Come rimuovere malware da Android (8 passi, ripristino di fabbrica per ultimo)

Risposta rapida: la maggior parte del malware Android si rimuove senza ripristino di fabbrica. Riavvia in Modalità provvisoria così le app di terze parti smettono di funzionare, individua l’app arrivata quando sono iniziati i problemi, toglile i permessi che le permettono di resistere alla rimozione (amministratore del dispositivo, Accessibilità, mostra sopra altre app), disinstallala, pulisci il browser, poi esegui Google Play Protect e uno scanner affidabile preso dal Play Store. Cambia le password che hai digitato mentre era attivo. Tieni il ripristino di fabbrica per la fine, e prima di contarci leggi la nota sui telefoni economici con il malware già nel firmware.

Il malware Android raramente è un “virus” spettacolare. Il più delle volte si tratta di adware, finte app di utilità e SDK pubblicitari aggressivi che arrivano tramite app installate fuori dal Play Store, APK piratati o un link in un SMS. La minoranza più pericolosa sono i trojan bancari, che chiedono il permesso di Accessibilità per leggere il tuo schermo e digitare al posto tuo. Entrambi i tipi si rimuovono allo stesso modo, perché Android ti dà due strumenti che un PC non ha: una modalità di avvio che disattiva ogni app che hai installato, e schermate dei permessi che mostrano esattamente cosa ogni app era autorizzata a fare.

Triage in 60 secondi: in quale caso sei?

Segnali che il tuo Android potrebbe essere infetto

• Compaiono annunci pop-up fuori da qualsiasi app, nella schermata Home o di blocco, oppure si aprono annunci a schermo intero senza un’origine evidente.
• Il browser continua a reindirizzare verso pagine che non hai richiesto, oppure la home page o il motore di ricerca sono cambiati da soli.
• La batteria si scarica e il consumo di dati mobili schizza in alto senza che tu abbia cambiato il modo in cui usi il telefono.
• App che non ricordi di aver installato compaiono nel drawer delle app, a volte con icone vuote o generiche.
• Un’app ha chiesto l’accesso all’Accessibilità o di diventare amministratore del dispositivo subito dopo l’installazione.
• La banca o Google ti inviano codici di accesso o avvisi di “nuovo accesso” che non hai attivato tu, oppure dal tuo telefono partono SMS che non hai mai scritto.
• Un’app continua a ricomparire dopo che l’hai eliminata.

Ognuno di questi segnali, da solo, può essere innocuo. Diversi insieme di solito indicano che è in esecuzione un adware o un’app malevola. Se hai soprattutto i sintomi di batteria e surriscaldamento, leggi prima Il mio telefono è stato hackerato?, perché quei due sono i meno indicativi di tutti.

Passo 1 - Riavvia in Modalità provvisoria

La Modalità provvisoria avvia Android con solo le app fornite con il telefono. Tutto quello che hai installato viene temporaneamente disattivato, quindi il malware non può bloccare l’app Impostazioni, disegnarci sopra una schermata o reinstallarsi mentre lavori.

1. Tieni premuto il tasto di accensione (sui Samsung e Pixel recenti premi insieme accensione + volume giù, perché una pressione breve del solo tasto di accensione apre l’assistente).
2. Tocca e tieni premuto “Spegni” finché non compare la richiesta “Riavvia in modalità provvisoria”, poi conferma.
3. Il telefono si riavvia con la scritta “Modalità provvisoria” in un angolo dello schermo.

Se i pop-up e i rallentamenti cessano in Modalità provvisoria, la causa è quasi certamente un’app scaricata. La Modalità provvisoria non cancella nulla: quando hai finito, un riavvio normale riporta tutte le app, ed è per questo che devi disinstallare la colpevole prima di uscirne.

Passo 2 - Trova l’app responsabile

Tirare a indovinare fa perdere tempo. Android tiene tre elenchi che puntano dritti alla colpevole.

• Installate di recente. Apri Impostazioni → App → Mostra tutte le app. Sulla maggior parte dei telefoni il menu a tre puntini (⋮) permette di ordinare o filtrare per data di installazione. Tutto ciò che è stato installato nei giorni precedenti all’inizio dei problemi va in cima alla lista dei sospetti.
• Batteria e dati. Impostazioni → Batteria → Utilizzo batteria e Impostazioni → Rete e Internet (Samsung: Connessioni) → Utilizzo dati classificano le app per consumo. Un’app che non apri mai ma che sta vicino alla cima è un segnale forte.
• Chi è autorizzato a installare app. Impostazioni → App → Accesso speciale alle app → Installa app sconosciute elenca ogni app a cui hai permesso, una volta, di installare altre app. Un file manager, un’app di messaggistica o un “downloader” con quell’interruttore attivo è la porta da cui è entrato il malware, e potrebbe installare il prossimo carico. Disattiva l’interruttore per tutto ciò che non ne ha strettamente bisogno.

Le finte app “cleaner”, “risparmio batteria”, “scanner QR”, “torcia”, “aggiornamento di sistema” e “aggiornamento Chrome” sono i travestimenti più comuni. Se hai dubbi su un nome, cercalo da un altro dispositivo prima di rimuoverlo.

Passo 3 - Disinstalla le app sospette

Sempre in Modalità provvisoria, apri Impostazioni → App, tocca l’app sospetta, poi Disinstalla. Procedi nella lista dei sospetti un’app alla volta. Se il pulsante Disinstalla è grigio o l’app ricompare, passa al Passo 4: è esattamente a questo che serve.

Passo 4 - Non riesci a disinstallarla? Toglile i permessi dietro cui si nasconde

Il malware sopravvive alla rimozione tenendosi uno o più di quattro permessi. Toglili in questo ordine, poi torna in Impostazioni → App e disinstalla.

1. Amministratore del dispositivo. Apri Impostazioni, cerca App di amministrazione del dispositivo (spesso sotto Sicurezza → Altre impostazioni di sicurezza). Disattiva l’interruttore accanto all’app sospetta. È il trucco classico che rende grigio il pulsante Disinstalla.
2. Accessibilità. Apri Impostazioni → Accessibilità e guarda sotto App scaricate (Samsung: App installate). Un’app con un servizio di Accessibilità attivo può leggere tutto quello che c’è sul tuo schermo, toccare pulsanti e compilare campi, ed è esattamente così che trojan bancari come Rokarolla aggirano l’app della tua banca. Disattiva ogni servizio che non riconosci.
3. Mostra sopra altre app. Impostazioni → App → Accesso speciale alle app → Mostra sopra altre app. È ciò che permette a una finta schermata di login di comparire sopra quella vera. Revocalo a tutto ciò che non hai concesso consapevolmente.
4. Accesso alle notifiche. Impostazioni → App → Accesso speciale alle app → Accesso alle notifiche (oppure Notifiche di dispositivi e app). Un’app presente qui può leggere i tuoi codici di verifica via SMS nel momento in cui arrivano. Disattiva le voci sconosciute.

Da Android 13, alle app installate al di fuori di uno store è impedito l’accesso alle schermate di Accessibilità e di accesso alle notifiche da una funzione chiamata Impostazioni con restrizioni: gli interruttori restano semplicemente grigi finché non apri la pagina informazioni dell’app e scegli “Consenti impostazioni con restrizioni” dal suo menu. Per questo il malware ti guida passo passo, con istruzioni sullo schermo, a fare proprio questo. Se ricordi di aver seguito istruzioni del genere, hai trovato la tua app.

Passo 5 - Pulisci il browser

L’adware spesso vive nel browser più che in un’app separata, e un sito su cui una volta hai toccato “Consenti” può bombardarti di notifiche che sembrano avvisi di sistema. In Chrome (o nel browser che usi):

• Apri Impostazioni → Impostazioni sito → Notifiche e blocca ogni sito che non riconosci. Questa sola schermata risolve la maggior parte dei pop-up “avviso virus” su Android.
• Cancella cache e cookie (Impostazioni → Privacy e sicurezza → Cancella dati di navigazione).
• Ripristina la home page e il motore di ricerca predefinito se sono cambiati.
• Controlla Impostazioni → App → App predefinite → App browser: a volte l’adware installa un proprio browser e lo imposta come predefinito, così i link si aprono lì.

Passo 6 - Esegui Google Play Protect e uno scanner affidabile

Riavvia normalmente, poi lascia che lo scanner integrato di Android faccia un passaggio:

1. Apri il Google Play Store, tocca l’icona del tuo profilo e scegli Play Protect.
2. Tocca Analizza. Play Protect controlla le app installate, comprese quelle caricate da fonti esterne, e propone di disattivare o rimuovere ciò che segnala. Attiva “Analizza le app con Play Protect” e “Migliora il rilevamento di app dannose” così invia a Google per l’analisi anche le app sconosciute installate da fonti esterne. Sui Pixel con Android 15 e successivi, il rilevamento delle minacce in tempo reale di Play Protect osserva anche come si comportano le app installate, non solo cosa contengono.

Per una seconda opinione, installa un’app anti-malware nota solo dal Play Store, come Malwarebytes o Bitdefender, esegui una scansione completa e rimuovi ciò che segnala. Resta su nomi che conosci già: una ricerca di “antivirus” in qualsiasi store restituisce decine di app che sono a loro volta adware.

Passo 7 - Metti al sicuro gli account che il malware poteva raggiungere

Rimuovere l’app non annulla quello che ha visto. Fai queste cose dal telefono pulito o, meglio, da un computer:

• Cambia la password del tuo account Google ed esegui il Controllo sicurezza di Google: disconnetti i dispositivi sconosciuti, rimuovi le app di terze parti che non riconosci sotto “Accesso di terze parti”, e controlla che il telefono e l’email di recupero siano i tuoi.
• Cambia ogni password che hai digitato sul telefono mentre il malware era attivo, partendo da banca, email e qualsiasi account che riceve codici SMS. Attiva la verifica in due passaggi con un’app di autenticazione invece degli SMS, dove il servizio lo permette.
• Controlla la banca. Se un’app bancaria si è comportata in modo strano o hai ricevuto codici di verifica che non avevi richiesto, chiama la banca, controlla le transazioni recenti e chiedi se è stato registrato un nuovo dispositivo o un nuovo beneficiario.
• Guarda gli inoltri dei messaggi. Nella tua app SMS e nel tuo account email, verifica che non sia stata aggiunta nessuna regola di inoltro o nessun dispositivo collegato. L’inoltro sopravvive a qualsiasi pulizia del telefono, ed è per questo che gli attaccanti persistenti lo mettono lì.

Passo 8 - Ultima risorsa: backup, poi ripristino di fabbrica

Se i pop-up continuano a tornare, un’app si reinstalla da sola o le scansioni segnalano sempre la stessa minaccia, un ripristino di fabbrica riporta il telefono a uno stato pulito.

• Prima fai il backup di foto, contatti e file importanti sul tuo account Google o su un computer. Non ripristinare un backup che include l’app infetta.
• Poi vai in Impostazioni → Sistema → Opzioni di reimpostazione → Cancella tutti i dati (ripristino dati di fabbrica) (Samsung: Impostazioni → Gestione generale → Ripristina → Ripristina dati di fabbrica).
• Quando riconfiguri il telefono, reinstalla le app una alla volta dal Play Store. Salta l’opzione “ripristina tutte le app”, che riporterebbe il malware dritto al suo posto.

Un avvertimento onesto. Un ripristino di fabbrica cancella la partizione dei dati, non quella di sistema. Su alcuni telefoni Android economici senza marca e su alcuni TV box è stato trovato malware preinstallato direttamente nel firmware; il team di sicurezza di Google ha documentato la famiglia Triada fare esattamente questo nel 2019. Un’infezione del genere torna dopo il ripristino perché il ripristino non l’ha mai toccata. Se un telefono mostra gli stessi sintomi subito dopo un ripristino pulito senza nessuna app installata, la soluzione è un aggiornamento del firmware da parte del produttore o, realisticamente, un altro telefono.

Come evitare che torni

FAQ

Android ha bisogno di un’app antivirus? Non necessariamente. Google Play Protect è integrato e analizza le app automaticamente. Uno scanner affidabile su richiesta preso dal Play Store è una seconda opinione utile se installi app da fonti esterne o sospetti già un’infezione. Leggi ho bisogno di un antivirus? per la risposta lunga.

La Modalità provvisoria cancella qualcosa? No. La Modalità provvisoria si limita a impedire alle app di terze parti di funzionare per quella sessione. Le tue app e i tuoi dati restano intatti, e un riavvio normale riporta tutto, compreso il malware se non l’hai disinstallato.

Come faccio a sapere quale app causa i pop-up? Controlla cosa è stato installato appena prima dell’inizio dei problemi, quali app sono in cima agli elenchi di consumo di batteria e dati, e quali app hanno i diritti di Accessibilità o di mostra sopra altre app. Un’app che compare in due di questi elenchi e che non ricordi di aver installato è la tua colpevole.

Un ripristino di fabbrica rimuove tutto il malware? Un ripristino di fabbrica rimuove ogni app e tutti i dati che hai installato, il che elimina la grande maggioranza del malware Android. Le eccezioni sono il malware preinstallato nel firmware di alcuni dispositivi economici, e il malware che riporti tu stesso ripristinando un backup completo delle app. Reinstalla le app singolarmente dal Play Store.

Posso prendere malware solo visitando un sito web? Un sito web non può installare in silenzio un’app su un telefono Android aggiornato, ma può mostrare falsi pop-up “il tuo telefono è infetto”, inviare notifiche travestite da avvisi di sistema o indurti a scaricare un APK. Non installare nulla che una pagina web ti spinga a scaricare, e blocca le notifiche di quel sito nel browser.

Perché il pulsante Disinstalla è grigio? All’app sono stati concessi i diritti di amministratore del dispositivo. Revocali in Impostazioni → App di amministrazione del dispositivo, poi disinstalla normalmente. Se è l’interruttore stesso a opporre resistenza, fallo dalla Modalità provvisoria.

Letture correlate: Rokarolla · Il mio telefono è stato hackerato? I segnali che contano davvero (e quelli che non significano nulla) · Rimuovere un virus da iPhone