Como fazer uma verificação offline do Microsoft Defender no Windows 11

Por que a verificação offline enxerga o que um exame normal não vê

Um exame comum do Defender roda dentro do Windows, lado a lado com todos os outros processos da máquina. O malware moderno aproveita exatamente isso: roda com os mesmos privilégios, engancha nas mesmas APIs com que um antivírus lista arquivos e simplesmente esconde o próprio corpo do escaneio. A verificação offline tira essa vantagem de casa — o PC reinicia num ambiente mínimo e confiável construído sobre o Windows RE, o Windows completo nunca carrega e a infecção nem chega a rodar. De lá o Defender lê o disco diretamente e vê tudo: registros de boot, arquivos travados, cópias camufladas.

O alvo dessa verificação é a pior categoria de ameaças: rootkits e bootkits que se ancoram por baixo do sistema em execução, e malware que se defende matando processos de antivírus à vista. Não é uma versão “mais profunda” do exame rápido: o disco é o mesmo, mas o ponto de vista fica fora do alcance da infecção. Nessa diferença está todo o sentido do reinício.

• Um exame rápido ou completo diz que o PC está limpo, mas pop-ups, página inicial sequestrada ou processos desconhecidos não somem
• A mesma ameaça reaparece no histórico de proteção depois de cada reinício, por mais que você a remova
• O próprio Defender falha: se desliga, as opções ficam cinzas, a proteção em tempo real vive caindo
• Arquivos foram criptografados ou renomeados em massa — comportamento clássico de ransomware — e a máquina precisa ser desinfetada primeiro
• O navegador redireciona as buscas e injeta anúncios embora todo exame termine limpo
• Você rodou um utilitário gratuito duvidoso como administrador e quer certeza de que nada se instalou

Como iniciar a verificação

Abra a Segurança do Windows — Configurações → Privacidade e segurança → Segurança do Windows, ou digite segurança do windows no menu Iniciar — e vá em “Proteção contra vírus e ameaças” → “Opções de exame”. Role até “Verificação offline do Microsoft Defender”, marque-a e clique em “Examinar agora”; espere o pedido de confirmação do UAC. Antes disso, salve seu trabalho e conecte o notebook na tomada: o PC reinicia na hora, mostra uma tela de progresso do Defender por uns 15 minutos e volta sozinho para a tela de bloqueio. Não segure o botão de ligar durante o exame — isso não danifica seus arquivos, mas você terá de começar de novo.

O caminho pela linha de comando faz o mesmo: um PowerShell elevado com o comando Start-MpWDOScan agenda a verificação offline e reinicia a máquina. Se houver um antivírus de terceiros instalado e ativo, o Defender entra em modo passivo e a opção offline some da lista. Isso é comportamento esperado, não um bug — e vale igualmente para todas as opções de exame do Defender.

Depois do reinício: lendo o resultado

Terminado o exame, o PC reinicia no Windows e mostra um resumo do que foi encontrado; os detalhes ficam em “Proteção contra vírus e ameaças” → “Histórico de proteção”. Se algo foi detectado e removido, trate como o começo da limpeza, não o fim: desinstale os programas que trouxeram a infecção, revise extensões e página inicial do navegador, veja o que inicia junto com o sistema. Como malware que rodou com direitos de administrador pode ter tocado arquivos do sistema, um sfc /scannow de conferência custa quase nada.

Agendar verificações offline de rotina não tem cabimento: custam um reinício e um quarto de hora. Dispare uma sob suspeita: comportamento estranho somado a um exame normal “limpo” é exatamente o caso para o qual essa ferramenta existe. Antes de começar, atualize as definições do Defender (“Proteção contra vírus e ameaças” → “Atualizações de proteção contra vírus e ameaças” → “Verificar se há atualizações”) para que o passe offline trabalhe com bases frescas.

Perguntas e respostas

Continue lendo

Todos os artigos · FAQ