Restauração do Sistema não remove vírus — o mito que deixa o PC infectado

O que a Restauração do Sistema realmente captura — e o que nunca toca

Um ponto de restauração é um retrato do registro do Windows, dos arquivos de sistema e dos drivers: algumas centenas de megabytes geridas pelos pontos de sombra de volume, criados antes de atualizações, drivers e certas instalações. Seus documentos, downloads, perfis de navegador e praticamente tudo dentro do seu perfil de usuário ficam de fora por projeto. E é exatamente aí que o malware moderno mora: launchers em AppData, scripts em Temp, atalhos maliciosos na pasta de Inicializar, extensões de navegador sequestradas. Restaure o sistema, e cada uma dessas cargas acorda no instante em que a área de trabalho aparece.

O mecanismo corta nos dois sentidos. Pontos de restauração podem conter arquivos de sistema infectados de antes de você desconfiar de qualquer coisa, então um rollback pode ressuscitar um trojan que você já tinha limpo. E famílias inteiras — ladrões de senha e ransomware em particular — desativam a Restauração do Sistema ou apagam os pontos de sombra existentes como um dos primeiros movimentos: numa máquina realmente infectada, a ferramenta em que você confiava pode simplesmente já não existir.

A armadilha de segurança do rollback que ninguém comenta

Mesmo quando o rollback alcança a infecção — bootkits e droppers de driver antigos de fato viviam dentro do alcance do retrato — ele reabre o buraco por onde o malware entrou. Volte antes de uma atualização cumulativa e você estará executando código que a Microsoft corrigiu semanas atrás, numa máquina que o atacante já conhece de cor. Enquanto isso, o ladrão de senhas que veio no pacote continuou exfiltrando credenciais enquanto você experimentava. Tratar a Restauração do Sistema como antivírus não apenas não limpa nada: entrega ao atacante persistência e tempo de graça.

O que realmente remove uma infecção

A ordem que funciona é sem graça: dê boot no Microsoft Defender Offline ou em outro scanner de resgate para que o malware não esteja rodando durante a análise; remova depois a persistência — pasta de Inicializar, tarefas no Agendador de Tarefas, chaves Run do registro — com uma ferramenta de verdade; e instale todas as atualizações pendentes antes de voltar a confiar na máquina. A Restauração do Sistema tem outro ofício: desfazer um driver ruim ou uma atualização que quebrou o boot, onde o rollback é rápido e apropriado. Para qualquer coisa que tenha vazado dados — stealers, keyloggers, ransomware — a única limpeza honesta é uma instalação limpa mais troca de todas as senhas a partir de outro dispositivo, porque nenhum limpador do mundo desfaz o roubo de uma senha.

• Rode uma varredura offline pela Segurança do Windows: o Microsoft Defender Offline reinicia num ambiente limpo onde nada se esconde na memória
• Depois revise os pontos clássicos de persistência: pasta Inicializar, Agendador de Tarefas, chaves Run do registro
• Redefina atalhos e perfis do navegador: hijackers e stealers moram ali e sobrevivem a qualquer rollback do sistema
• Instale todas as atualizações pendentes logo depois da limpeza, para fechar de verdade o buraco original
• Diante de stealers ou ransomware, aceite a perda: salve os arquivos, instalação limpa, troque todas as senhas em outro dispositivo
• Deixe os pontos de restauração para o trabalho deles — desfazer drivers e atualizações ruins — e não para desinfetar

Perguntas e respostas

Continue lendo