La modalità provvisoria per rimuovere malware: perché aiuta, e quando no

A metà di quasi ogni guida alla rimozione - comprese quelle di questo sito - c’è una riga che ti dice di riavviare in modalità provvisoria. È un buon consiglio. Ed è anche quasi mai spiegato, il che rende difficile sapere che fare quando non funziona.

Che cosa cambia davvero la modalità provvisoria

La descrizione di Microsoft è breve ed esatta: «la modalità provvisoria avvia Windows in uno stato di base, usando un insieme limitato di file e driver».

È tutto il meccanismo. Windows normalmente avvia un lungo elenco di servizi, driver e programmi all’avvio. In modalità provvisoria ne avvia solo un piccolo sottoinsieme: quanto basta per far funzionare il sistema, e poco altro.

La conseguenza per un malware è diretta. Gran parte di essi sopravvive a un riavvio facendosi lanciare insieme a Windows: una chiave Run del registro, un’operazione pianificata, un servizio, una voce nella cartella Esecuzione automatica. In modalità provvisoria, la maggior parte di quei percorsi di avvio semplicemente non viene elaborata. Il file è ancora sul disco, ma non è in esecuzione - e un processo che non gira non può difendersi, non può ricreare i file che elimini e non può bloccare il tuo antivirus.

È tutto qui il beneficio: non una rimozione, ma un disarmo.

La modalità provvisoria con rete, e quando volerla

Il menu offre due versioni, e la differenza conta. Microsoft: «la modalità provvisoria con rete aggiunge i driver e i servizi di rete necessari per accedere a internet e agli altri computer della rete».

La modalità provvisoria semplice è la più isolata delle due. Scegliila quando hai già sulla macchina lo strumento che ti serve e preferisci che nulla nel sistema possa raggiungere la rete.

La modalità con rete è quella che vuoi quando l’antivirus deve scaricare le definizioni, o quando non hai portato con te lo strumento. In cambio, la rete diventa disponibile anche a qualunque altra cosa sia presente: è la scelta meno prudente.

Perché a volte non cambia nulla

Ecco la parte che le guide saltano, ed è il motivo per capire il meccanismo invece di ripetere il passaggio.

Non tutta la persistenza passa dai percorsi di avvio che la modalità provvisoria ignora. Qualcosa caricato da un driver di cui la modalità provvisoria ha ancora bisogno, o agganciato a un componente che si avvia sempre, parte comunque. Il codice a livello di firmware o di bootkit è indifferente alla modalità di Windows scelta: è girato prima di Windows.

Alcuni malware sono scritti apposta per sopravviverle. Windows tiene un elenco di ciò che ha il permesso di avviarsi in modalità provvisoria, e un’infezione con privilegi sufficienti può aggiungercisi. Quando lo fa, la modalità provvisoria non ti dà esattamente nulla.

E di per sé non rimuove niente. È uno stato in cui rimuovere è più facile, non un passaggio di rimozione. Entrarci e uscirne non cambia assolutamente nulla.

La lettura onesta è quindi: se una scansione in modalità provvisoria trova e toglie la cosa, bene. Se lo stesso rilevamento torna dopo una pulizia in modalità provvisoria, è un segnale - la persistenza sta dove la modalità provvisoria non arriva, e ripetere il passaggio non ti porterà oltre.

Quando il computer non esce dalla modalità provvisoria

È una situazione frequente e dall’aria allarmante, con una causa banale.

Di norma, «riavviare il dispositivo dovrebbe bastare per uscire dalla modalità provvisoria e tornare alla modalità normale». Quando non basta, il motivo abituale è che è rimasta spuntata una casella Avvio sicuro nella scheda Opzioni di avvio di msconfig - da uno strumento, da una precedente sessione di diagnostica, o da te. Toglierla e riavviare risolve.

Vale la pena saperlo prima che accada, perché un computer che rientra di continuo in modalità provvisoria dopo una pulizia sembra esattamente un’infezione che non muore, e di solito non lo è.

In breve

La modalità provvisoria avvia Windows con un insieme limitato di file e driver, il che impedisce alla maggior parte dei malware di girare e li rende rimovibili. Non rimuove nulla da sola, non raggiunge la persistenza che vive fuori dai percorsi di avvio abituali, e un’infezione ben scritta può organizzarsi per partire comunque. Usala come lo stato in cui esegui la scansione - e leggi un rilevamento che continua a tornare come il segno che il problema è altrove.

La descrizione della modalità provvisoria, la distinzione con la variante con rete e la procedura di uscita compresa la casella Avvio sicuro di msconfig provengono dalla documentazione di supporto di Microsoft, consultata al momento della stesura. I link commerciali portano l’attributo rel=“sponsored nofollow”; può applicarsi una commissione di affiliazione senza costi aggiuntivi per te.