följande är en exempelloggfil där fel hittas.

Mer information om varningar och fel som orsakas av verktyget finns i följande artikel i Microsoft Knowledge Base:

891717 Så här felsöker du ett fel när du kör verktyget Borttagning av skadlig programvara i Microsoft Windows Microsoft Windows-verktyget Borttagning av skadlig programvara v5.3, augusti 2013 (version 5.3.9300.0) startade den 2 augusti 16:17:49 2013 genomsökningsresultat: ------------- hot har upptäckts: Virus:Win32/MPTestFile.2004, delvis borttagen. Åtgärden misslyckades. Åtgärd: Rensa, Resultat: 0x8007065E. Använd en fullständig antivirusprodukt! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Resultatsammanfattning: ---------------- Hittade virus:Win32/MPTestFile.2004, delvis borttagen. Microsoft Windows Borttagning av skadlig programvara har slutförts den 2 augusti 16:18:09 2013 Returkod: 7 (0x7)

Känt problem 1

När du kör verktyget med ett startskript kan felmeddelanden som liknar följande felmeddelande loggas i Mrt.log-filen:
 

Not Pid-numret varierar.

Det här felmeddelandet visas när en process precis har startat eller när en process nyligen har stoppats. Den enda effekten är att processen som anges av pid inte genomsöks.

Känt problem 2

I vissa sällsynta fall, om en administratör väljer att distribuera MSRT med hjälp av /q quiet-växeln (kallas även tyst läge), kanske detta inte helt löser rensning för en liten delmängd infektioner i situationer där ytterligare rensning krävs efter en omstart. Detta har endast observerats vid borttagning av vissa rootkit-varianter.