Usare RKill per sbloccare l'antivirus e chiudere i malware

Proviamo ad avviare l'antivirus o a scaricare uno strumento di sicurezza, ma il file di installazione si chiude da solo o restituisce un errore di autorizzazione negata. Molti malware attivi nella memoria RAM intercettano i nomi dei software difensivi e bloccano il registro di sistema per impedire qualsiasi tentativo di bonifica.

In queste situazioni lanciare un programma di scansione tradizionale risulta impossibile. Prima di procedere alla rimozione dei file sul disco occorre disarmare il codice ostile in esecuzione: questo è il compito specifico di RKill, un'utility sviluppata per terminare i processi malevoli attivi nella memoria volatile e ripristinare i criteri di sistema alterati.

LEGGI ANCHE: Pulire il pc da virus (e impedire altre infezioni in futuro)

Come agisce RKill sulla memoria e sul registro

RKill non è un antivirus e non elimina file dal disco fisso. Non possiede un motore di scansione euristica per cancellare archivi infetti né include una cartella di quarantena. Il suo compito è unicamente preparatorio:

• Arresto dei processi malevoli in memoria. Scansiona la memoria RAM e termina l'esecuzione di trojan, moduli spia e script di blocco prima che possano intercettare le azioni dell'utente.
• Rimozione dei dirottamenti IFEO. I codici ostili manipolano la chiave di registro Image File Execution Options associando ai nomi dei principali antivirus un'istruzione di chiusura automatica. RKill elimina queste direttive consentendo nuovamente l'avvio regolare dei programmi di sicurezza.
• Ripristino delle associazioni dei file eseguibili. Quando l'infezione impedisce l'apertura di qualsiasi file con estensione .exe, RKill corregge le chiavi di registro corrotte riallineando i gestori di sistema predefiniti.
• Correzione della shell di avvio di Windows. Se all'accesso compare un desktop nero senza icone, il programma ripristina la stringa explorer.exe nella chiave Winlogon\Shell, cancellando i percorsi malevoli inseriti al posto dell'interfaccia grafica.

RKill si comporta come una chiave che riapre la porta di casa bloccata dall'interno: interrompe l'azione difensiva del virus e consente ai veri motori di scansione di entrare nel sistema per cancellare i file nocivi dal disco.

Il trucco delle estensioni COM e SCR contro i blocchi

I virus più evoluti impediscono il download di qualsiasi pacchetto denominato rkill.exe e bloccano l'esecuzione di tutti i file eseguibili del computer. Per aggirare questo ostacolo, gli sviluppatori del portale BleepingComputer distribuiscono copie del programma con estensioni differenti:

• RKill.com. Sfrutta l'estensione dei comandi storici MS-DOS. Windows riconosce il file come eseguibile valido e lo avvia anche quando tutti i normali file con estensione .exe risultano congelati dal virus.
• RKill.scr. Utilizza il formato tipico degli screensaver di sistema. Permette di oltrepassare i filtri di sicurezza che controllano unicamente gli applicativi tradizionali.
• Versioni rinominate (iExplore.exe, eXplorer.exe, uSeRiNiT.exe). Si camuffano dietro i nomi dei componenti di sistema per ingannare i controlli dei trojan che sorvegliano la tabella dei processi.

Se il computer bloccato impedisce la navigazione, la rotta di Navigaweb suggerisce di scaricare RKill.com da un computer funzionante salvandolo su una chiavetta USB: trattandosi di un formato speciale, bypassa all'istante il sabotaggio delle associazioni dei file e permette di avviare la riparazione al primo tentativo.

Sui computer recenti con Windows 11 la tecnologia SmartScreen o il Controllo app intelligente potrebbero visualizzare una schermata di avviso. Per procedere facciamo clic con il tasto destro sul file scaricato, selezioniamo Proprietà, spuntiamo la casella Annulla blocco in basso a destra e confermiamo con il pulsante Applica. In alternativa premiamo sulla voce Ulteriori informazioni e successivamente sul pulsante Esegui comunque.

Procedura di esecuzione e la regola del mancato riavvio

I passaggi operativi richiedono un ordine cronologico rigoroso per non vanificare l'intervento:

1. Copiamo l'eseguibile sulla scrivania del computer infetto.
2. Facciamo clic destro sull'icona e scegliamo il comando Esegui come amministratore.
3. Si aprirà una console a riga di comando che elencherà i servizi e i registri controllati. La scansione dura mediamente due minuti.
4. Al termine delle operazioni verrà generato sul desktop un file di testo denominato RKill.txt che riporta i processi terminati e le modifiche applicate al registro.

Se la finestra si chiude improvvisamente prima di terminare la scansione, significa che il virus è riuscito ad abbatterla: tentiamo l'esecuzione per tre volte consecutive oppure proviamo la versione con estensione .com o .scr.

Una volta conclusa l'operazione entra in vigore la regola fondamentale: non riavviare il computer per nessun motivo. RKill ha unicamente sospeso il malware nella memoria RAM, ma i file infetti risiedono ancora sul disco fisso pronti a ripartire al boot successivo. Riavviare la macchina vanificherebbe il lavoro svolto, riportando l'infezione allo stato di partenza.

Con i processi dannosi congelati, lanciamo immediatamente l'installazione di un antimalware completo come Malwarebytes oppure avviamo la scansione mirata con AdwCleaner per eliminare adware e modifiche ai browser. Solo dopo che l'antivirus avrà completato la quarantena e cancellato i file dal disco potremo riavviare il computer in sicurezza.

Strumenti alternativi quando il blocco persiste

Nelle infezioni complesse il malware può difendersi tramite driver a livello kernel capaci di resistere alle normali chiamate di terminazione.

In questi scenari l'alternativa diretta più solida è RogueKiller. A differenza di RKill, questo programma integra un proprio driver di sistema che elude i blocchi del malware, analizza i file correlati e combina la chiusura dei processi all'eliminazione fisica delle minacce e al ripristino dei server DNS.

Chi desidera intervenire manualmente può aprire Process Explorer. Questo strumento mostra l'albero completo dei processi attivi e permette di verificare l'impronta hash di ogni riga su VirusTotal con un solo clic, individuando l'eseguibile responsabile del blocco per terminarlo singolarmente.

Per situazioni di compromissione totale in cui molteplici script impediscono qualsiasi azione, possiamo valutare Tron Script. Si tratta di un pacchetto automatizzato avanzato che concatena in sequenza decine di strumenti di disinfezione (inclusi RKill, motori antivirus e pulitori di sistema), eseguendo una bonifica profonda che richiede diverse ore di lavoro continuo.

Accorgimenti operativi per evitare il ripristino dell'infezione

I comportamenti da tenere a mente durante la fase di disinfezione:

• I falsi positivi nel file di resoconto. Il documento testuale generato da RKill elenca modifiche e processi terminati. Alcuni software di manutenzione possono essere segnalati per via di collegamenti non standard al registro: prima di cancellare manualmente file indicati nel log occorre verificarne il percorso di provenienza.
• Scollegamento temporaneo della rete. Se l'infezione tenta di scaricare costantemente nuove varianti durante l'operazione, scolleghiamo il cavo Ethernet o disattiviamo il Wi-Fi subito dopo aver scaricato RKill e le definizioni dell'antivirus.
• Intervento in modalità provvisoria. Se RKill continua a essere bloccato nonostante l'uso delle versioni camuffate, avviamo Windows in modalità provvisoria con rete per ridurre al minimo i servizi malevoli attivi prima di lanciare l'eseguibile.

Diario di bordo di Navigaweb

Durante il salvataggio di un PC bloccato da un trojan che chiudeva all'istante qualsiasi file di installazione antivirus e impediva l'apertura di qualsiasi file .exe, sembrava impossibile procedere senza formattare il disco. Scaricando la versione denominata RKill.com da una chiavetta USB e avviandola come amministratore, il tool ha impiegato quaranta secondi per smascherare e terminare un processo fantasma annidato nel registro IFEO, ripristinando all'istante il corretto avvio degli applicativi. Senza toccare il pulsante di riavvio ho lanciato Malwarebytes, che ha individuato e rimosso sette file infetti nella cartella temporanea. Il mio suggerimento da amico è di tenere sempre una copia di RKill.com all'interno della propria chiavetta di soccorso: quando un virus prende il controllo delle autorizzazioni di sistema, è l'unico grimaldello capace di rompere l'assedio e permettere all'antivirus di fare il proprio dovere.