Rimuovere manualmente il virus autorun dal PC passo dopo passo

Se un PC mostra sintomi compatibili con un virus autorun, la priorità non è “pulire subito”, ma fermare la diffusione e capire se il problema è davvero confinato alla chiavetta, al disco o al sistema. L’errore classico è aprire il supporto infetto da Esplora file: basta quello per far partire eseguibili nascosti o script richiamati da un vecchio file autorun.inf. Qui la regola è semplice: prima si isola, poi si verifica, infine si rimuove con un minimo di disciplina operativa.

Riconoscere il problema senza peggiorarlo

Il termine “virus autorun” viene usato in modo un po’ largo per indicare malware che sfrutta l’esecuzione automatica dei supporti rimovibili o che si mimetizza con file e cartelle apparentemente innocui. In pratica, il file più sospetto è spesso autorun.inf, ma non è lui il malware: è il punto d’innesco. Il danno vero può stare in un eseguibile nascosto, in uno script, in una scorciatoia manipolata o in una copia del malware replicata su più unità.

I segnali tipici sono abbastanza riconoscibili: USB che si aprono con finestre strane, cartelle trasformate in collegamenti, file spariti o diventati “nascosti”, antivirus che segnala minacce appena colleghi una chiavetta, lentezza anomala all’avvio o processi sconosciuti che tornano dopo il riavvio. Se il problema si manifesta solo quando inserisci un supporto rimovibile, il sospetto si concentra sul vettore USB. Se invece compare anche senza supporti esterni, bisogna considerare una compromissione più ampia del sistema.

Prima mossa: isolamento e raccolta di evidenze

Disconnetti il PC da rete cablata e Wi-Fi prima di toccare file o eseguire scansioni. Se il malware sta tentando di propagarsi in LAN o scaricare componenti aggiuntivi, tagliargli la rete riduce il blast radius. Collega solo la tastiera, il mouse e, se serve, il supporto da bonificare. Non aprire il contenuto della chiavetta con doppio clic se non hai già disattivato l’AutoPlay.

Su Windows puoi verificare lo stato dell’esecuzione automatica con un controllo rapido del registro o delle policy locali, ma qui l’obiettivo non è fare tuning: è confermare che il comportamento sospetto non dipenda da una funzionalità legittima lasciata attiva. Il punto pratico è che non devi fidarti della sola estensione dei file. Molti malware sfruttano nomi doppi o icone ingannevoli per sembrare documenti normali.

Se hai accesso a un prompt amministrativo, puoi fare una prima ispezione non distruttiva del supporto. Esempio:

dir X:\ /a
attrib X:\*.*

Sostituisci X: con la lettera della chiavetta o del disco esterno. Il primo comando mostra anche i file nascosti e di sistema; il secondo evidenzia eventuali attributi anomali. Se vedi file con attributi nascosti o di sistema che non ti aspetti, o una combinazione di cartelle normali e collegamenti sospetti, hai già un indizio forte.

Bonifica manuale del supporto rimovibile

La rimozione manuale ha senso solo se il supporto è il vettore primario e il sistema non mostra segni di compromissione profonda. In caso contrario, la soluzione corretta può essere il backup dei dati puliti e la formattazione del supporto. Ma se vuoi tentare la bonifica, procedi con ordine: prima ispezione, poi rimozione degli elementi palesemente malevoli, infine verifica.

Controlla la radice del supporto e cerca questi elementi:

• autorun.inf
• eseguibili con nomi casuali o simili a cartelle legittime
• shortcut .lnk creati al posto di cartelle reali
• file con attributi nascosti, di sistema o sola lettura senza motivo

Se trovi autorun.inf, aprilo in lettura con un editor testuale solo se sei certo di non eseguirlo; in alternativa puoi ispezionare il contenuto da prompt senza lanciarlo. Cerca riferimenti a file eseguibili, script o comandi che puntano a un payload. Il file spesso contiene una sezione [autorun] con istruzioni pensate per richiamare un eseguibile quando il supporto viene inserito o aperto.

Per rimuovere gli attributi che proteggono i file nascosti, usa un comando mirato e reversibile. Esempio:

attrib -h -s -r X:\*.* /s /d

Questo comando rende visibili file e cartelle nascosti, di sistema e in sola lettura nel supporto selezionato. Il rischio è basso se operi sulla lettera corretta; il vantaggio è che puoi finalmente vedere cosa c’è davvero. Dopo averlo eseguito, controlla di nuovo con dir /a e individua ciò che non appartiene ai tuoi dati. A quel punto elimina solo i file chiaramente malevoli, non “tutto ciò che sembra strano”.

Se il malware ha sostituito le cartelle con collegamenti, non cancellare a occhi chiusi la cartella originale se non l’hai prima identificata. Un approccio prudente è copiare i dati verso una cartella temporanea su disco locale, verificare che i file siano integri e solo dopo ripulire il supporto. Il blast radius qui è il contenuto del supporto, non il sistema intero, ma un errore di selezione può portarti a perdere documenti legittimi.

Controllare il PC locale: il virus non sempre resta nella chiavetta

Se il supporto è stato inserito in un PC compromesso, è possibile che il malware abbia già copiato sé stesso nel sistema o abbia creato persistenze. In quel caso la sola bonifica della USB non basta. Il controllo minimo deve includere cartelle di avvio automatico, processi attivi, attività pianificate e chiavi di registro usate per la persistenza.

I punti da ispezionare con cautela sono questi:

• %AppData% e %LocalAppData%
• cartelle Startup dell’utente e del profilo comune
• Utilità di pianificazione di Windows
• processi con nomi simili a componenti di sistema ma collocati in percorsi insoliti

Per esempio, un eseguibile in %AppData% che parte all’avvio tramite un task schedulato è molto più interessante di un file in C:\Windows\System32 firmato correttamente. Il criterio non è “nome bello o brutto”, ma posizione, firma, comportamento e persistenza. Se non hai strumenti di analisi avanzata, la verifica minima resta sempre la stessa: percorso del file, data di creazione, hash e collegamenti di avvio.

Un controllo utile è confrontare i processi sospetti con il percorso reale del binario. Da prompt amministrativo:

wmic process get ProcessId,ExecutablePath,CommandLine

Il comando non sostituisce un EDR, ma aiuta a vedere se un processo parte da un percorso anomalo o con parametri strani. Se trovi un file sospetto, non eseguirlo per “vedere cosa fa”. Copialo in quarantena o annotane il percorso per un’analisi successiva con strumenti adeguati.

Rimozione sicura: cosa eliminare e cosa no

La rimozione manuale funziona solo se distingui bene tra payload e dati utente. Elimina senza esitazione il file autorun.inf e gli eseguibili o script chiaramente collegati alla sua esecuzione automatica. Elimina anche collegamenti malevoli, copie duplicate del malware e file temporanei creati per la persistenza. Non cancellare documenti, archivi o immagini solo perché hanno attributi nascosti: prima rendili visibili e verifica il contenuto.

Se il supporto contiene dati importanti, la strada più prudente è questa: copia i file necessari in una cartella pulita del disco locale, verifica che non si tratti di shortcut o file eseguibili camuffati, poi formatta il supporto. Questa scelta ha un blast radius limitato al supporto rimovibile, ma ti evita di lasciare residui nascosti. È spesso la soluzione migliore quando la chiavetta è usata su più macchine e non sai dove sia nata l’infezione.

Se invece il malware ha colpito il sistema operativo, la rimozione manuale può essere solo un tampone. In presenza di persistenza, processi ricorrenti o tracce di più componenti, la bonifica completa richiede strumenti antimalware aggiornati, controllo degli avvii, verifica delle attività pianificate e, nei casi peggiori, reinstallazione pulita con recupero selettivo dei dati.

Verifiche dopo la rimozione

Dopo aver ripulito supporto e sistema, non chiudere subito il caso. Devi verificare almeno tre cose: che il supporto non mostri più file sospetti, che il PC non ricrei il malware al reinserimento della chiavetta e che l’antivirus non segnali nuove attività appena il supporto viene montato.

Una verifica semplice è scollegare e ricollegare il supporto in un ambiente controllato, con AutoPlay disattivato, e controllare se ricompare autorun.inf o se si rigenerano collegamenti e file nascosti. Se il problema torna, la bonifica era incompleta oppure la sorgente dell’infezione è ancora attiva su un altro host. In quel caso non forzare ulteriormente il supporto: passa a backup dei dati puliti e formattazione completa.

Controlla anche il registro eventi di Windows e il log dell’antivirus, se disponibile, per capire quale file è stato rilevato e in quale percorso. Il valore pratico non è “vedere il messaggio rosso”, ma capire se il malware era solo su USB o se il sistema ha già tentato di eseguirlo. Se hai un EDR o una console centralizzata, cerca eventi di quarantena, blocco esecuzione e rilevazioni su supporti rimovibili.

Prevenzione: evitare che il problema si ripresenti

La prevenzione vera non è “avere l’antivirus acceso”, ma ridurre i canali di esecuzione automatica e rendere meno facile l’errore umano. Disattiva l’AutoPlay dove possibile, mantieni aggiornato il sistema, usa un antivirus con protezione in tempo reale e limita i privilegi amministrativi agli account che ne hanno davvero bisogno. Un malware da autorun sfrutta spesso proprio abitudini operative pigre: doppio clic su tutto, supporti condivisi tra più PC, nessun controllo prima dell’apertura.

In ambienti aziendali o tecnici, conviene anche stabilire una regola semplice: i supporti USB non entrano in produzione senza scansione e senza un punto di montaggio controllato. Se il parco macchine è gestito con policy, imposta restrizioni su AutoRun/AutoPlay e conserva un processo di quarantena per i supporti sospetti. Questo non elimina il rischio, ma abbassa molto la probabilità che un singolo errore si trasformi in diffusione laterale.

Un’ultima osservazione pratica: molti casi etichettati come “virus autorun” sono in realtà una combinazione di malware vecchio stile e cattive abitudini operative. La differenza la fa la disciplina. Se analizzi il supporto prima di aprirlo, lavori con privilegi minimi e tieni traccia dei file sospetti, la rimozione manuale resta un’operazione gestibile. Se invece apri la chiavetta infetta come fosse una cartella normale, la diagnosi diventa più lunga e il recupero meno pulito.

Quando fermarsi e passare a strumenti più seri

Ferma la bonifica manuale e passa a un’analisi più strutturata se trovi uno di questi casi: il malware ricompare dopo la rimozione, il sistema mostra più processi o task sospetti, l’antivirus segnala file in più posizioni, oppure il PC ha sintomi che non dipendono dal solo supporto rimovibile. In questi scenari, insistere a mano aumenta il rischio di cancellare dati utili o lasciare il sistema in uno stato ambiguo.

La linea corretta è: isolare, raccogliere evidenze, bonificare il vettore, verificare la persistenza e decidere se procedere con strumenti antimalware aggiornati o con reinstallazione pulita. Per un supporto USB, la soluzione più affidabile resta spesso la formattazione dopo il salvataggio dei dati sani. Per un PC compromesso, invece, la priorità è capire se la compromissione è locale o già estesa, perché il rischio reale non è il file autorun.inf in sé, ma quello che ha già fatto partire.