Microsoft Windows 恶意软件删除工具

Microsoft 恶意软件删除工具与防病毒产品有何差异

Microsoft 恶意软件删除工具不能取代防病毒产品。严格地讲，该工具是感染后的删除工具。因此，强烈建议您安装并使用最新的防病毒产品。

Microsoft 恶意软件删除工具主要在以下三个方面与防病毒产品有所不同：

• 该工具从已经受感染的计算机中删除恶意软件。防病毒产品能够阻止恶意软件在计算机上运行。与受感染后才删除恶意软件相比，阻止恶意软件在计算机上运行显然更有意义。
• 该工具只删除特定的流行恶意软件。特定的流行恶意软件是目前存在的所有恶意软件中的一小部分。
• 该工具重点检测和删除处于活动状态的恶意软件。处于活动状态的恶意软件是指当前正在计算机上运行的恶意软件。该工具不能删除未运行的恶意软件。而防病毒产品可以执行这一任务。

有关如何保护计算机的更多信息，请访问下面的 Microsoft“保护您的计算机”网站：

注意：Microsoft 恶意软件删除工具重点检测和删除病毒、蠕虫和特洛伊***等恶意软件。它不会删除间谍软件。不过，您可以使用 Windows Defender 来检测和删除间谍软件。

安装 Microsoft 恶意软件删除工具时，不必禁用或删除防病毒程序。但是，如果计算机已经感染了流行恶意软件，则防病毒程序可能会检测到该恶意软件，并且可能阻止删除工具在运行时删除该恶意软件。在这种情况下，可以使用防病毒程序来删除该恶意软件。

因为 Microsoft 恶意软件删除工具不包含病毒或蠕虫，所以该删除工具本身不会触发防病毒程序。但是，如果计算机在安装最新的防病毒程序之前感染了恶意软件，则在该工具尝试删除恶意软件之前，防病毒程序可能无法检测到恶意软件。

适用于高级用户的更多信息

本部分适用于高级计算机用户。如果您对高级故障排除步骤感到不解，可以寻求他人的帮助或与支持部门联系。有关如何与 Microsoft 支持部门联系的更多信息，请访问下面的 Microsoft 网站：

回到顶端

Microsoft 下载中心

您可以从 Microsoft 下载中心手动下载恶意软件删除工具。 可以从 Microsoft 下载中心下载以下文件：

对于 32 位的基于 x86 的系统：

立即下载 x86 MSRT 程序包。
(http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=ad724ae0-e72d-4f54-9ab3-75b8eb148356)

立即下载 x64 MSRT 程序包。
(http://www.microsoft.com/downloads/zh-cn/details.aspx?familyid=585d2bde-367f-495e-94e7-6349f4effc74&displaylang=zh-cn)

发布日期：2011 年 9 月 27 日

有关如何下载 Microsoft 支持文件的详细信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

Microsoft 已对该文件进行了病毒扫描。Microsoft 使用的是该文件发布时可以获得的最新病毒检测软件。该文件存储在安全性得到增强的服务器上，以防止在未经授权的情况下对其进行更改。

回到顶端

在企业环境中部署恶意软件删除工具

如果您是一位想详细了解如何在企业环境中部署此工具的 IT 管理员，请单击以下文章编号以查看 Microsoft 知识库中的文章：

该文章包括有关 Microsoft Systems Management Server (SMS)、Microsoft Software Update Services (SUS) 和 Microsoft Baseline Security Analyzer (MBSA) 的信息。

回到顶端

运行恶意软件删除工具的先决条件

除了已经提到的注意事项，此部分中的信息适用于下载和运行恶意软件删除工具的所有方式：

• Microsoft Update
• Windows Update
• 自动更新
• Microsoft 下载中心
• Microsoft.com 上的“恶意软件删除工具”网站

要运行恶意软件删除工具，需要具备下列条件：

• 计算机必须运行 Windows 7、Windows Vista、Windows Server 2003 或 Windows XP。
• 您必须使用管理员组的成员帐户登录到计算机。如果登录帐户没有所需的权限，则该工具会退出。如果该工具不是以安静模式运行，它会显示描述该故障的对话框。
• 如果该工具已过期 60 天以上，则它会显示一个对话框，建议您下载该工具的最新版本。

回到顶端

对命令行开关的支持

恶意软件删除工具支持四个命令行开关：

回到顶端

用法和版本信息

从 Microsoft Update 或自动更新下载此工具时，如果未在计算机上检测到恶意软件，则该工具下次将在安静模式下运行。如果在计算机上检测到恶意软件，则在管理员下一次登录到计算机时，将会在通知区域出现一个气球以通知您检测结果。有关检测结果的更多信息，请单击气球。

如果从 Microsoft 下载中心下载该工具，该工具在运行时将显示用户界面。但是，如果提供
/Q 命令行开关，该工具将以安静模式运行。

发布信息

恶意软件删除工具在每个月的第二个星期二发布。该工具的每个版本均可以帮助检测并删除当前流行的恶意软件。这些恶意软件包括病毒、蠕虫和特洛伊***。Microsoft 使用多种标准来确定恶意软件系列的流行情况以及与其相关联的损害情况。

下表列出了该工具可以删除的恶意软件。该工具还可以删除发布时已经知道的所有病毒变种。还列出了第一次提供检测和删除恶意软件系列的功能的工具版本。

该工具的每个版本都具有累积性。即，每个版本不仅帮助检测并删除新的恶意软件系列，还帮助检测并删除早期版本中涉及的所有恶意软件。每月的版本中还会涉及以前的版本检测到并删除的恶意软件的新变种。

该 Microsoft 知识库文章将使用每月发布的信息进行更新，以便相关文章的编号保持相同。文件的名称将会发生更改以反映该工具版本。例如，2005 年 1 月版的文件名是 Windows-KB890830-CHS.exe，2005 年 2 月版的文件名是 Windows-KB890830-V1.1-CHS.exe。

*严重性级别是指在以下 Microsoft 网站上出现的病毒警报严重性级别：

请注意，我们有时会更新威胁的严重性级别，以反映流行情况和其他因素的变化。

**W32/Hackdef 通常在计算机中隐藏其他可能不需要的软件。如果清理工具报告在计算机上检测到 W32/Hackdef，我们强烈建议用最新防病毒和防间谍软件程序运行一次扫描（请参阅
http://www.microsoft.com/security/spyware/whatis.aspx
(http://www.microsoft.com/security/spyware/whatis.aspx) ）。如果希望查看 W32/Hackdef 隐藏的软件，请首先打开清除工具的日志文件 (%Windir%\Debug\Mrt.log)。然后，在“Possible scanning results”部分中，找到记录从中发现 Win32/Hackdef 的文件夹的行。在同一文件夹中，您可以找到具有 .ini 文件扩展名的 Win32/Hackdef 配置文件。查看此文件以确定 Win32/Hackdef 在计算机中隐藏的软件。

该工具不会检测也不会删除上表中未列出的任何恶意软件。要扫描并删除其他恶意软件，请使用最新的防病毒产品。有关详细信息，请访问 Microsoft“保护您的计算机”网站：

回到顶端

报告组件

如果恶意软件删除工具检测到恶意软件或发现错误则会向 Microsoft 发送相关信息。发送给 Microsoft 的具体信息包括以下各项：

• 检测到的恶意软件的名称
• 恶意软件删除的结果
• 操作系统版本
• 操作系统区域设置
• 处理器体系结构
• 该工具的版本号
• 一个指示器，说明是从 Microsoft Update、Windows Update、自动更新、下载中心还是网站运行的该工具
• 匿名 GUID
• 从计算机中删除的每个恶意软件文件的路径和文件名的单向加密哈希值 (MD5)

如果在计算机上找到明显具有恶意的软件，该工具会提示您将上述信息以外的其他信息发送给 Microsoft。每次遇到这种情况时都会提示您，只有得到您的同意后才发送这些信息。这些附加信息包括：

• 被怀疑是恶意软件的文件。该工具会为您标识出这些文件。
• 检测到的任何可疑文件的单向加密哈希值 (MD5)。

您可以禁用报告功能。有关如何禁用报告组件以及如何防止该工具向 Microsoft 发送信息的信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

回到顶端

可能的扫描结果

此删除工具运行之后，它可以向用户报告以下四个主要结果：

• 未发现感染。
• 发现并删除了至少一处感染。
• 发现一处感染，但并未删除。如果在计算机上发现可疑文件，将显示此结果。要帮助删除这些文件，您应该使用最新的防病毒产品。
• 发现一处感染并已部分删除。要完成此删除，您应该使用最新的防病毒产品。

回到顶端

有关恶意软件删除工具的常见问题

• 问题 1：Microsoft 对该工具进行了数字签名吗？
  解答 1：有。
• 问题 2：日志文件包含何种类型的信息？
  解答 2：有关日志文件的信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
  891716 
  (http://support.microsoft.com/kb/891716/zh-cn/ ) 在企业环境中部署 Microsoft Windows 恶意软件删除工具
• 问题 3：可以重新分发该工具吗？
  解答 3：有。根据该工具的许可条款，可以重新分发该工具。但是，请务必重新分发该工具的最新版本。
• 问题 4：怎么才能知道我使用的是不是最新版本的工具？
  解答 4：如果您是 Windows 7、Windows Vista、Windows XP 或 Windows Server 2003 用户，请使用 Microsoft Update 或 Microsoft Update 自动更新功能来测试使用的是否是该工具的最新版本。如果您选择不使用 Microsoft Update，并且您是 Windows 7、Windows Vista、Windows XP 或 Windows Server 2003 Service Pack 1 (SP1) 用户，请使用 Windows Update。或者使用 Windows Update 自动更新功能，来测试使用的是否是该工具的最新版本。另外，您还可以访问 Microsoft 下载中心。同样，如果该工具已经过期 60 天以上，它会提醒您查找该工具的新版本。
• 问题 5：该工具的 Microsoft 知识库文章编号会随每个新版本而改变吗？
  解答 5：不会。对于该工具的未来版本，该工具的 Microsoft 知识库文件编号仍然为 890830。在从 Microsoft 下载中心下载该工具时，该工具的文件名将因各个版本而异，以反映该版本工具的发布月份和年份。
• 问题 6：有什么办法可以要求将新的恶意软件作为该工具的目标吗？
  解答 6：目前还没有任何办法。该工具所针对的恶意软件基于跟踪恶意软件的流行情况和损害情况这一标准。
• 问题 7：我可以确定该工具是否已经在计算机上运行过吗？
  解答 7：有。通过检查注册表项，可以确定该工具是否已经在计算机上运行过以及使用的最新版本是什么。 有关详细信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
  891716 
  (http://support.microsoft.com/kb/891716/zh-cn/ ) 在企业环境中部署 Microsoft Windows 恶意软件删除工具
• 问题 8：为什么我在 Microsoft Update、Windows Update 或自动更新中看不到该工具？
  解答 8：以下情形可能会阻止您在 Microsoft Update、Windows Update 或自动更新中看到该工具：
  • 在 Windows Update 或自动更新上仅为 Windows 7、Windows Vista、Windows XP 和 Windows Server 2003 SP1 用户提供该工具。
  • 如果您已经在运行该工具的当前版本（从 Windows Update、Microsoft Update 或自动更新或者从其他两种发布机制之一），则 Windows Update 或自动更新将不会再次提供该工具。
  • 如果使用自动更新，则当您第一次运行该工具时，必须以管理员组成员的身份登录并接受许可条款。
• 问题 9：Microsoft Update、Windows Update 和自动更新如何确定向谁提供该工具？
  解答 9：如果满足以下条件，将向所有的 Windows 7、Windows Vista、Windows XP 和 Windows Server 2003 用户提供该工具：
  • 用户正在运行最新版本的 Microsoft Update 或 Microsoft Update 的自动更新功能。
  • 用户尚未运行该工具的当前版本。

  如果满足以下条件，则向所有的 Windows 7、 Windows Vista、Windows XP 和 Windows Server 2003 SP1 用户提供该工具：

  • 用户未运行 Microsoft Update。
  • 用户正在运行最新版本的 Windows Update 或 Windows Update 的自动更新。
  • 用户尚未运行该工具的当前版本。
• 问题 10：当我在日志文件中查找时，该工具告知我扫描期间发现错误。我该如何解决这些错误？
  解答 10：有关这些错误的信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
  891717 
  (http://support.microsoft.com/kb/891717/zh-cn/ ) 如何解决在运行 Microsoft Windows 恶意软件删除工具时出现的错误
• 问题 11：即使某个月份没有新的安全公告也会重新发布该工具吗？
  解答 11：有。即使某个月份没有新的安全公告，也会重新发布支持对最新的流行恶意软件进行检测/删除的恶意软件删除工具。
• 问题 12：如何阻止通过 Microsoft Update、Windows Update 或自动更新向我提供该工具？
  解答 12：当 Microsoft Update、Windows Update 或自动更新第一次为您提供该恶意软件删除工具时，您可以通过拒绝许可条款来选择拒绝下载和运行该工具。该拒绝可以只针对该工具的当前版本，也可以同时针对该工具的当前版本和所有未来版本，具体取决于您的选择。如果您已经接受了许可条款但又不想通过 Windows Update 来安装该工具，请在 Windows Update 用户界面中单击与该工具相对应的复选框以将其清除。
• 问题 13：通过 Microsoft Update、Windows Update 或自动更新运行该工具后，该工具的文件存储在哪里？我可以重新运行该工具吗？
  解答 13：从 Microsoft Update 或 Windows Update 下载该工具后，它将每月仅运行一次。要在一个月中多次手动运行该工具，请从下载中心或下面的 Microsoft 网站下载该工具：
  http://www.microsoft.com/china/security/malwareremove/default.mspx
  (http://www.microsoft.com/china/security/malwareremove/default.mspx)

  若要使用 Windows Live OneCare 安全扫描程序对系统进行联机扫描，请访问以下 Microsoft 网站：

  http://onecare.live.com/site/zh-cn/default.htm
  (http://onecare.live.com/site/zh-cn/default.htm)
• 问题 14：我可以在嵌入式 Windows 计算机上运行该工具吗？
  解答 14：目前，嵌入式 Windows 计算机不支持恶意软件删除工具。
• 问题 15：运行此工具需要在计算机上安装任何安全更新吗？
  解答 15：不需要。与 Microsoft 以前推出的大多数清除工具不同，恶意软件删除工具不需要事先安装任何安全更新。但是，强烈建议您在使用该工具之前安装所有重要更新，这样有助于防止恶意软件利用安全漏洞再次进行感染。
• 问题 16：我可以使用 SUS 或 SMS 部署该工具吗？它与 MBSA 兼容吗？
  解答 16：有关如何部署该工具的信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
  891716 
  (http://support.microsoft.com/kb/891716/zh-cn/ ) 在企业环境中部署 Microsoft Windows 恶意软件删除工具
• 问题 17：要运行恶意软件删除工具，需要安装以前的清除工具吗？
  解答 17：不需要。
• 问题 18：有没有讨论该工具的新闻组？
  解答 18：有。您可以使用 microsoft.public.security.virus 新闻组。
• 问题 19：为什么在我运行该工具时出现“Windows 文件保护”窗口？
  解答 19：在某些情况下，当清除工具在系统上发现特定的病毒时，它会尝试修复受感染的 Windows 系统文件。尽管该操作是从这些文件中删除恶意软件，但是它也会触发“Windows 文件保护”功能。如果出现“Windows 文件保护”窗口，我们极力建议您按照说明操作并插入 Microsoft Windows CD。这会将已清除的文件恢复到它们在感染之前的原始状态。
• 问题 20：该工具是否推出了任何本地化版本？
  解答 20：是的，该工具通过 24 种语言提供。在 2006 年 2 月发布之前，该工具的各个本地化版本可以单独下载。从 2006 年 2 月起，该工具以多语言下载包的方式提供。因此，根据当前操作系统的语言，该工具只有一个版本可用并且只显示适当的语言。
• 问题 21：我在计算机上一个随机命名的目录中发现了 Mrtstub.exe 文件。Mrtstub.exe 文件是该工具的合法组件吗？
  解答 21：该工具确实使用名为 Mrtstub.exe 的文件来执行某些操作。如果经验证该文件由 Microsoft 签名，那它就是该工具的合法组件。
• 问题 22：MSRT 可以在安全模式下运行吗？
  解答 22：可以。如果您在运行 MSRT 之后启动计算机进入安全模式，则可以通过执行 %windir%\system32\mrt.exe 访问 MSRT。双击运行 mrt.exe 文件，然后按照屏幕上的指示进行操作。