企業環境での Microsoft Windows 悪意のあるソフトウェアの削除ツールの展開

• Windows Server Update Services
• Microsoft Systems Management Software (SMS) ソフトウェア パッケージ
• グループ ポリシーでコンピュータのスタートアップ スクリプトを使用する方法
• グループ ポリシーでユーザーのログオン スクリプトを使用する方法

• Windows Update カタログ
• リモート コンピュータに対するこのツールの実行
• Software Update Services (SUS)

先頭へ戻る

サンプル コード

• ツールをサイレント モードで実行します。
• 事前に構成したネットワーク共有にログ ファイルをコピーします。
• ツールが実行されたコンピュータの名前と現在のユーザーのユーザー名が、ログ ファイルの名前の先頭に追加されます。「事前の設定と構成」の手順に従って、共有のアクセス許可を適切に設定する必要があります。

REM この例では、スクリプト名は RunMRT.cmd とします。
REM Sleep.exe ユーティリティは、次の用途で使用するときにツールの実行を遅らせるために使用します。
REM スタートアップ スクリプト。詳細については、「既知の問題」を参照してください。
@echo off
call \\ServerName\ShareName\Sleep.exe 5
Start /wait \\ServerName\ShareName\Windows-KB890830-V3.4exe /q

copy %windir%\debug\mrt.log \\ServerName\ShareName\Logs\%computername%_%username%_mrt.log

先頭へ戻る

事前の設定と構成

1. メンバ サーバーに共有を作成します。この共有に付けた名前を ShareName とします。
2. ツールおよびサンプル スクリプト RunMRT.cmd を共有にコピーします。サンプル スクリプトの詳細については、「サンプル コード」を参照してください。
3. 共有のアクセス許可および NTFS ファイル システムのアクセス許可を以下のように構成します。
   • 共有のアクセス許可
     1. この共有を管理するユーザーのドメイン ユーザー アカウントを追加し、"フル コントロール" のアクセス許可を付与します。
     2. Everyone グループを削除します。
     3. コンピュータのスタートアップ スクリプトを使用する場合は、Domain Computers グループを追加し、このグループに "変更" および "読み取り" のアクセス許可を付与します。
     4. ログオン スクリプトを使用する場合は、Authenticated Users グループを追加し、このグループに "変更" および "読み取り" のアクセス許可を付与します。
   • NTFS アクセス許可
     1. この共有を管理するユーザーのドメイン ユーザー アカウントを追加し、"フル コントロール" のアクセス許可を付与します。
     2. Everyone グループが一覧に含まれている場合は、削除します。
        
        注 : Everyone グループを削除するときにエラー メッセージが表示される場合は、[セキュリティ] タブの [詳細] をクリックし、[継承可能なアクセス許可を親からこのオブジェクトに継承できるようにする] チェック ボックスをオフにします。
     3. コンピュータのスタートアップ スクリプトを使用する場合は、Domain Computers グループを追加し、このグループに "読み取りと実行"、"フォルダの内容の一覧表示" および "読み取り" のアクセス許可を付与します。
     4. ログオン スクリプトを使用する場合は、Authenticated Users グループを追加し、このグループに "読み取りと実行"、"フォルダの内容の一覧表示" および "読み取り" のアクセス許可を付与します。
4. ShareName フォルダ内に Logs という名前のフォルダを作成します。
   
   クライアント コンピュータでツールを実行した後、このフォルダに最終的なログ ファイルが集められます。
5. 次の手順を実行して、Logs フォルダの NTFS アクセス許可を構成します。
   
   注 : この手順では、共有のアクセス許可は変更しないでください。
   1. この共有を管理するユーザーのドメイン ユーザー アカウントを追加し、"フル コントロール" のアクセス許可を付与します。
   2. コンピュータのスタートアップ スクリプトを使用する場合は、Domain Computers グループを追加し、このグループに "変更"、"読み取りと実行"、"フォルダの内容の一覧表示"、"読み取り"、および "書き込み" のアクセス許可を付与します。
   3. ログオン スクリプトを使用する場合は、Authenticated Users グループを追加し、このグループに "変更"、"読み取りと実行"、"フォルダの内容の一覧表示"、"読み取り"、および "書き込み" のアクセス許可を付与します。

先頭へ戻る

展開の方法

SMS ソフトウェア パッケージの使用方法

1. /x スイッチを使用して Windows-KB890830-V1.34.exe パッケージから Mrt.exe ファイルを抽出します (パッケージのファイル名はバージョンによって異なります)。
2. Mrt.exe を起動して ISMIF32.exe でリターン コードを取得するための .bat ファイルを作成します。
   
   以下に例を示します。

   @echo off
   Mrt.exe /q
   If errorlevel 13 goto error13
   If errorlevel 12 goto error12
   Goto end
   
   :error13
   Ismif32.exe –f MIFFILE –p MIFNAME –d "text about error 13"
   Goto end
   
   :error12
   Ismif32.exe –f MIFFILE –p MIFNAME –d "text about error 12"
   Goto end
   
   :end
   

   Ismif32.exe の関連情報を参照するには、以下の「サポート技術情報」 (Microsoft Knowledge Base) をクリックしてください。
   268791  (http://support.microsoft.com/kb/268791/ ) ISMIF32.exe ファイルによって作成されるステータス管理情報フォーマット (MIF) ファイルの SMS 2.0 における処理方法
   186415  (http://support.microsoft.com/kb/186415/ ) ステータス MIF を作成する Ismif32.exe について
3. 次の手順を実行して、SMS 2003 コンソールでパッケージを作成します。
   1. SMS 管理コンソールを起動します。
   2. [パッケージ] を右クリックし、[新規作成] をポイントし、[パッケージ] をクリックします。
      
      [パッケージのプロパティ] ダイアログ ボックスが表示されます。
   3. [全般] タブで、パッケージの名前を入力します。
   4. [データ ソース] タブで、[このパッケージはソース ファイルを含む] チェック ボックスをオンにします。
   5. [設定] をクリックし、ツールが含まれるソース ディレクトリを選択します。
   6. [配布の設定] タブで、[送信の優先順位] ボックスの一覧の [高] をクリックします。
   7. [レポート] タブで、[MIF のステータスの一致に次のフィールドを使用する] をクリックし、[MIF ファイル名] ボックスおよび [名前] ボックスに名前を入力します。
      
      [バージョン] ボックスおよび [発行元] ボックスは省略可能です。
   8. [OK] をクリックしてパッケージを作成します。
4. 次の手順を実行して、パッケージの配布ポイントを指定します。
   1. SMS 2003 管理コンソールの [パッケージ] の下で、新しく作成したパッケージを見つけます。
   2. パッケージを展開します。[配布ポイント] を右クリックし、[新規作成] をポイントし、[配布ポイント] をクリックします。
   3. 新しい配布ポイント ウィザードを起動して、既存の配布ポイントを選択します。
   4. [完了] をクリックしてウィザードを終了します。
5. 次の手順を実行して、手順 2. で作成したバッチ ファイルを新しいパッケージに追加します。
   1. 新しいパッケージのノードの下で、[プログラム] をクリックします。
   2. [プログラム] を右クリックし、[新規作成] をポイントし、[プログラム] をクリックします。
   3. [全般] タブをクリックし、有効な名前を入力します。
   4. [コマンド ライン] ボックスの隣の [参照] をクリックして、Mrt.exe の起動用に作成したバッチ ファイルを選択します。
   5. [実行] を [非表示] に変更します。[後] を [アクションの必要はありません] に変更します。
   6. [必要条件] タブをクリックし、[指定したクライアントのプラットフォームでのみ実行可能] をクリックします。
   7. [すべての x86 Windows 2000]、[すべての Windows Server 2003]、[すべての x86 Windows XP] の 3 つのチェック ボックスをすべてオンにします。
   8. [環境] タブをクリックし、[プログラムの実行条件] ボックスの一覧の [ユーザーのログオン状態にかかわらず] をクリックします。実行モードの [管理者権限で実行する] をクリックします。
   9. [OK] をクリックして、ダイアログ ボックスを閉じます。
6. 次の手順を実行して、プログラムをクライアントに提供するための提供情報を作成します。
   1. [提供情報] を右クリックし、[新規作成] をポイントし、[提供情報] をクリックします。
   2. [全般] タブで、提供情報の名前を入力します。[パッケージ] ボックスの一覧で、事前に作成したパッケージを選択します。[プログラム] ボックスの一覧で、事前に作成したプログラムを選択します。[参照] をクリックし、[すべてのシステム] をクリックするか、Microsoft Windows 2000 以降のみを含むコンピュータのコレクションをクリックします。
   3. プログラムを一度だけ実行する場合は、[スケジュール] タブで、既定の設定を使用します。スケジュールに沿ってプログラムを実行するには、スケジュールの期間を割り当てます。
   4. [優先順位] ボックスの一覧の [高] をクリックします。
   5. [OK] をクリックして提供情報を作成します。

グループ ポリシーでコンピュータのスタートアップ スクリプトを使用する方法

1. 共有をセットアップします。共有をセットアップするには、「事前の設定と構成」に記載されている手順を使用します。
2. スタートアップ スクリプトをセットアップします。これを実行するには、以下の手順を実行します。
   1. Active Directory ユーザーとコンピュータ MMC スナップインで、ドメイン名を右クリックし、[プロパティ] をクリックします。
   2. [グループ ポリシー] タブをクリックします。
   3. [新規] をクリックして新しいグループ ポリシー オブジェクト (GPO) を作成し、ポリシーの名前として「MRT Deployment」と入力します。
   4. 新しいポリシーをクリックし、[編集] をクリックします。
   5. [コンピュータの構成]、[Windows の設定] を順に展開し、[スクリプト (スタートアップ/シャットダウン)] をクリックします。
   6. [ログオン] をダブルクリックし、[追加] をクリックします。
      
      [スクリプトの追加] ダイアログ ボックスが表示されます。
   7. [スクリプト名] ボックスに「\\ServerName\ShareName\RunMRT.cmd」と入力します。
   8. [OK] をクリックし、[適用] をクリックします。
3. このドメインに所属するクライアント コンピュータを再起動します。

グループ ポリシーでユーザーのログオン スクリプトを使用する方法

1. 共有をセットアップします。共有をセットアップするには、「事前の設定と構成」に記載されている手順を使用します。
2. ログオン スクリプトをセットアップします。これを実行するには、以下の手順を実行します。
   1. Active Directory ユーザーとコンピュータ MMC スナップインで、ドメイン名を右クリックし、[プロパティ] をクリックします。
   2. [グループ ポリシー] タブをクリックします。
   3. [新規] をクリックして新しい GPO を作成し、MRT Deployment という名前を入力します。
   4. 新しいポリシーをクリックし、[編集] をクリックします。
   5. [ユーザーの構成]、[Windows の設定] を順に展開し、[スクリプト (ログオン/ログオフ)] をクリックします。
   6. [ログオン] をダブルクリックし、[追加] をクリックします。[スクリプトの追加] ダイアログ ボックスが表示されます。
   7. [スクリプト名] ボックスに「\\ServerName\ShareName\RunMRT.cmd」と入力します。
   8. [OK] をクリックし、[適用] をクリックします。
3. ログオフした後、クライアント コンピュータに再度ログオンします。

先頭へ戻る

企業での展開に関連する補足情報

リターン コードを調査する方法

ログ ファイルの解析方法

• このログ ファイルは英語で出力されます。
• この削除ツールのバージョン 1.2 (2005 年 3 月版) からは、このログ ファイルで Unicode テキストが使用されます。バージョン 1.2 より前のログ ファイルでは ANSI テキストが使用されていました。
• バージョン 1.2 からログ ファイルの形式が変更されたため、ツールの最新バージョンをダウンロードして使用することを推奨します。
  
  このログ ファイルが既に存在する場合は、既存のファイルにログが追加されます。
• 上記の例と同様のコマンド スクリプトを使用すると、リターン コードを取り込んで、ログ ファイルをネットワーク共有に集めることができます。
• ANSI から Unicode への切り替えにより、削除ツールのバージョン 1.2 では、%windir%\debug フォルダ内の ANSI 版の Mrt.log ファイルが同じディレクトリ内に Mrt.log.old という名前でコピーされ、新しい Unicode 版の Mrt.log が同じディレクトリに作成されます。ANSI 版と同様、毎月、このログ ファイルに新しいログが追加されます。

Microsoft Windows Malicious Software Removal Tool v1.28, April 2007 Started On Mon Mar 19 13:15:07 2007
 
Quick Scan Results:---------------- Found virus:Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe Found virus:Win32/Sasser.A.worm in regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus:Win32/Sasser.A.worm in runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus:Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe
 
Quick Scan Removal Results ---------------- Start 'remove' for regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded !
 
Start 'remove' for runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded !
 
Start 'remove' for file://\\?\C:\WINDOWS\avserve.exe Operation succeeded !
 
Results Summary:---------------- Found Win32/Sasser.A.worm and Removed!
 
Return code:6 Microsoft Windows Malicious Software Removal Tool Finished On Mon Mar 19 13:15:57 2007

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:19:01 2002
 
Results Summary:---------------- No infection found.
 
Return code:0 Microsoft Windows Malicious Software Removal Tool Finished On Wed May 01 21:19:05 2002

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:27:57 2002
 
Scanning Results:---------------- Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus:Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe
 
Removal Results:---------------- Terminating process with pid 1880 ->Sysclean ERROR:Failed to kill process with PID:1880 (Win32 Error Code:0x00000102 (258):The wait operation timed out.)[697] Operation failed !
 
Terminating process with pid 1880 Operation had previously completed.
 
Terminating process with pid 1880 Operation had previously completed.
 
Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices, entry:WinSec Operation succeeded !
 
Terminating process with pid 1880 Operation had previously completed.
 
Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, entry:WinSec Operation succeeded !
 
Writing in file C:\WINDOWS\system32\drivers\etc\hosts Operation succeeded !
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation succeeded !
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed.
 
Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed.
 

Results Summary:---------------- For cleaning Win32/HLLW.Gaobot.ZF, the system must be restarted.Found Win32/HLLW.Gaobot.ZF, partially removed.

先頭へ戻る

既知の問題

先頭へ戻る

FAQ

先頭へ戻る