Quando un malware impedisce l’avvio di Windows, apre finestre in continuazione o blocca l’antivirus, una scansione eseguita all’interno del sistema operativo può non essere sufficiente. Alcune minacce si avviano insieme a Windows, modificano i processi di sicurezza o si nascondono mentre il sistema è in funzione. In questi casi è utile analizzare il computer da un ambiente esterno, prima che Windows e il malware vengano caricati.

La soluzione più semplice, sui PC compatibili, è Microsoft Defender Offline. Lo strumento avvia il computer in un ambiente di ripristino separato ed esegue una scansione prima del normale caricamento di Windows. Se il PC non riesce ad avviarsi oppure Defender Offline non è disponibile, si può utilizzare un supporto USB avviabile creato con un antivirus affidabile e aggiornato.

Prima di iniziare: sicurezza e preparazione

Se il computer è ancora utilizzabile, scollegarlo da Internet riduce la possibilità che il malware comunichi con un server remoto, scarichi altri componenti o invii dati. Disattivare il Wi-Fi dal relativo interruttore, se presente, oppure scollegare il cavo di rete. Non collegare al PC chiavette USB o dischi esterni non necessari: potrebbero contenere altri file infetti.

Da un altro dispositivo sicuro, cambiare le password più importanti, soprattutto se il computer compromesso è stato usato per accedere a posta elettronica, home banking, social network o servizi di lavoro. È preferibile eseguire questa operazione da uno smartphone o da un PC affidabile, attivando l’autenticazione a due fattori quando disponibile. Se si sospetta un ransomware, non cancellare o modificare i file criptati: potrebbero servire per un’analisi successiva.

La scansione offline può rimuovere una minaccia, ma non garantisce il recupero di tutti i file né ripristina automaticamente le modifiche già apportate dal malware. Prima di intervenire, evitare di formattare il disco o reinstallare Windows se sono necessari dati che non sono stati ancora salvati.

Avviare Microsoft Defender Offline da Windows

Se Windows si avvia almeno parzialmente, il metodo integrato è generalmente il più rapido. Aprire la sicurezza di Windows dal menu Start e selezionare la sezione relativa alla protezione da virus e minacce. Nell’area delle opzioni di analisi scegliere Microsoft Defender Offline, quindi avviare la scansione.

Windows mostrerà un avviso perché il computer verrà riavviato. Chiudere i programmi, salvare il lavoro e confermare soltanto quando tutti i documenti importanti sono stati messi al sicuro. Durante il riavvio comparirà un ambiente di sistema separato, nel quale Defender eseguirà l’analisi senza caricare normalmente il desktop e i programmi di avvio. Il computer potrà riavviarsi più volte o mostrare una schermata diversa da quella abituale: non spegnerlo mentre la scansione è in corso.

Al termine, Windows dovrebbe avviarsi di nuovo e il risultato sarà consultabile nella sicurezza di Windows, nell’area della cronologia della protezione. Se viene rilevata una minaccia, seguire l’azione consigliata, normalmente la messa in quarantena o la rimozione. Non ripristinare manualmente un file segnalato soltanto perché sembra appartenere a un programma conosciuto: i falsi positivi sono possibili, ma un file infetto può avere un nome legittimo.

Se l’opzione non compare, aggiornare Windows e le definizioni di sicurezza quando possibile, quindi riprovare. La disponibilità e il percorso delle voci possono variare in base all’edizione e alla versione di Windows. Anche criteri aziendali, software di sicurezza di terze parti o problemi dell’ambiente di ripristino possono impedire l’avvio di Defender Offline.

Se Windows non parte: usare un antivirus avviabile da USB

Quando il sistema non arriva al desktop, è possibile creare un supporto di soccorso utilizzando un altro computer non infetto. Molti produttori di antivirus offrono immagini avviabili, spesso in formato ISO, progettate per l’analisi offline. Scaricare il file esclusivamente dal sito ufficiale del produttore e seguire le istruzioni relative alla versione più recente disponibile.

Serve una chiavetta USB vuota, perché la procedura di creazione normalmente cancella il suo contenuto. Collegarla al computer sicuro, usare lo strumento indicato dal produttore per scrivere l’immagine sulla chiavetta e attendere il completamento. Non copiare semplicemente il file ISO come se fosse un documento: il supporto deve essere reso avviabile attraverso l’apposita procedura.

Inserire quindi la chiavetta nel PC problematico e accenderlo. Per scegliere il dispositivo di avvio occorre aprire il menu di boot, il cui tasto varia a seconda del produttore e del modello; spesso viene indicato brevemente sullo schermo durante l’accensione. In alternativa si può modificare l’ordine di avvio nel firmware UEFI, ma è meglio usare il menu temporaneo quando disponibile, così da non alterare stabilmente la configurazione.

Una volta avviato l’ambiente dell’antivirus, collegare il computer a Internet soltanto se il programma lo richiede per aggiornare le definizioni e se la rete è affidabile. Gli aggiornamenti prima della scansione sono importanti perché permettono di riconoscere minacce più recenti. Se il supporto non riesce ad avviarsi, verificare la compatibilità con UEFI e Secure Boot seguendo le indicazioni del produttore; non disattivare impostazioni di sicurezza senza una ragione precisa e senza sapere come ripristinarle.

Come interpretare il risultato della scansione

Una scansione offline può individuare eseguibili malevoli, componenti persistenti e modifiche che non sono facilmente analizzabili mentre Windows è attivo. Tuttavia, un risultato pulito non dimostra con certezza che il computer sia integro. Il malware potrebbe non essere riconosciuto, trovarsi in un’area non accessibile allo strumento utilizzato oppure avere già danneggiato il sistema senza lasciare un file rilevabile.

Dopo la rimozione, avviare Windows e installare gli aggiornamenti disponibili per il sistema operativo, il browser e i programmi più importanti. Eseguire anche una scansione completa con la sicurezza di Windows o con l’antivirus scelto, evitando di installare più antivirus con protezione in tempo reale contemporaneamente: possono entrare in conflitto e ridurre l’affidabilità dei controlli.

Controllare inoltre le applicazioni installate, le estensioni del browser e i programmi configurati per l’avvio automatico. Rimuovere soltanto elementi riconosciuti con certezza come indesiderati. Se il computer continua a mostrare comportamenti anomali, compaiono nuovi account amministratore, vengono disattivati gli strumenti di sicurezza o sono coinvolti dati sensibili, è prudente rivolgersi a un tecnico qualificato e valutare una reinstallazione completa di Windows dopo aver salvato i dati in modo sicuro.

Errori da evitare durante il recupero

Non eseguire la scansione da una copia di Windows già compromessa se il malware blocca l’antivirus o impedisce l’accesso agli strumenti di sicurezza. Non scaricare immagini ISO o “tool di rimozione” da forum, siti di download generici o collegamenti ricevuti via email. Un falso supporto di emergenza può contenere proprio il malware che si intende eliminare.

Non interrompere la scansione spegnendo il PC, non cancellare manualmente file di sistema e non disattivare il firmware di sicurezza senza necessità. Se il disco è protetto con BitLocker o con un’altra tecnologia di cifratura, il sistema potrebbe richiedere la chiave di ripristino quando si accede all’unità da un ambiente esterno. Conservare questa chiave in un luogo sicuro prima che si verifichi un problema: senza di essa, il recupero dei dati può diventare molto difficile.

La scansione offline è quindi uno strumento di contenimento, non un sostituto del backup. Un backup regolare, scollegato dal computer quando non viene utilizzato o protetto da versioni precedenti, limita i danni anche nel caso in cui il malware riesca a superare i controlli.