Come rimuovere un trojan da Windows (passo dopo passo)

Un trojan è un malware che si maschera da qualcosa di legittimo: un gioco craccato, un falso programma di installazione, un “codec” di cui avevi bisogno per un video. Una volta avviato, può aprire una backdoor, rubare dati o scaricare altro malware. La buona notizia: la maggior parte dei trojan rivolti ai consumatori su Windows può essere rimossa con strumenti integrati e gratuiti, se segui i passaggi nell’ordine giusto. Ecco come procedere con attenzione.

Segnali che potresti avere un trojan

• Il PC è improvvisamente lento, con le ventole che girano forte anche da fermo.
• Programmi sconosciuti si avviano all’accensione, oppure il firewall segnala connessioni in uscita che non hai avviato tu.
• Gli strumenti di sicurezza vengono disattivati o non si aprono.
• File compaiono o scompaiono, oppure le impostazioni cambiano da sole.

Nessuno di questi segnali da solo conferma un trojan, ma insieme indicano con forza che una scansione è ormai necessaria.

Passaggio 1 - Disconnettiti da internet

Se sospetti un trojan attivo, disconnetti il Wi-Fi o stacca il cavo Ethernet. Molti trojan contattano un server di comando e controllo per ricevere istruzioni o esfiltrare dati. Tagliare la connessione limita i danni durante la pulizia. Riconnettiti solo quando devi scaricare strumenti o aggiornamenti.

Passaggio 2 - Avvia in modalità provvisoria con rete

La modalità provvisoria carica Windows con un set minimo di driver e servizi, il che spesso impedisce al malware di funzionare e ne facilita la rimozione.

1. Apri Impostazioni → Sistema → Ripristino e fai clic su Riavvia ora sotto Avvio avanzato.
2. Dopo il riavvio, vai su Risoluzione dei problemi → Opzioni avanzate → Impostazioni di avvio → Riavvia.
3. Quando appare l’elenco, premi 5 (o F5) per Modalità provvisoria con rete.

La rete ti permette di aggiornare gli scanner; se hai già scaricato tutto, va bene anche la modalità provvisoria semplice.

Passaggio 3 - Esegui una scansione completa con Microsoft Defender

Windows include Microsoft Defender Antivirus, capace di affrontare i trojan più comuni.

1. Apri Sicurezza di Windows → Protezione da virus e minacce.
2. Fai clic su Opzioni di analisi, scegli Analisi completa ed eseguila.
3. Per le infezioni ostinate, usa l’Analisi offline di Microsoft Defender: riavvia e analizza prima che Windows si carichi del tutto, intercettando il malware che si nasconde durante l’esecuzione.

Metti in quarantena o rimuovi tutto ciò che rileva.

Passaggio 4 - Chiedi un secondo parere con Malwarebytes Free

Nessun motore intercetta tutto, quindi esegui un secondo scanner. Malwarebytes Free è un noto strumento di pulizia su richiesta, bravo a catturare ciò che gli antivirus generici si lasciano sfuggire.

1. Scaricalo dal sito ufficiale (malwarebytes.com).
2. Esegui una scansione, esamina i rilevamenti e mettili in quarantena.
3. Riavvia quando richiesto.

Passaggio 5 - Rimuovi programmi e voci di avvio sospetti

Dopo la scansione, controlla i residui:

• App: vai su Impostazioni → App → App installate e disinstalla tutto ciò che non riconosci o che non hai installato.
• Avvio: apri Gestione attività → App di avvio e disattiva le voci sconosciute che partono all’accensione.

Non eliminare nulla di cui non sei sicuro: cerca prima il nome esatto, così non disattivi un componente legittimo di Windows.

Passaggio 5b - Controlla i meccanismi di persistenza che gli scanner spesso lasciano indietro

Questo è il passaggio che quasi tutte le guide saltano, ed è il motivo per cui le infezioni tornano una settimana dopo. Rimuovere il file dannoso non equivale a rimuovere ciò che lo riavvia. Un trojan installa di solito almeno un meccanismo il cui unico compito è farlo tornare.

Ci sono quattro punti da controllare a mano, in quest’ordine.

Attività pianificate. Apri l’Utilità di pianificazione (taskschd.msc) e scorri la Libreria Utilità di pianificazione. Cerca attività con nomi privi di senso, attività che eseguono un programma da una cartella utente come AppData o Temp, e attività che si attivano ogni pochi minuti. Anche il software legittimo pianifica attività, quindi leggi la scheda Azioni per vedere esattamente cosa avvia un’attività prima di toccarla.

Servizi. Apri services.msc e ordina per nome. Un servizio che punta a un eseguibile fuori da C:\Windows o C:\Program Files merita un secondo sguardo. Annota il nome e cercalo prima di disattivare qualsiasi cosa, perché Windows stesso esegue moltissimi servizi con nomi poco chiari.

Chiavi Run nel registro. In regedit, controlla HKCU\Software\Microsoft\Windows\CurrentVersion\Run e l’equivalente sotto HKLM. Queste avviano un programma a ogni accesso. Esporta la chiave prima di eliminare qualcosa, così puoi ripristinarla se rimuovi la voce sbagliata.

Estensioni del browser. Un trojan che ha raccolto i cookie di sessione installa spesso un’estensione per continuare a leggere il traffico. Controlla l’elenco delle estensioni in ogni browser che usi, non solo in quello principale.

Se qualcosa di tutto questo va oltre il tuo livello di sicurezza, fermati qui e passa alla sezione sulla reinstallazione pulita. Eliminare il servizio o la chiave di registro sbagliata può rendere Windows non avviabile, un esito peggiore del trojan stesso.

Passaggio 6 - Riavvia, riconnetti ed esegui di nuovo la scansione

Riavvia in modalità normale, riconnettiti a internet, installa gli ultimi aggiornamenti di Windows ed esegui un’altra scansione completa con Defender. Un risultato pulito su una scansione nuova dopo il riavvio è la conferma che il trojan è sparito.

Passaggio 7 - Metti in sicurezza i tuoi account

I trojan rubano spesso le password salvate e i cookie di sessione. Una volta verificato che il PC è pulito:

• Cambia le password dei tuoi account importanti (prima l’email: è il centro di recupero di tutto il resto) da un dispositivo di cui ti fidi.
• Attiva l’autenticazione a due fattori ovunque sia disponibile.
• Controlla l’email: nessuna regola o inoltro aggiunto dall’aggressore.

Un gestore di password rende molto meno faticoso il rinnovo di decine di credenziali, e usarne uno significa non riutilizzare la stessa password su più siti.

Come capire se è davvero sparito

“La scansione è risultata pulita” è una prova più debole di quanto sembri, perché uno scanner trova solo ciò che riconosce. Ci sono tre controlli che vale la pena fare qualche giorno dopo.

Osserva le connessioni in uscita. Chiudi il browser e tutto il resto che puoi, poi esegui netstat -bn in un Prompt dei comandi con privilegi di amministratore. Cerchi un processo che non riconosci e che tiene aperta una connessione. Una macchina davvero inattiva dovrebbe essere quasi silenziosa.

Ricontrolla i punti di persistenza. Ripassa le attività pianificate e le chiavi Run del Passaggio 5b. Se una voce che avevi eliminato è ricomparsa, qualcosa sulla macchina l’ha rimessa e l’infezione è ancora attiva.

Sorveglia gli account, non solo il PC. Avvisi di accesso da luoghi sconosciuti, regole di posta che non hai creato o email di reimpostazione password che non hai richiesto sono tutti segnali che le credenziali sottratte prima della pulizia sono ancora in uso. Quel danno vive sui server, non sul tuo disco, e nessuna scansione locale lo mostrerà.

Perché a volte la pulizia fallisce

Pochi errori spiegano la maggior parte dei casi in cui un trojan torna subito.

Riconnettersi troppo presto. Se torni online prima che la pulizia sia finita, un trojan attivo può semplicemente scaricare una copia nuova di sé stesso.

Scansionare solo in modalità normale. Alcuni malware proteggono i propri file mentre Windows è in esecuzione normale. È esattamente a questo che servono la modalità provvisoria e l’analisi offline di Defender.

Ripristinare l’infezione da un backup. Se il backup è stato fatto dopo l’inizio dell’infezione, ripristinarlo ripristina il trojan. Quando puoi, ripristina i singoli documenti invece di un’intera immagine di sistema, e analizzali.

Cambiare le password dalla macchina infetta. Se un keylogger è ancora attivo, hai appena consegnato anche le nuove password. Usa un telefono o un altro computer.

Fermarsi alla prima scansione pulita. Esegui una seconda scansione completa dopo un riavvio, possibilmente con un motore diverso.

Quando valutare una reinstallazione pulita

Se le scansioni continuano a trovare la stessa minaccia, gli strumenti di sicurezza non partono, o sospetti un trojan a livello rootkit, la via più sicura è fare il backup dei file personali (non dei programmi) e poi reinstallare Windows da supporti ufficiali. È più lavoro, ma garantisce un punto di partenza pulito quando gli strumenti di rimozione non riescono a sfrattare del tutto l’infezione.

Segui i passaggi nell’ordine giusto - disconnessione, modalità provvisoria, doppia scansione, pulizia, nuova scansione, messa in sicurezza degli account - e la maggior parte dei trojan se ne va senza una reinstallazione completa.

Letture correlate: Rimuovere Brontok · 292 repository GitHub falsi diffondono un infostealer