Come eseguire un'analisi offline di Microsoft Defender in Windows 11

Perché l'analisi offline vede ciò che sfugge alle analisi normali

Un'analisi normale di Defender gira dentro Windows, fianco a fianco con tutti gli altri processi della macchina. Il malware moderno conta esattamente su questo: gira con gli stessi privilegi, aggancia le stesse API che l'antivirus usa per elencare i file e semplicemente nasconde il proprio corpo alla scansione. L'analisi offline toglie questo vantaggio casalingo: il PC si riavvia in un ambiente minimale e attendibile costruito su Windows RE, il Windows completo non viene mai caricato e l'infezione non ha modo di partire. Da lì Defender legge il disco direttamente e vede tutto: record di avvio, file bloccati, copie camuffate.

Questa analisi punta alla categoria più cattiva di minacce: rootkit e bootkit che si ancorano sotto il sistema in esecuzione, e malware autodifensivi che uccidono a vista i processi dell'antivirus. Non è una versione «più profonda» dell'analisi rapida: il disco è lo stesso, ma il punto di osservazione è uno che l'infezione non può raggiungere. Questa differenza è l'intero senso del riavvio.

• L'analisi rapida o completa dà esito pulito, ma pop-up, homepage dirottata e processi sconosciuti continuano a tornare
• La stessa minaccia ricompare nella Cronologia della protezione dopo ogni riavvio, per quante volte la si rimuova
• È Defender stesso a dare i numeri: si spegne da solo, le sue opzioni sono disattivate, la protezione in tempo reale continua a morire
• File cifrati o rinominati in massa — il classico comportamento del ransomware — e la macchina va prima disinfettata
• Il browser reindirizza le ricerche e inietta pubblicità anche se ogni analisi risulta pulita
• Hai eseguito da amministratore un'utilità gratuita poco raccomandabile e vuoi la certezza che non abbia lasciato nulla dentro

Come avviare l'analisi

Apri Sicurezza di Windows — Impostazioni → Privacy e sicurezza → Sicurezza di Windows, oppure digita sicurezza di windows in Start — e vai su Protezione da virus e minacce → Opzioni di analisi. Scorri fino ad Analisi offline di Microsoft Defender, selezionala e premi Analizza ora; aspettati la conferma UAC. Prima salva il lavoro e collega il laptop alla corrente: il PC si riavvia subito, mostra per una quindicina di minuti la schermata di avanzamento di Defender e torna da solo alla schermata di blocco. Non tenere premuto il pulsante di accensione durante l'analisi: interromperla non danneggia i tuoi file, ma dovrai ricominciare da capo.

La via della riga di comando fa lo stesso lavoro: un PowerShell elevato che esegue Start-MpWDOScan pianifica l'analisi offline e riavvia la macchina. Se è installato e attivo un antivirus di terze parti, Defender passa in modalità passiva e l'opzione offline sparisce dall'elenco. È un comportamento previsto, non un bug, e vale allo stesso modo per tutte le opzioni di analisi di Defender.

Dopo il riavvio: leggere i risultati

Al termine l'analisi il PC si riavvia in Windows e mostra un riepilogo di quanto trovato; i dettagli restano in Protezione da virus e minacce → Cronologia della protezione. Se qualcosa è stato rilevato e rimosso, consideralo l'inizio della pulizia, non la fine: disinstalla i programmi che hanno portato dentro l'infezione, controlla estensioni del browser e impostazioni della homepage e verifica cosa parte all'avvio. Un malware girato con diritti di amministratore può aver toccato file di sistema, quindi un controllo successivo con sfc /scannow costa poco e toglie il dubbio.

Non c'è motivo di mettere in calendario le analisi offline: costano un riavvio e un quarto d'ora. Avviale invece al sospetto: comportamenti strani uniti a un'analisi normale pulita sono esattamente il caso per cui questo strumento è stato costruito. Prima di partire, aggiorna le definizioni di Defender (Protezione da virus e minacce → Aggiornamenti della protezione → Verifica disponibilità aggiornamenti), così il passaggio offline lavora con firme fresche.

Domande e risposte

Da leggere dopo

Tutti gli articoli · FAQ