Dopo la rimozione del malware: riparare i danni lasciati dall'infezione

L'infezione è sparita, i danni no

Gli antivirus sono costruiti per neutralizzare codice, non per annullare modifiche alla configurazione, ed è esattamente in quel vuoto che vivono i sintomi post-infezione. I classici: un server proxy o un DNS alterato sopravvissuti alla disinfezione, un file hosts pieno di reindirizzamenti e un motore di ricerca che non torna indietro perché il malware ha scritto nel registro le chiavi dei criteri del browser. Aggiungete attività pianificate e voci Run che riscaricano il payload, associazioni di file dirottate in silenzio verso l'adware: a quel punto le scansioni «pulite» sembrano un dettaglio tecnico. Sono proprio quelle tubature rotte a tenere in vita i sintomi per giorni, anche quando ogni motore ha già dato via libera.

C'è poi un secondo tipo di danno che nessuno scanner segnala: i dati. Gli infostealer aspirano gli archivi delle password del browser, i cookie di sessione e i portafogli crypto ben prima che la rimozione avvenga, quindi la rotazione delle password è parte della riparazione, non un ripensamento. Partite dal presupposto che ogni segreto salvato nel browser sia ormai nel database di qualcun altro. I PC usati per home banking, lavoro o condivisi in famiglia meritano una valutazione onesta della strada della reinstallazione completa.

L'ordine di riparazione che funziona

Lavorate dalla rete verso l'interno, perché una connessione ancora dirottata reinfetta più in fretta di quanto riusciate a riparare. Ogni passo qui sotto richiede minuti e, insieme, rimuovono la grandissima parte dei meccanismi di persistenza che sopravvivono a una disinfezione standard. Fateli in ordine: alcuni hanno senso solo dopo quelli precedenti. Create prima un punto di ripristino, così potrete annullare anche le vostre riparazioni, non solo quelle del malware.

• Reset della rete: proxy disattivato, DNS di nuovo automatico, poi netsh winsock reset e ipconfig /flushdns
• Aprite C:\Windows\System32\drivers\etc\hosts ed eliminate tutto ciò che non è un commento
• Eliminate i criteri illegittimi del browser sotto HKLM\SOFTWARE\Policies (chiavi di Chrome, Edge, Firefox)
• Controllate Utilità di pianificazione e le chiavi Run in HKCU/HKLM per voci che riscaricano payload
• Rimuovete le estensioni sconosciute e reimpostate il motore di ricerca in ogni browser e profilo
• Cambiate le password esposte da una macchina pulita, a partire da email e banca

Fidarsi è bene: le due settimane di osservazione

Dopo la riparazione verificate che Windows Update e Microsoft Store funzionino davvero: gli update rotti sono la ferita permanente più comune, e DISM /Online /Cleanup-Image /RestoreHealth seguito da sfc /scannow ne guarisce la maggior parte. Quando il PC si comporta bene, create un punto di ripristino fresco e concedetegli due settimane di attenzione: avvio lento, popup di ritorno o un browser che ripristina da solo le proprie impostazioni sono tutti motivi per smettere di rattoppare e reinstallare. Per le macchine che hanno ospitato infostealer, valutate seriamente la via della reinstallazione o del reimage: è l'unica riparazione con garanzia. Una passata finale sulla zavorra del dropper (toolbar, «aggiorna driver», falsi pulitori) chiude il caso, e uno strumento che mappa i residui come Kleaner PRO trova quei resti più in fretta di una caccia manuale in AppData.

Domande e risposte

Da leggere dopo