Caricamento in corso
Antivirus

[Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili

Questa guida illustra come procedere al recupero di un sistema Windows protetto da Tamper Protection nel caso in cui gli altri metodi per disattivarla non siano più percorribili. Disattivare la Tamper Protection consente, ad esempio, di disinstallare Sophos completamente.

Fonte ufficiale: Sophos Central Endpoint and Server: Recover a tamper protected system

Nota: A partire da Core Agent 2023.2 e versioni successive, i seguenti passaggi non sono più necessari se:

  • Il dispositivo è stato rimosso da Sophos Central
  • La licenza di Sophos Central è scaduta

Requisiti minimi: Windows 10 a 64 bit o superiore, Windows Server 2016 o superiore.

1. Dispositivi ancora gestiti da Sophos Central

Per il recupero dei dispositivi gestiti, è possibile consultare la guida ufficiale su come:

  • Ripristinare dispositivi eliminati
  • Recuperare le password di Tamper Protection

Le informazioni sono disponibili in Sophos Central Admin e le password più recenti sono elencate in cima al report. Possono essere usate per disattivare la Tamper Protection direttamente dal dispositivo locale. I dispositivi cancellati sono visibili fino a 120 giorni e i dati possono essere esportati.

2. Recupero manuale: modifica del registro

Se i metodi standard non sono praticabili, è possibile seguire i passaggi manuali descritti di seguito.

Windows 10 e successivi / Windows Server 2012+

  • Accedi a Impostazioni > Aggiornamento e sicurezza > Ripristino, quindi clicca su Riavvia ora in corrispondenza di “Avvio avanzato”.
rtaImage [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili
  • Su Windows Server 2012, premi Shift e clicca su Riavvia.
rtaImage-1 [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili
  • Su Windows 11: Impostazioni > Sistema > Ripristino, poi Riavvia ora in “Avvio avanzato”.
  • Dopo il riavvio, scegli Risoluzione dei problemi > Opzioni avanzate > Prompt dei comandi.
rtaImage-2 [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili
  • Seleziona un account amministrativo e inserisci la password.
  • Nel prompt:C: cd Windows\System32\drivers ren SophosED.sys SophosED.sys.old exit
  • Clicca su Continua per tornare a Windows.
  • Apri l’Editor del Registro di sistema (regedit).
  • Effettua un backup del registro.
  • Modifica le seguenti chiavi:
    • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos MCS Agent
      • Valore Start: 4
    • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Endpoint Defense\TamperProtection\Services
      • In ogni sottochiave, imposta Protected a 0
    • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Endpoint Defense\TamperProtection\Config
      • Valore SEDEnabled: 0
  • Riavvia il sistema per rendere effettive le modifiche.

Windows Server Core Edition 2012+

  • Apri il prompt dei comandi ed esegui:bcdedit /set {bootmgr} displaybootmenu yes shutdown /r /t 00
  • All’avvio, nel Windows Boot Manager premi F8 e seleziona Repair Your Computer.
  • Seleziona Troubleshoot > Command Prompt e accedi con un utente amministrativo.
  • Esegui:C: cd Windows\System32\drivers ren SophosED.sys SophosED.sys.old bcdedit /set {bootmgr} displaybootmenu no exit
  • Clicca su Continue.
  • Una volta avviato, apri regedit, esegui il backup del registro e modifica le stesse chiavi descritte sopra.
  • Riavvia per completare la procedura.

Windows 7 / Windows Server 2008 R2

  • Riavvia il sistema e premi F8 per aprire le opzioni avanzate di avvio.
  • Seleziona Repair Your Computer.
rtaImage-3 [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili
  • Alla schermata di recupero, seleziona lingua e tastiera, poi scegli un utente amministratore.
  • Accedi al Prompt dei comandi:
rtaImage-4 [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili
  • Esegui:D: cd Windows\System32\drivers ren SophosED.sys SophosED.sys.old exit
  • Clicca su Restart.
  • Dopo l’avvio, apri regedit, effettua il backup e modifica le chiavi come nei passaggi precedenti.
  • Riavvia il sistema per completare la disattivazione.

Chiavi di registro coinvolte

  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos Endpoint Defense\TamperProtection\Config
rtaImage-5 [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sophos MCS Agent
rtaImage-6 [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili
  • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Sophos\SavService\TamperProtection
rtaImage-7 [Antivirus] Sophos: come disattivare la Tamper Protection di Sophos Central quando gli altri metodi non sono utilizzabili

Con questa procedura puoi recuperare l’accesso e il controllo su sistemi Windows dove Sophos risulta bloccato dalla protezione tamper, in assenza di alternative gestionali da Sophos Central.