Ho testato Windows 11 25H2 contro veri ransomware: ecco cosa è successo

Come è stato impostato il test

Un test del ransomware contro Windows 11 è in realtà un test su quattro livelli separati, non su un unico antivirus. Nel video, il test viene eseguito su Windows 11 25H2 all'interno di un laboratorio completamente isolato, su una macchina usa e getta che viene successivamente pulita: l'unico modo sicuro per eseguire un test del genere. La domanda a cui si risponde non è semplicemente "l'antivirus l'ha rilevato?", ma come si comporta, nell'ordine, ogni livello integrato quando viene rilasciato un vero crittografo.

Livello 1: SmartScreen giudica il file alla porta

La maggior parte dei ransomware non arriva per magia. Arriva come download, allegato e-mail o file copiato da un'unità USB - e di solito finge di essere qualcos'altro: una fattura, un curriculum, un crack di software, una fattura. SmartScreen è il checkpoint a quella porta. Quando esegui un file proveniente da Internet, Windows ne controlla la reputazione. Un file che milioni di PC hanno eseguito in sicurezza passa silenziosamente; un file nuovo o sconosciuto attiva la schermata di avviso blu su cui così tante persone fanno clic senza leggere.

Questo avvertimento non è una decorazione: è il livello che funziona esattamente come progettato, dicendoti che questo file non ha precedenti. Il limite onesto: SmartScreen giudica la reputazione, non le intenzioni. Un file nuovo ma innocuo viene avvisato, mentre un file che si è diffuso ampiamente prima che qualcuno lo segnalasse potrebbe passare. È un primo filtro forte, non un verdetto.

Livello 2: reputazione e controlli del cloud dietro le quinte

Defender non si affida solo al database delle firme memorizzato sul tuo PC. Con la protezione fornita dal cloud attivata, un file sospetto viene confrontato anche con l'intelligence cloud costantemente aggiornata di Microsoft e l'invio automatico di campioni può inviare un file dubbio per un'analisi più approfondita. In questo modo una minaccia apparsa da qualche parte nel mondo un'ora fa può essere riconosciuta sul tuo PC oggi invece che dopo il prossimo aggiornamento del database.

Questi due interruttori si trovano in Sicurezza di Windows > Protezione da virus e minacce > Impostazioni di protezione da virus e minacce > Gestisci impostazioni. Su molti PC sono attivi per impostazione predefinita, ma sui PC in cui qualcuno una volta ha "ottimizzato" Windows o disabilitato le funzionalità di Defender, sono silenziosamente spenti. Questa singola differenza spiega perché lo stesso test può terminare in modo diverso su due macchine apparentemente identiche.

Livello 3: il difensore osserva il comportamento, non solo i file

Il classico lavoro dell'antivirus consiste nel confrontare i file con firme notoriamente dannose. Il ransomware sconfigge facilmente questo compito, perché ogni campagna può utilizzare file appena impacchettati che nessuno ha mai visto prima. Pertanto Defender controlla anche il comportamento: un programma che inizia improvvisamente ad aprire e riscrivere centinaia di documenti, foto e fogli di calcolo in pochi secondi si comporta come un ransomware qualunque sia il nome del file e il monitoraggio del comportamento e la protezione in tempo reale esistono per interrompere esattamente questo schema.

L'osservazione del comportamento è potente ma non perfetta. È necessaria l'attività di alcuni file prima che il modello sia innegabile e un crittografo veloce su un SSD veloce è veloce. Questo è il motivo onesto per cui nessun esperto onesto promette che l'antivirus da solo ti rende sicuro e perché esiste il livello successivo.

Livello 4: l'accesso controllato alle cartelle protegge i file stessi

L'accesso controllato alle cartelle cambia la domanda. Invece di chiedere "questo programma è dannoso?", chiede "questo programma è nell'elenco consentito per toccare le tue cartelle importanti?" Documenti, immagini, video, musica e desktop sono protetti per impostazione predefinita e puoi aggiungere le tue cartelle di lavoro. Qualsiasi programma non attendibile che tenti di modificare i file in quelle cartelle viene bloccato, incluso un nuovissimo crittografo che i livelli da 1 a 3 non hanno mai visto.

Ecco il trucco che decide la maggior parte dei risultati nel mondo reale: L'accesso controllato alle cartelle è DISATTIVATO per impostazione predefinita in una normale installazione di Windows, perché una guardia troppo rigorosa può occasionalmente bloccare un programma legittimo. Puoi attivarlo in Sicurezza di Windows > Protezione da virus e minacce > Protezione ransomware > Gestisci protezione ransomware. Di tutte le impostazioni presenti in questa guida, questa è quella che manca alla maggior parte dei PC domestici.

Protezione dalle manomissioni: la guardia sulle guardie

Ogni livello superiore dipende dal fatto che le sue impostazioni rimangano attive. Il malware moderno lo sa e una delle sue prime mosse è spesso quella di disattivare silenziosamente Defender. Protezione antimanomissione esiste proprio per impedire questo: mentre è attiva, le impostazioni chiave di Defender non possono essere modificate da app o script, ma solo da te, nell'app Sicurezza di Windows. Si trova nella stessa pagina Gestisci impostazioni in cui il cloud si attiva/disattiva nel passaggio 3.

In un test e in un incidente reale, questa è la differenza tra le difese che reagiscono e le difese che sono state rimosse silenziosamente prima dell'inizio del combattimento. Controlla che sia acceso; ci vogliono dieci secondi.

Il livello esterno a Windows: il tuo backup offline

Ogni livello superiore cerca di fermare l'attacco. Il livello di backup presuppone che l'attacco sia riuscito e non ha importanza. Il ransomware non può crittografare una copia che non riesce a raggiungere, quindi una copia di backup deve trovarsi in un luogo in cui il PC infetto non può scrivere: un'unità esterna che viene scollegata dopo il backup o un archivio cloud con la cronologia delle versioni corretta.

Il verdetto: una lista di controllo, non un punteggio

Un test di laboratorio mostra come si comportano questi strati rispetto ai campioni scelti, quel giorno, con quelle impostazioni. Non incorona un vincitore per sempre: gli aggressori cambiano costantemente imballaggio e trucchi e Microsoft aggiorna costantemente l'intelligence. Windows 11 25H2 continua lo stesso modello a più livelli anziché sostituirlo: la differenza pratica per la maggior parte degli utenti è l'intelligenza e le impostazioni predefinite aggiornate, non uno scudo nuovo di zecca.

Quindi il risultato onesto del test è una lista di controllo, non un punteggio. Se esegui correttamente questi cinque criteri, avrai riprodotto la parte più efficace di qualsiasi risultato del test sul tuo PC: (1) rispetta l'avviso SmartScreen, (2) protezione fornita dal cloud attivata, (3) protezione antimanomissione attivata, (4) accesso controllato alle cartelle abilitato, (5) una copia di backup mantenuta offline. Guarda il video completo qui sopra per vedere il test stesso, quindi applica le impostazioni.