Sapere chi ha modificato file e registro su Windows

Documenti spariti o impostazioni di sistema cambiate a tua insaputa. Impariamo ad attivare i sensori per scovare chi tocca i tuoi dati su Windows

Avete presente quando aprite una cartella e vi accorgete che un file importante è sparito, o peggio, che qualcuno ha modificato un documento che doveva restare intatto? Oppure quando accendete il PC e notate che la pagina iniziale del browser è cambiata da sola o sono apparse impostazioni che non avete mai toccato. In quei momenti la prima cosa che pensiamo è: "Ma chi è stato?". Windows, purtroppo, è molto silenzioso su queste cose. Non vi manda una notifica per dirvi che l'utente X ha cancellato un file o che un programma ha riscritto una riga nel registro di sistema.

Spesso diamo la colpa a un virus, ma la realtà è che molte volte si tratta di un software un po' troppo invadente che fa i suoi comodi in background, o semplicemente di un collega o un familiare che ha spostato qualcosa per errore. Per smettere di tirare a indovinare e trovare il colpevole, dobbiamo trasformare il computer in un detective e attivare dei sensori che registrino ogni singolo movimento sul disco fisso.

Il radar per i file: monitoraggio in tempo reale

La necessità più comune è capire cosa succede a una cartella proprio mentre accade. Per questo servono strumenti che non si limitino a fare una scansione ogni tanto, ma che "ascoltino" il sistema operativo.

L'opzione più rapida è FolderChangesView. È un programmino minuscolo che non va installato: lo aprite, scegliete la cartella da sorvegliare e lui inizia a registrare tutto. Se un file viene rinominato o cancellato, compare subito una riga con l'orario e il nome del processo (il file .exe) che ha fatto l'operazione. Se notate che un file ha un numero di modifiche che cresce a vista d'occhio, avete beccato un software che sta scrivendo dati in modo ossessivo.

Se invece non potete stare a guardare lo schermo e volete che sia il PC a svegliarvi, allora serve Directory Monitor. Mentre il primo è un registro silenzioso, questo è un vero campanello d'allarme: vi manda un popup o emette un suono non appena qualcuno mette un file in una cartella condivisa o finisce un download. È lo strumento perfetto per chi deve monitorare cartelle di scambio in ufficio.

Scovare chi sporca il Registro di sistema

Il Registro di sistema è come il libro delle istruzioni di Windows. Se un malware vuole avviare un programma ogni volta che accendete il PC, scrive una riga proprio qui. Sorvegliare questa zona è difficile perché avvengono migliaia di modifiche al secondo. In questo caso, la tecnica migliore è la "fotografia" (lo Snapshot): scattate un'immagine del registro, fate l'operazione sospetta e poi confrontate le due immagini.

Per farlo, RegistryChangesView è l'ideale. Vi permette di salvare lo stato attuale, installare un programma e poi vedere esattamente quali righe sono state aggiunte o cancellate. Se preferite un'alternativa storica e open source, potete usare RegShot; ha un'interfaccia datata, ma genera report in HTML molto chiari, utilissimi se dovete mandare l'analisi a un tecnico per chiedere aiuto.

Se invece volete capire dove un singolo programma salva le sue preferenze (magari per copiarle su un altro PC senza rifare tutto a mano), usate RegFromApp. Questo tool si concentra su un solo processo e scrive in tempo reale un file .reg con tutte le modifiche fatte da quel software specifico.

L'artiglieria pesante: Process Monitor e Sysmon

Quando i metodi precedenti non bastano, magari perché un file viene creato e cancellato in un millisecondo, serve l'arma definitiva: Process Monitor (ProcMon). Questo strumento di Microsoft cattura tutto: accessi al registro, file, rete e processi.

Il problema è che genera una montagna di dati che farebbe impazzire chiunque. Qui la rotta di Navigaweb suggerisce di usare i tasti rapidi per non annegare:

Appena lanciato, premete CTRL+E per fermare la cattura e non intasare la RAM.
Premete CTRL+L per aprire i filtri.
Impostate una regola (esempio: Path contains nome_file -> Include).
Riavviate la cattura con CTRL+E.

Ora vedrete apparire solo i processi che toccano quel file specifico. È il metodo infallibile per risolvere gli errori di "Accesso Negato".

Se invece cercate una sorveglianza che resti attiva anche dopo il riavvio del PC, passate a Sysmon. Non ha una finestra con i grafici, ma lavora come un servizio invisibile nel cuore di Windows. Registra tutto nel Visualizzatore Eventi e viene usato dai professionisti della sicurezza per scovare malware che cercano di nascondersi nel sistema.

Usare le spie integrate di Windows (Senza installare nulla)

Se siete su un PC aziendale e non potete scaricare programmi, Windows ha un sistema di sorveglianza interno chiamato Audit Policy. È una procedura per utenti avanzati che richiede la versione Pro di Windows.

Premete Windows + R, scrivete gpedit.msc e andate in Configurazione computer > Impostazioni di Windows > Impostazioni sicurezza > Criteri locali > Criteri controllo. Attivate la voce Controlla accesso agli oggetti per successi e fallimenti.

Ora dovete dire a Windows cosa guardare: cliccate col tasto destro sulla cartella "sospetta", andate in Proprietà, poi Sicurezza, Avanzate e infine nella scheda Controllo. Aggiungete l'utente Everyone (Tutti) e spuntate la casella per tracciare chi elimina o modifica i file. Da questo momento, ogni azione finirà nel Visualizzatore Eventi (Evento 4663), con l'ora esatta e l'account responsabile.

Cose da sapere per non fare danni

Quando si inizia a spiare il sistema, ci sono alcuni dettagli che possono salvare i vostri nervi e le prestazioni del PC.

La trappola della RAM: Programmi come Process Monitor caricano tutto in memoria. Se lo lasciate aperto per ore, il PC diventerà lentissimo. Usatelo, trovate il colpevole e chiudetelo subito.
File su rete o NAS: Se i file spariscono da un server o un NAS, i programmi installati sul vostro PC non servono a nulla. Dovete attivare i log direttamente nel pannello di controllo del NAS (solitamente sotto "Log connessioni").
Permessi di Amministratore: Per usare questi strumenti dovete essere l'Amministratore del PC. Un utente standard non ha i permessi per spiare gli altri processi.
I falsi colpevoli: Non spaventatevi se vedete processi strani. Spesso i "ladri" di file sono programmi di pulizia automatica o l'antivirus che sposta un file sospetto in quarantena.

diario di bordo di Navigaweb

Ho passato anni a pulire PC infettati e a cercare di capire come certi programmi riuscissero a resistere anche dopo la disinstallazione. La lezione più importante che ho imparato è che Windows è un libro aperto, ma solo se sai dove guardare. Però, vi do un consiglio spassionato: non trasformate il vostro PC in un centro di sorveglianza h24. Anni fa attivai il tracciamento di ogni singolo accesso ai file su un intero disco fisso per trovare un documento sparito; mi dimenticai di spegnerlo e dopo un mese il computer era diventato un bradipo perché Windows passava più tempo a scrivere i log che a far girare i programmi. Usate questi strumenti come un bisturi: precisi, veloci e solo quando serve davvero.