Cosa fotografa davvero il Ripristino — e cosa non tocca mai
Un punto di ripristino è un'istantanea del registro di Windows, dei file di sistema e dei driver — qualche centinaio di megabyte gestiti dalla Copia Shadow del volume, creata prima di aggiornamenti, installazioni di driver e alcuni setup di applicazioni. Esclude deliberatamente documenti, download, profili browser e praticamente tutto ciò che sta sotto la cartella del profilo utente. E il malware moderno abita esattamente lì: launcher in AppData, script in Temp, collegamenti malevoli nella cartella Esecuzione automatica, estensioni dirottate. Riporti indietro il sistema, e ognuno di quei payload si sveglia nell'istante in cui compare il desktop.
Il meccanismo taglia anche nell'altra direzione. I punti di ripristino possono contenere file di sistema infetti risalenti a quando non sospettavi nulla, quindi un rollback può resuscitare un trojan che avevi già ripulito. E un'intera gamma di famiglie — gli stealer e i ransomware in particolare — disabilita il Ripristino o cancella le copie shadow esistenti tra le prime mosse, quindi su una macchina davvero infetta lo strumento su cui contavi potrebbe essere già sparito.
La trappola del rollback di sicurezza di cui nessuno avvisa
Anche quando un rollback raggiunge davvero l'infezione — i vecchi bootkit e i dropper di driver vivevano sì nel perimetro dell'istantanea — riapre il buco da cui è entrato il malware. Torni indietro oltre un aggiornamento cumulativo e ti ritrovi a eseguire codice che Microsoft aveva patchato settimane prima, su una macchina che l'attaccante conosce ormai a menadito. Nel frattempo lo stealer di password arrivato in dotazione conserva tutte le credenziali esfiltrate mentre tu sperimentavi. Trattare il Ripristino come antivirus non si limita a non pulire: regala all'attaccante sia la persistenza sia tempo.
Cosa rimuove davvero un'infezione
L'ordine che funziona è noioso: avvia in Microsoft Defender Offline o con un altro scanner di salvataggio, così il malware non è in esecuzione mentre lo scansioni; poi rimuovi la persistenza — cartella Esecuzione automatica, attività di Utilità di pianificazione, chiavi Run — con uno strumento vero; poi installa ogni aggiornamento in sospeso prima di tornare a fidarti della macchina. Il Ripristino appartiene a un lavoro completamente diverso: annullare un driver sbagliato o un aggiornamento che ha rotto l'avvio, dove il rollback è rapido e appropriato. Per tutto ciò che ha esfiltrato dati — stealer, keylogger, ransomware — l'unica pulizia onesta è un'installazione pulita più la rotazione delle password da un altro dispositivo, perché nessun cleaner al mondo può annullare la fuga di una password.
- Esegui una scansione offline da Sicurezza di Windows: Microsoft Defender Offline riavvia in un ambiente pulito dove nulla può nascondersi in memoria
- Dopo, controlla i punti classici di persistenza — cartella Esecuzione automatica, Utilità di pianificazione, chiavi Run del registro
- Ripristina collegamenti e profili dei browser: hijacker e stealer vivono lì e sopravvivono a qualsiasi rollback di sistema
- Installa subito dopo la pulizia tutti gli aggiornamenti in sospeso, così il buco originale è davvero chiuso
- Con stealer o ransomware accetta la perdita: salva i file, installazione pulita, cambia ogni password da un dispositivo diverso
- Tieni i punti di ripristino per il loro vero lavoro — annullare driver e aggiornamenti sbagliati — non per disinfettare
Domande e risposte
Il Ripristino configurazione di sistema rimuove virus e malware?
No. Riporta indietro solo registro, file di sistema e driver; il malware nascosto nelle cartelle utente, nell'avvio automatico e nei profili browser sopravvive al rollback senza un graffio.
Va bene usare il Ripristino di sistema dopo un'infezione?
Solo come riparazione dell'avvio se il sistema non parte — mai come fase di pulizia. Prima scansione offline, rimozione della persistenza e aggiornamenti; con malware che rubano dati, prepara un'installazione pulita.
Scopri cosa include la licenza prima dell'acquisto.
La prova singola di 30 minuti include gli strumenti essenziali. Le funzioni PRO restano bloccate finché non attivi una licenza a pagamento.
Da leggere dopo
Scrivici: [email protected]