Come verificare l’accesso remoto sul tuo PC Windows

Il malware di accesso remoto, inclusi i Trojan di accesso remoto (RAT) e i rootkit a livello kernel, rappresenta un rischio significativo per il tuo PC Windows, consentendo ad attori malintenzionati di controllare il tuo sistema senza il tuo consenso. La natura furtiva di queste minacce le rende particolarmente difficili da rilevare. Se sospetti un accesso non autorizzato al tuo dispositivo, questa guida ti aiuterà a confermare qualsiasi presenza remota ed eliminare efficacemente la minaccia.

Identificazione dei segnali di avvertimento dell’accesso remoto

Sebbene l’accesso remoto spesso avvenga in modo invisibile, ci sono diversi segnali rivelatori che possono indicare una compromissione. Mentre questi sintomi potrebbero anche essere indicativi di problemi non correlati, una combinazione di essi può suggerire attività remota.

Comportamento irregolare del mouse o della tastiera: se noti che il cursore si muove in modo incoerente o che viene digitato del testo inaspettato, potrebbe dipendere dal software di controllo remoto. Ciò include comportamenti come il cursore che salta o l’esecuzione autonoma di comandi.È fondamentale monitorare attentamente queste occorrenze poiché possono confermare un accesso non autorizzato.
Comportamento imprevisto dell’applicazione: se le applicazioni iniziano ad aprirsi e chiudersi senza il tuo input, questo potrebbe essere un segnale d’allarme. Gli hacker possono comandare da remoto il software per eseguire attività, spesso prendendo di mira app critiche per disabilitare le tue misure di sicurezza.
Nuovi account utente rilevati: i criminali informatici spesso stabiliscono account secondari per mantenere l’accesso dopo essere stati scoperti. Controlla Impostazioni di Windows -> Account per eventuali voci non familiari nelle sezioni Famiglia e Altri utenti.
Calo delle prestazioni: un calo improvviso delle prestazioni del sistema potrebbe suggerire che si stanno verificando azioni remote che richiedono molte risorse. Prestare molta attenzione se questo problema si verifica sporadicamente, poiché potrebbe essere correlato a tentativi di accesso remoto illeciti.
Attivazione non autorizzata di Desktop remoto: poiché Windows Remote Desktop è intrinsecamente vulnerabile, gli hacker spesso lo abilitano senza il consenso dell’utente. Assicurati che sia disattivato andando su Sistema -> Desktop remoto nelle Impostazioni di Windows.

Opzioni account nelle impostazioni di Windows 11

Desktop remoto disabilitato nelle impostazioni di Windows

Conferma dell’accesso remoto sul tuo PC

Se hai identificato segnali preoccupanti, è fondamentale adottare misure per confermare i tuoi sospetti di accesso remoto. Traccia l’attività utilizzando gli strumenti Windows integrati per raccogliere prove di potenziali accessi non autorizzati.

Utilizzo del Visualizzatore eventi di Windows

Windows Event Viewer è una risorsa inestimabile per tracciare le attività degli utenti. Può rivelare tentativi di accesso non autorizzati e accessi RDP (Remote Desktop Protocol).Inizia cercando “Event Viewer” nella barra di ricerca di Windows.

Vai a Registri di Windows -> Sicurezza. Ordina gli eventi per ID, concentrandoti in particolar modo sull’ID evento 4624, che indica i tentativi di accesso. Fai particolare attenzione agli eventi che mostrano Tipo di accesso 10, poiché suggeriscono accessi remoti.

Visualizzatore eventi di Windows che mostra l'ID evento

Controllare inoltre l’ID evento 4778, che fornisce registrazioni delle riconnessioni di sessioni remote, fornendo informazioni sull’identità di rete e sulla marca temporale dell’attività.

Monitorare il traffico di rete

Il monitoraggio del traffico di rete è un approccio pratico per rilevare l’accesso remoto. Utilizzare strumenti come GlassWire può aiutare a identificare connessioni sospette, fornendo al contempo meccanismi di difesa automatici contro potenziali intrusi.

In GlassWire, visualizza le connessioni attive nella sezione GlassWire Protect. L’app segnala le connessioni non affidabili, aiutandoti a individuare qualsiasi attività remota malevola.

Sezione di valutazione Glasswire nell'interfaccia principale

Indagare sulle attività pianificate

Spesso, gli aggressori utilizzano Task Scheduler per mantenere l’accesso tramite riavvii. Controlla le attività sconosciute o sospette pianificate in questa utility. Apri Task Scheduler cercandolo in Windows Search, quindi vai su Task Scheduler (Local) -> Task Scheduler Library ed esamina attentamente tutte le cartelle non familiari.

Menu Proprietà attività in Utilità di pianificazione di Windows

Azione contro l’accesso remoto

Dopo aver confermato l’accesso non autorizzato, il passo immediato è quello di disconnettersi da Internet. Questo può impedire ulteriori attività dannose mentre si attuano misure di controllo dei danni. Utilizzare un dispositivo diverso per reimpostare le password di account critici ed eseguire il backup dei dati essenziali.

Eseguire una scansione offline con Microsoft Defender

Se la tua attuale soluzione di sicurezza è inefficace contro minacce avanzate come i rootkit, prendi in considerazione la capacità di scansione offline di Microsoft Defender. Questo metodo esegue la scansione del tuo PC durante l’avvio, offrendo un ambiente sicuro per rilevare malware persistenti.

Avviare la scansione cercando “Sicurezza di Windows”, andando su Protezione da virus e minacce -> Opzioni di scansione, quindi selezionando Microsoft Defender Antivirus (scansione offline) e premendo Scansiona ora.

Esecuzione della scansione offline di Windows Defender

Rimuovi i programmi sospetti

Indipendentemente dai risultati della scansione, esegui un controllo manuale per le applicazioni non familiari. Vai su Impostazioni -> App -> App installate per identificare qualsiasi software sospetto. Rimuovi applicazioni come TeamViewer, AnyDesk e Chrome Remote Desktop che potrebbero essere state compromesse o installate a tua insaputa.

Configurare le impostazioni del firewall

Per impedire l’accesso remoto non autorizzato, blocca le porte di accesso remoto in entrata comuni nelle impostazioni del firewall. Questa azione è fondamentale se non utilizzi questi servizi.

Apri Windows Defender Firewall con sicurezza avanzata cercando in Windows Search. Seleziona Regole in entrata -> Nuova regola, scegliendo Porta, quindi Avanti. Specifica TCP ed elenca le seguenti porte necessarie per il blocco:

3389 (Desktop remoto di Windows)
5900 (Calcolo della rete virtuale)
5938 (TeamViewer)
6568 (QualsiasiDesk)
8200 (Vai al mio PC)

Crea una regola in entrata nel firewall di Windows

Considerare un’installazione pulita di Windows

Se altri passaggi di correzione non sono sufficienti, potrebbe essere necessaria un’installazione pulita di Windows. Questo metodo riduce drasticamente le possibilità di malware persistente, ma richiede un backup completo dei dati poiché il processo cancellerà tutti i dati dal PC.

Quando si tratta di potenziali accessi non autorizzati, remoti o locali, è fondamentale agire con decisione. Le strategie di prevenzione e l’utilizzo di robuste opzioni di sicurezza di Windows sono la tua migliore difesa contro le minacce future.

Credito immagine: Vecteezy. Tutti gli screenshot sono di Karrar Haider.

Domande frequenti

1. Come posso sapere se qualcuno sta accedendo da remoto al mio PC?

Cerca segnali insoliti come movimenti irregolari del cursore, apertura o chiusura di programmi sconosciuti e nuovi account utente che compaiono nelle tue impostazioni. Monitorare il traffico di rete e controllare Windows Event Viewer può confermare qualsiasi attività non autorizzata.

2. Cosa devo fare se trovo prove di accesso remoto sul mio PC?

Disconnetti immediatamente la tua connessione Internet per bloccare ulteriori attività non autorizzate. Quindi, reimposta le password per gli account importanti, esegui la scansione del tuo sistema con strumenti di sicurezza e controlla programmi sospetti o traffico di rete.

3.È necessaria un’installazione pulita di Windows?

Un’installazione pulita dovrebbe essere presa in considerazione se tutti gli altri metodi falliscono o se si desidera garantire la rimozione completa di qualsiasi software dannoso. Esegui sempre il backup dei tuoi dati prima di procedere con questo metodo, poiché cancellerà tutti i contenuti dal tuo dispositivo.

Fonte e immagini