Eliminare malware a mano senza usare antivirus

Gli antivirus tradizionali possono fallire, essere bloccati da un amministratore di rete o venire disattivati da un trojan che impedisce nuove installazioni. In queste condizioni estreme l'unica via d'uscita consiste nell'operare manualmente, individuando i file malevoli nei percorsi nascosti per cancellarli alla radice.

Rimuovere un'infezione senza ricorrere a scanner commerciali richiede un metodo rigoroso in quattro fasi: disarmare i processi in esecuzione, acquisire la proprietà dei file protetti, distruggere gli eseguibili tramite terminale e sradicare le istruzioni di riavvio automatico annidate nel registro di configurazione e nelle sottoscrizioni di sistema.

LEGGI ANCHE -> Antivirus portatili e scanner d'emergenza contro virus e malware: migliori 10

Disarmare il codice ostile in modalità provvisoria

Un file malevolo in esecuzione mantiene un blocco attivo sulla memoria di archiviazione, impedendo qualsiasi operazione di eliminazione o sovrascrittura. Per spegnere l'azione difensiva del virus occorre avviare il computer escludendo i driver e i programmi terzi.

Raggiungiamo la Modalità Provvisoria seguendo questi passaggi ordinati:

• Teniamo premuto il tasto Maiusc (Shift) sulla tastiera fisica.
• Facciamo clic su Riavvia il sistema dal menu Start o dalla schermata di blocco iniziale.
• Nella schermata azzurra scegliamo in sequenza Risoluzione dei problemi, poi Opzioni avanzate e infine Impostazioni di avvio.
• Premiamo il pulsante Riavvia e, alla comparsa della lista numerata, premiamo il tasto 4 sulla tastiera per avviare la modalità minima senza rete.

In questo ambiente protetto i moduli ostili non vengono caricati nella memoria RAM. Il virus rimane un semplice file inerte sul disco rigido, incapace di opporsi alla cancellazione manuale.

Sbloccare i file occupati con Monitoraggio risorse

Se intendiamo operare senza riavviare la macchina e Windows impedisce la cancellazione di un file indicando che risulta in uso da un altro processo, non serve scaricare programmi aggiuntivi.

La rotta di Navigaweb suggerisce di utilizzare l'utilità preinstallata di sistema premendo Tasto Windows + R e digitando:

resmon.exe

All'interno della finestra di Monitoraggio risorse spostiamoci nella scheda CPU ed espandiamo il pannello denominato Handle associati. Nella casella di ricerca digitiamo il nome del file che non riusciamo a cancellare o il nome della cartella che lo ospita: il sistema elencherà all'istante l'eseguibile esatto che mantiene bloccato il documento. Basterà fare clic destro su quel processo e selezionare Termina processo per liberare il vincolo e cancellare il file senza ulteriori ostacoli.

Scovare i percorsi nascosti e forzare l'eliminazione con Takeown

I malware moderni si nascondono quasi sempre nelle cartelle dell'utente per evitare di richiedere autorizzazioni visibili durante l'infezione iniziale. I percorsi primari da ispezionare manualmente tramite Esplora file sono:

• C:\Users\NomeUtente\AppData\Local\Temp
• C:\Users\NomeUtente\AppData\Roaming
• C:\ProgramData

Se vogliamo controllare i processi attivi e verificare i dettagli avanzati dei certificati di sicurezza, possiamo affiancare a Gestione Attività l'utility Process Explorer, verificando l'albero di esecuzione e aprendo la cartella di provenienza tramite il comando dedicato.

Spesso il file infetto risulta protetto da permessi NTFS manipolati che mostrano il messaggio di autorizzazione negata anche agli account di amministrazione. Per abbattere questo vincolo e cancellare il documento, apriamo il Prompt dei comandi come amministratore ed eseguiamo in sequenza queste istruzioni:

takeown /f "C:\Percorso\FileInfetto.exe"

icacls "C:\Percorso\FileInfetto.exe" /grant administrators:F

del /f /q /a "C:\Percorso\FileInfetto.exe"

Il primo comando assegna la proprietà del file al gruppo degli amministratori, il secondo concede il controllo completo sui permessi di scrittura e il terzo forza la cancellazione immediata del file ignorando qualsiasi attributo di sola lettura o elemento nascosto.

Sbloccare i file nascosti sulle chiavette USB con Attrib

Una categoria diffusa di infezioni colpisce le memorie rimovibili USB: il virus non distrugge i documenti dell'utente, ma altera le proprietà delle cartelle rendendole invisibili e generando al loro posto scorciatoie con lo stesso nome che avviano il codice malevolo.

Se lo spazio sulla chiavetta risulta occupato ma non compare alcun file, possiamo ripristinare la visibilità originaria senza formattare l'unità. Apriamo il Prompt dei comandi come amministratore e digitiamo:

attrib -h -r -s /s /d E:\*.*

Sostituendo la lettera E con quella assegnata alla memoria USB dal sistema operativo, il comando rimuove simultaneamente gli attributi di file nascosto (-h), sola lettura (-r) e file di sistema protetto (-s) su tutte le sottocartelle. A questo punto i documenti originali torneranno visibili e potremo cancellare manualmente i file con estensione .vbs, .lnk o gli eseguibili estranei presenti nella radice dell'unità.

Sradicare la persistenza nel registro e nelle sottoscrizioni WMI

Eliminare il file binario dal disco rappresenta solo metà dell'opera. Se non vengono rimossi i puntatori di avvio, a ogni accensione Windows cercherà di caricare il programma cancellato mostrando messaggi di errore o riscaricando il payload tramite script invisibili.

Controllo delle chiavi Run nel registro di sistema

Premiamo la combinazione Tasto Windows + R, digitiamo regedit e navighiamo all'interno di questi due percorsi fondamentali:

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Ispezioniamo la colonna destra: se troviamo valori che puntano a file cancellati o a cartelle temporanee come AppData\Local\Temp, facciamo clic destro sulla riga ed eliminiamo la voce. Per una verifica completa di tutti i punti di avvio, inclusi i servizi e i driver non visibili nel registro ordinario, conviene avviare Autoruns per togliere la spunta a qualsiasi riga evidenziata in giallo o priva di firma digitale.

Ispezione delle sottoscrizioni WMI con PowerShell

Molti malware avanzati impostano una persistenza tramite Windows Management Instrumentation, invisibile nelle normali cartelle di avvio. Per verificare la presenza di consumatori di eventi malevoli, apriamo PowerShell come amministratore e digitiamo:

Get-CimInstance -Namespace root\subscription -ClassName __EventConsumer

Se il terminale restituisce elementi con riferimenti a comandi di shell, script VBS o percorsi verso file sconosciuti, siamo di fronte a una persistenza nascosta. Possiamo cancellare la sottoscrizione anomala indicando il nome rilevato a schermo tramite il comando:

Get-CimInstance -Namespace root\subscription -ClassName CommandLineEventConsumer -Filter "Name='NomeElementoSospetto'" | Remove-CimInstance

Ispezione delle scorciatoie del browser

Molti adware modificano i collegamenti presenti sul desktop per reindirizzare la navigazione verso pagine pubblicitarie o motori di ricerca ingannevoli. Facciamo clic destro sull'icona del browser sul desktop (Chrome, Edge o Firefox) e scegliamo Proprietà.

Nella scheda Collegamento esaminiamo il campo denominato Destinazione. La riga deve terminare unicamente con il nome dell'eseguibile tra virgolette, ad esempio "C:\Program Files\Google\Chrome\Application\chrome.exe". Se dopo le virgolette finali notiamo uno spazio seguito da un indirizzo internet o da parametri con estensioni strane, cancelliamo la parte aggiunta e confermiamo con il pulsante Applica.

Lo strumento di emergenza preinstallato di Windows

Se non possiamo scaricare software terzi, ogni installazione di Windows integra uno Strumento di rimozione malware di Windows (MRT) aggiornato mensilmente tramite i canali di manutenzione Microsoft.

Questo applicativo non funziona come un antivirus attivo in background, ma come un'utilità di bonifica autonoma su richiesta:

• Premiamo la combinazione Tasto Windows + R sulla tastiera.
• Digitiamo la parola mrt e confermiamo con Invio.
• Selezioniamo l'opzione Analisi completa per avviare il controllo dei settori di memoria e dei file di sistema.

Il tool scansiona i percorsi primari ed elimina automaticamente le famiglie di trojan, ransomware e minacce dirottatrici più diffuse, ripristinando le chiavi di sistema danneggiate senza impattare sui file personali.

Strumenti portabili per la verifica finale

Completata la bonifica manuale, possiamo lanciare programmi autonomi che non necessitano di installazione fissa per confermare che non siano rimasti moduli nascosti.

Se temiamo la presenza di processi ancora attivi in memoria possiamo eseguire RKill per congelare eventuali minacce residue. Ricordiamo la regola operativa: dopo aver eseguito RKill non bisogna riavviare il computer, ma procedere immediatamente con una scansione di verifica tramite AdwCleaner o con il supporto cloud di HitmanPro.

Se il danno alla struttura del sistema operativo impedisce il corretto funzionamento di Windows, la procedura di emergenza prevede di avviare il computer tramite un disco di scansione d'emergenza da supporto USB, oppure sfruttare i file di installazione originali per ripristinare i file danneggiati del sistema operativo tramite i comandi nativi di riparazione dell'immagine.

Diario di bordo di Navigaweb

Su un computer isolato dalla rete aziendale in cui le policy di dominio vietavano l'installazione di qualsiasi antivirus esterno, un finto aggiornamento aveva bloccato l'apertura delle cartelle e riempito il desktop di collegamenti fantasma. Invece di richiedere la formattazione al reparto informatico, sono entrato in modalità provvisoria minima, ho aperto il Prompt come amministratore e con tre righe di comando ho preso il controllo del file malevolo nascosto in AppData cancellandolo all'istante. Dieci minuti dedicati a ripulire le chiavi Run nel registro e a lanciare l'utilità attrib sulla chiavetta USB hanno rimesso in sesto il PC senza perdere un singolo byte di dati. Il mio suggerimento da amico è di imparare a usare i comandi di base del terminale: quando i software di sicurezza falliscono o non possono essere installati, la conoscenza del file system è l'arma più potente per riprendersi il controllo della propria macchina.

LEGGI ANCHE: come rimuovere malware e virus dal computer infetto.