- Procedure per il ripristino di file isolati tramite l'interfaccia di sicurezza di Windows, la console MpCmdRun o il portale endpoint.
- Criteri di sicurezza per distinguere un falso positivo da una minaccia reale prima di recuperare qualsiasi file eseguibile.
- Configura le esclusioni di percorsi e cartelle per impedire all'antivirus di eliminare ripetutamente file legittimi.
- Metodi di riparazione del sistema e pulizia approfondita tramite modalità sicura e comandi della console per correggere gli errori di rilevamento.
A volte, la sicurezza di Windows esagera e finisce per mettere in quarantena file completamente innocui , lasciandoci vulnerabili proprio quando abbiamo bisogno di eseguire un programma importante. Questo è ciò che chiamiamo falso positivo e accade fondamentalmente perché l'antivirus rileva uno schema che considera sospetto, anche se il file è in realtà legittimo e sicuro.
Se vi è mai capitato che Microsoft Defender eliminasse un file eseguibile o un documento necessario per lavoro, non disperate. Esistono diversi modi per recuperare quei dati e, soprattutto, per configurare il sistema in modo da evitare che accada di nuovo. In questo articolo, tratteremo tutto, dai passaggi più semplici ai trucchi più avanzati per tenere a bada il vostro antivirus.
Come recuperare i file finiti in quarantena
Quando un software antivirus isola un file, non lo elimina immediatamente, ma lo sposta in un'area sicura dove non può causare danni. Per recuperarlo, il modo più rapido è aprire l' app Sicurezza di Windows , accedere alla sezione Protezione da virus e minacce e consultare la cronologia delle protezioni. Qui è possibile filtrare gli elementi in quarantena, selezionare il file desiderato e fare clic sull'opzione Ripristina per riportarlo nella posizione originale.
Se preferisci non cliccare sui menu e ti trovi più a tuo agio usando la console, puoi usare l'utilità MpCmdRun.exePer fare ciò, è necessario aprire il Prompt dei comandi come amministratore. Innanzitutto, si consiglia di accedere alla directory della piattaforma Defender ed eseguire il comando. -Restore -ListAll Per visualizzare l'elenco dei file intrappolati. Una volta individuato il nome esatto, è sufficiente eseguire il comando -Restore -Name <nombre_del_archivo> per riportare il file nella sua posizione.
Per ambienti più professionali o aziendali, il portale Microsoft Defender Endpoint consente di gestire queste situazioni da remoto. Da lì, è possibile raccogliere il file in un pacchetto .zip protetto da password, che permette di analizzarlo prima di decidere se è sicuro ripristinarlo sul computer del dipendente.
Analisi critica: si tratta davvero di un falso positivo?
Prima di tentare qualsiasi recupero, è importante essere realistici. Non è consigliabile ripristinare un file alla cieca solo perché ne avete bisogno. Idealmente, dovreste verificarne l'origine : chi l'ha inviato? Da quale sito web è stato scaricato? Ed era firmato digitalmente? Se si tratta di un programma di installazione per un software noto, la cosa più saggia da fare è confrontarlo con la versione ufficiale del produttore o controllare il valore hash del file per assicurarsi che non sia stato manomesso.
Se lavori per una piccola o media impresa (PMI), è fondamentale non effettuare test sul PC di produzione. È preferibile ottenere una copia pulita dal repository ufficiale del fornitore piuttosto che affidarsi a un file già bloccato. Se il file contiene dati sensibili, evita di caricarlo su siti di analisi online pubblici per non esporre informazioni aziendali riservate.
Impedisci a Defender di continuare a eliminare i tuoi file
Se sai già che il file è sicuro ma Defender continua a eliminarlo ogni volta che riavvii il computer, la soluzione definitiva è creare un'esclusione per la cartella o il file . Per farlo, vai alle impostazioni di Protezione da virus e minacce e cerca l'opzione Aggiungi o rimuovi esclusioni. Aggiungendo l'intera cartella in cui si trova il programma, indichi all'antivirus di ignorare quel percorso specifico durante le scansioni.
Un trucco avanzato per chi usa antivirus di terze parti (come Avast o Malwarebytes) e nota che Defender è ancora in esecuzione in background è attivare il Analisi periodicaCiò rende visibile l'interfaccia delle esclusioni e consente di salvare i percorsi nel Registro di sistema di Windows (in particolare nella chiave). HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows Defender\\Exclusions\\Paths), assicurando che l'esclusione persiste anche se Defender è tecnicamente disabilitato.
Risoluzione dei problemi e pulizia approfondita
Nei casi in cui l'antivirus restituisce errori durante il tentativo di rimuovere una minaccia o la cronologia delle protezioni non viene cancellata, potrebbero esserci file danneggiati nel sistema. Eseguire il comando DISM.exe /Online /Cleanup-image /Restorehealth nella console di amministrazione aiuta riparare l'immagine di WindowsSe il problema persiste, il comando Sfc /scannow È lo strumento ideale per correggere gli errori nei file protetti del sistema operativo.
Se sospetti di avere un'infezione che impedisce a Defender di funzionare correttamente, la soluzione più efficace è riavviare il PC in modalità sicura ed eseguire la scansione offline di Microsoft Defender. Questo strumento è in grado di rimuovere i malware più persistenti che si nascondono quando il sistema operativo è completamente caricato. Per una pulizia più approfondita, strumenti di terze parti come Malwarebytes o AdwCleaner sono un ottimo complemento per garantire che non rimanga alcuna traccia di script dannosi.
Per coloro che desiderano cancellare manualmente la cronologia degli avvisi e ricominciare da zero, è possibile eliminare il contenuto della cartella di servizio in C:\\ProgramData\\Microsoft\\Windows Defender\\Scan\\History\\ServiceTuttavia, ciò richiede la disattivazione temporanea della protezione in tempo reale e della protezione cloud. È anche possibile regolare il tempo di eliminazione automatica degli elementi in quarantena utilizzando PowerShell con il comando Set-MpPreference-ScanPurgeItemsAfterDelay seguito dal numero di giorni desiderato.
Mantenere un equilibrio tra sicurezza e usabilità significa gestire gli avvisi antivirus senza disabilitare la protezione generale. L'approccio più sensato è documentare ogni esclusione creata, verificare i file utilizzando fonti ufficiali e utilizzare strumenti di scansione approfondita quando gli strumenti nativi di Windows non riescono a rilevare una minaccia reale o un errore di sistema.