Triển khai Công cụ Xóa Phần mềm Độc hại của Windows trong môi trường doanh nghiệp (KB891716)

Cách sử dụng gói phần mềm SMS

Ví dụ sau đây cung cấp hướng dẫn từng bước để sử dụng SMS 2003. Các bước sử dụng SMS 2.0 giống như các bước sau.

1. Trích xuất Mrt.exe từ gói có tên là Windows-KB890830-V5.129.exe /x.

2. Tạo tệp .bat để bắt đầu Mrt.exe và để lấy mã trả về bằng cách sử dụng ISMIF32.exe.
   
   Sau đây là một ví dụ.

   @echo off
   Start /wait Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d “text about error 12”
   Goto end
   
   :end
   

   Để biết thêm thông tin về Ismif32.exe, hãy đi tới bài viết sau đây trong Cơ sở Kiến thức Microsoft:

   268791 Cách tệp Định dạng Thông tin Quản lý Tình trạng (MIF) được tạo bởi tệp ISMIF32.exe được xử lý trong SMS 2.0

   186415 Trình tạo MIF trạng thái, Ismif32.exe sẵn dùng

3. Để tạo gói phần mềm trong bảng điều khiển SMS 2003, hãy làm theo các bước sau:

   1. Mở Bảng điều khiển Người quản trị SMS.

   2. Chọn phải nút Gói , chọn Mới, rồi chọn Đóng gói.
      
      Hộp thoại Thuộc tính Gói được hiển thị.

   3. Trên tab Chung , đặt tên cho gói.

   4. Trên tab Nguồn Dữ liệu , chọn hộp kiểm Gói này có chứa tệp nguồn.

   5. Chọn Đặt, rồi chọn thư mục nguồn có chứa công cụ.

   6. Trên tab Thiết đặt Phân phối, đặt mức ưu tiên Gửi làCao.

   7. Trên tab Báo cáo , chọn Sử dụng các trường này để khớp MIF trạng thái, rồi chỉ định tên cho trường tên tệp MIF và cho
      trường Tên.
      
      Phiên bản và Publisher là tùy chọn.

   8. Chọn OK để tạo gói.

4. Để xác định Điểm Phân phối (DP) cho gói, hãy làm theo các bước sau:

   1. Trong bảng điều khiển SMS 2003, tìm gói mới trong nút Gói .

   2. Mở rộng gói hàng. Chọn đúng Điểm Phân phối, trỏ tới Mới, rồi chọn Điểm Phân phối.

   3. Khởi động Trình hướng dẫn Điểm Phân phối Mới. Chọn Điểm Phân phối hiện có.

   4. Chọn Kết thúc để thoát trình hướng dẫn.

5. Để thêm tệp lô đã được tạo trước đó vào gói mới, hãy làm theo các bước sau:

   1. Trong nút gói mới, chọn nút Chương trình .

   2. Chọn đúng Chương trình, trỏ đến Mới, rồi chọn Chương trình.

   3. Chọn tab Chung , rồi nhập tên hợp lệ.

   4. Ở dòng Lệnh, chọn Duyệt để chọn tệp lô mà bạn đã tạo để bắt đầu sử Mrt.exe.

   5. Thay đổi Chạy thành Ẩn. Thay đổi Sau thành Không cần hành động.

   6. Chọn tab Yêu cầu , rồi chọn Chương trình này chỉ có thể chạy trên hệ điều hành máy khách được chỉ định.

   7. Chọn Tất cả x86 Windows XP.

   8. Chọn tab Môi trường , chọn Xem người dùng có được ghi nhật ký trong danh sách Chương trình có thể chạy hay không. Đặt chế độ Chạy thành Chạy với quyền quản trị.

   9. Chọn OK để đóng hộp thoại.

6. Để tạo quảng cáo quảng cáo chương trình cho khách hàng, hãy làm theo các bước sau:

   1. Chọn nút Quảng cáo , chọn Mới, rồi chọn Quảng cáo.

   2. Trên tab Chung , nhập tên cho quảng cáo. Trong trường Gói , hãy chọn gói mà bạn đã tạo trước đó. Trong trường Chương trình , chọn chương trình mà bạn đã tạo trước đó. Chọn Duyệt, sau đó chọn tuyển tập Tất cả Hệ thống hoặc chọn tuyển tập máy tính chỉ bao gồm Windows Vista và các phiên bản mới hơn.

   3. Trên tab Lịch biểu , hãy để các tùy chọn mặc định nếu bạn muốn chương trình chỉ chạy một lần. Để chạy chương trình theo lịch biểu, hãy gán một khoảng thời gian biểu.

   4. Đặt mức ưu tiên là Cao.

   5. Chọn OK để tạo quảng cáo.

Cách sử dụng tập lệnh khởi chính sách nhóm máy tính dựa trên nền tảng điện toán

Phương pháp này yêu cầu bạn khởi động lại máy tính khách sau khi thiết lập tập lệnh và sau khi bạn áp dụng cài chính sách nhóm máy khách.

1. Thiết lập lượt chia sẻ. Để thực hiện điều này, hãy làm theo các bước trong phần Thiết lập và cấu hình ban đầu.

2. Thiết lập tập lệnh khởi động. Để thực hiện điều này, hãy làm theo các bước sau:

   1. Trong phần đính kèm MMC của Người dùng Active Directory và Máy tính, chọn phải tên miền, rồi chọn Thuộc tính.

   2. Chọn tab chính sách nhóm bạn.

   3. Chọn Mới để tạo Đối tượng chính sách nhóm mới (GPO), rồi nhập Triển khai MRT cho tên của chính sách.

   4. Chọn chính sách mới, rồi chọn Chỉnh sửa.

   5. Mở rộng Cài đặt Windows cho Cấu hình Máy tính, sau đó chọn Tập lệnh.

   6. Chọn đúp Đăng nhập, rồi chọn Thêm.
      
      Hộp thoại Thêm Tập lệnh được hiển thị.

   7. Trong hộp Tên Tập lệnh , nhập \\ServerName\ShareName\RunMRT.cmd.

   8. Chọn OK, rồi chọn Áp dụng.

3. Khởi động lại máy tính khách là thành viên của miền này.

Cách sử dụng một tập lệnh người chính sách nhóm đăng nhập dựa trên người dùng

Phương pháp này yêu cầu tài khoản người dùng đăng nhập là tài khoản miền và là thành viên của nhóm người quản trị cục bộ trên máy tính khách.

1. Thiết lập lượt chia sẻ. Để thực hiện điều này, hãy làm theo các bước trong phần Thiết
   lập và cấu hình ban đầu.

2. Thiết lập tập lệnh đăng nhập. Để thực hiện điều này, hãy làm theo các bước sau:

   1. Trong phần đính kèm MMC của Người dùng Active Directory và Máy tính, chọn phải tên miền, rồi chọn Thuộc tính.

   2. Chọn tab chính sách nhóm bạn.

   3. Chọn Mới để tạo GPO mới, rồi nhập Triển khai MRT cho tên.

   4. Chọn chính sách mới, rồi chọn Chỉnh sửa.

   5. Mở rộng Cài đặt Windows cho Cấu hình Người dùng, rồi chọn Tập lệnh.

   6. Chọn đúp Đăng nhập, rồi chọn Thêm. Hộp thoại Thêm Tập lệnh được hiển thị.

   7. Trong hộp Tên Tập lệnh , nhập \\ServerName\ShareName\RunMRT.cmd.

   8. Chọn OK, rồi chọn Áp dụng.

3. Đăng xuất và đăng nhập lại vào máy tính khách.

Trong trường hợp này, kịch bản và công cụ sẽ chạy theo ngữ cảnh của người dùng đăng nhập. Nếu người dùng này không thuộc nhóm người quản trị cục bộ hoặc không có đủ quyền, công cụ sẽ không chạy và sẽ không trả về mã trả lại thích hợp. Để biết thêm thông tin về cách sử dụng tập lệnh khởi động và tập lệnh đăng nhập, hãy đi tới bài viết sau đây trong Cơ sở Kiến thức Microsoft:

198642 Tổng quan về tập lệnh đăng nhập, đăng xuất, khởi động và tắt trong Windows 2000

322241 Cách gán tập lệnh trong Windows 2000

Cách kiểm tra mã trả lại hàng

Bạn có thể kiểm tra mã trả về của công cụ trong tập lệnh đăng nhập triển khai hoặc trong tập lệnh khởi động triển khai để xác minh kết quả thực thi. Hãy xem phần Mã mẫu để biết ví dụ về cách thực hiện thao tác này.

Danh sách sau đây chứa các mã trả lại hợp lệ.

Cách phân tích tệp nhật ký

Công cụ Loại bỏ Phần mềm Độc hại viết chi tiết về kết quả thực thi của nó trong tệp nhật ký %windir%\debug\mrt.log nhật ký.

Ghi chú

• Tệp nhật ký này chỉ sẵn dùng bằng tiếng Anh.

• Bắt đầu từ phiên bản 1.2 của công cụ loại bỏ (tháng 3 năm 2005), tệp nhật ký này sử dụng văn bản Unicode. Trước phiên bản 1.2, tệp nhật ký sử dụng văn bản ANSI.

• Định dạng tệp nhật ký đã thay đổi với phiên bản 1.2 và chúng tôi khuyên bạn nên tải xuống và sử dụng phiên bản mới nhất của công cụ.
  
  Nếu tệp nhật ký này đã tồn tại, công cụ sẽ gắn thêm vào tệp hiện có.

• Bạn có thể sử dụng một tập lệnh tương tự như ví dụ trước để nắm bắt mã trả về và thu thập các tập tin để chia sẻ mạng.

• Do việc chuyển đổi từ ANSI sang Unicode, phiên bản 1.2 của công cụ loại bỏ sẽ sao chép mọi phiên bản ANSI của tệp Mrt.log trong thư mục %windir%\debug sang Mrt.log.old trong cùng một thư mục. Phiên bản 1.2 cũng tạo ra phiên bản Unicode mới của tệp Mrt.log trong cùng thư mục đó. Giống như phiên bản ANSI, tệp nhật ký này sẽ được chắp thêm vào bản phát hành của mỗi tháng.

Ví dụ sau đây là tệp Mrt.log máy tính bị nhiễm sâu MPnTestFile:

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Tue Jul 30 23:34:49 2013


Quick Scan Results:
-------------------
Threat Detected: Virus:Win32/MPnTestFile.2004 and Removed!
 Action: Remove, Result: 0x00000000
 regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\v5mpn
 file://c:\temp\mpncleantest.exe
 SigSeq: 0x00002267735A46E2

Results Summary:
----------------
Found Virus:Win32/MPnTestFile.2004 and Removed!
Microsoft Windows Malicious Software Removal Tool Finished On Tue Jul 30 23:35:39 2013


Return code: 6 (0x6) 

 

Sau đây là một tệp nhật ký ví dụ không tìm thấy phần mềm độc hại.

Microsoft Windows Malicious Software Removal Tool v5.3, August 2013 (build 5.3.9300.0)
Started On Thu Aug 01 21:15:43 2013


Results Summary:
----------------
No infection found.
Microsoft Windows Malicious Software Removal Tool Finished On Thu Aug 01 21:16:28 2013


Return code: 0 (0x0)
 

Sau đây là tệp nhật ký mẫu có tìm thấy lỗi.

Để biết thêm thông tin về các cảnh báo và lỗi do công cụ gây ra, hãy đi tới bài viết sau đây trong Cơ sở Kiến thức Microsoft:

891717 Cách khắc phục lỗi khi bạn chạy Công cụ Xóa Phần mềm Có hại của Microsoft Windows Công cụ Xóa Phần mềm Độc hại của Microsoft Windows phiên bản 5.3, tháng 8 năm 2013 (bản dựng 5.3.9300.0) Bắt đầu Vào 02/08/16:17:49 2013 Kết quả Quét: Đã phát hiện mối đe dọa -------------: Vi-rút:Win32/MPTestFile.2004, đã bị xóa một phần. Thao tác không thành công. Hành động: Sạch sẽ, Kết quả: 0x8007065E. Xin vui lòng sử dụng một sản phẩm chống virus đầy đủ ! ! file://d:\temp\mpcleantest.7z->mpcleantest.exe SigSeq: 0x00001080D2AE29FC containerfile://d:\temp\mpcleantest.7z Tóm tắt Kết quả: ---------------- Tìm thấy Vi rút:Win32/MPTestFile.2004, đã loại bỏ một phần. Công cụ Xóa Phần mềm Độc hại của Microsoft Windows đã hoàn tất vào 16:18:09 2013 Ngày 2 tháng 8 năm 2013, mã trả về: 7 (0x7)

Sự cố đã biết 1

Khi bạn chạy công cụ bằng cách sử dụng tập lệnh khởi động, các thông báo lỗi tương tự như thông báo lỗi sau đây có thể được ghi nhật ký Mrt.log tập tin:
 

Ghi Số pid sẽ khác nhau.

Thông báo lỗi này xảy ra khi một quy trình chỉ bắt đầu hoặc khi một quy trình đã được dừng gần đây. Hiệu ứng duy nhất là quá trình được chỉ định bởi pid không được quét.

Sự cố đã biết 2

Trong một số trường hợp hiếm hoi, nếu người quản trị chọn triển khai MSRT bằng cách sử dụng công tắc /q quiet (còn được gọi là chế độ im lặng), điều này có thể không hoàn toàn giải quyết làm sạch cho một tập con nhỏ của nhiễm trùng trong các tình huống mà làm sạch bổ sung là cần thiết sau khi khởi động lại. Điều này chỉ được quan sát thấy trong việc loại bỏ một số biến thể rootkit nhất định.