Microsoft Defender Offline: cómo analizar Windows sin conexión
Microsoft Defender Offline es una herramienta de seguridad integrada en Windows que permite analizar el ordenador en busca de virus, rootkits y otras amenazas antes de que se cargue el sistema operativo.
A diferencia de un análisis antivirus convencional, el examen se realiza desde el Entorno de recuperación de Windows (WinRE). De esta forma, determinados programas maliciosos que intentan ocultarse mientras Windows está funcionando tienen más dificultades para interferir en la detección y eliminación.
Es una opción especialmente interesante cuando sospechamos que el equipo está infectado, el antivirus no consigue eliminar una amenaza o el mismo malware vuelve a aparecer después de reiniciar el ordenador.
En esta guía veremos cómo ejecutar Microsoft Defender Offline, qué precauciones debemos tomar y dónde consultar los resultados del análisis.
¿Qué es Microsoft Defender Offline?
Microsoft Defender Offline es una modalidad de análisis del antivirus integrado en Windows que trabaja fuera del entorno habitual del sistema operativo.
Cuando iniciamos el examen, Windows prepara el entorno de recuperación y reinicia el ordenador. A continuación, se ejecuta Microsoft Defender desde ese entorno para buscar amenazas sin cargar la sesión normal de Windows.
Esto permite examinar determinados tipos de malware persistente que podrían intentar bloquear el antivirus, ocultar archivos o interferir en los procesos de detección mientras el sistema está funcionando.
Entre las amenazas para las que puede resultar útil se encuentran:
- Rootkits que intentan ocultarse dentro del sistema.
- Malware persistente que vuelve a instalarse después de reiniciar.
- Amenazas que interfieren con el funcionamiento del antivirus.
- Determinadas infecciones relacionadas con el arranque del sistema.
Importante: Defender Offline mejora las posibilidades de detectar determinadas amenazas, pero no garantiza encontrar cualquier rootkit ni permite descartar todas las posibles infecciones.
Antes de iniciar el análisis
Antes de ejecutar Microsoft Defender Offline, conviene preparar el equipo para evitar problemas durante el reinicio.
1. Guarda todos tus archivos
El análisis requiere reiniciar Windows. Guarda los documentos abiertos, cierra los programas y comprueba que no tienes ninguna tarea pendiente.
Durante el proceso no podrás utilizar el ordenador con normalidad.
2. Comprueba la protección de BitLocker
Si tienes activado BitLocker o el cifrado del dispositivo, asegúrate de disponer de la clave de recuperación.
En determinadas circunstancias, Windows puede solicitarla al iniciar el entorno de recuperación.
La clave de recuperación de BitLocker es un código numérico de 48 dígitos. Puedes consultar su disponibilidad en tu cuenta Microsoft si se guardó allí, o en el lugar donde realizaste su copia de seguridad.
No continúes si no puedes recuperar tus datos en caso de que Windows solicite esa clave.
3. Comprueba que Microsoft Defender está disponible
Microsoft Defender Antivirus puede funcionar en modo desactivado o pasivo cuando utilizas otro antivirus como protección principal.
Para comprobarlo:
- Abre Seguridad de Windows.
- Entra en Protección contra virus y amenazas.
- Comprueba qué proveedor antivirus está protegiendo el dispositivo.
Si utilizas un antivirus de terceros, algunas opciones de Microsoft Defender pueden no estar disponibles.
4. Actualiza Windows y las definiciones de seguridad
Es recomendable instalar las actualizaciones pendientes y comprobar que las definiciones de seguridad del antivirus están actualizadas.
Para ello:
- Abre Seguridad de Windows.
- Entra en Protección contra virus y amenazas.
- Busca Actualizaciones de protección.
- Pulsa Buscar actualizaciones.
Así aumentarás las posibilidades de que el análisis utilice información reciente sobre las amenazas.
Cómo ejecutar Microsoft Defender Offline en Windows 11
El procedimiento es sencillo y no requiere descargar programas adicionales.
- Abre el menú Inicio.
- Escribe
Seguridad de Windowsy abre la aplicación. - Selecciona Protección contra virus y amenazas.
- Entra en Opciones de examen.
- Selecciona Examen de Microsoft Defender sin conexión.
- Pulsa Examinar ahora.
- Guarda los archivos abiertos y confirma el reinicio cuando Windows lo solicite.
El ordenador se reiniciará y aparecerá una interfaz de análisis diferente a la del escritorio habitual de Windows.
Microsoft Defender comenzará a examinar el equipo desde el entorno de recuperación. Cuando termine, el ordenador se reiniciará automáticamente y volverá a cargar Windows.
El análisis suele durar alrededor de 15 minutos, aunque el tiempo puede variar según el equipo y las condiciones del sistema.
Cómo ejecutar Microsoft Defender Offline en Windows 10
En Windows 10 el procedimiento es prácticamente idéntico:
- Abre el menú Inicio.
- Busca y ejecuta Seguridad de Windows.
- Selecciona Protección contra virus y amenazas.
- Pulsa Opciones de examen.
- Marca Examen de Microsoft Defender sin conexión.
- Selecciona Examinar ahora.
- Guarda tu trabajo y confirma el reinicio.
El equipo entrará en el entorno de recuperación, realizará el análisis y volverá a iniciar Windows cuando termine.
Los nombres de algunas opciones pueden variar ligeramente según la versión de Windows y las actualizaciones instaladas.
Qué ocurre durante el análisis
Una vez confirmado el reinicio, el proceso se desarrolla automáticamente:
- Windows prepara el entorno de recuperación.
- El ordenador se reinicia y sale de la sesión habitual.
- Microsoft Defender Offline carga su entorno de análisis.
- Se examinan las áreas del sistema en busca de amenazas.
- Se aplican las acciones de seguridad correspondientes.
- El equipo se reinicia y vuelve a Windows.
No apagues el ordenador ni interrumpas el proceso mientras se está realizando el análisis.
Cuando vuelva a aparecer el escritorio, podrás utilizar Windows con normalidad y consultar el resultado del examen.
Cómo consultar los resultados del análisis
Después de reiniciar Windows, puedes comprobar si Microsoft Defender ha encontrado alguna amenaza.
Sigue estos pasos:
- Abre Seguridad de Windows.
- Entra en Protección contra virus y amenazas.
- Selecciona Historial de protección.
- Revisa las detecciones y las acciones realizadas.
En esta sección pueden aparecer amenazas detectadas, elementos puestos en cuarentena y acciones pendientes de confirmación.
Si aparece una amenaza, abre su ficha para consultar el nombre, la ubicación y el estado de la acción aplicada.
Qué hacer si encuentra una amenaza
Si Microsoft Defender detecta malware, comprueba qué acción ha realizado:
- En cuarentena: el elemento ha quedado aislado para evitar que siga ejecutándose.
- Quitado: Windows ha eliminado el elemento detectado.
- Acción pendiente: es posible que debas confirmar una operación desde el Historial de protección.
- Amenaza permitida: se ha autorizado anteriormente y puede ser necesario revocar ese permiso.
Si no reconoces un archivo o programa, no lo restaures ni lo permitas sin comprobar antes su procedencia.
Si la amenaza vuelve a aparecer después de reiniciar, podría existir otro componente malicioso que la está instalando de nuevo. En ese caso, conviene realizar un análisis completo y valorar una investigación más profunda.
Qué hacer si Microsoft Defender Offline no se inicia
En algunos equipos, al seleccionar el análisis sin conexión, Windows vuelve a iniciarse normalmente sin mostrar el examen.
Una de las causas posibles es que el Entorno de recuperación de Windows (WinRE) esté desactivado o tenga algún problema.
Para comprobarlo:
- Haz clic derecho en el botón Inicio.
- Selecciona Terminal (Administrador) o Windows PowerShell (Administrador).
- Ejecuta el siguiente comando:
reagentc /info
Busca el apartado Estado de Windows RE.
Si aparece como habilitado, WinRE está disponible. Si aparece como deshabilitado, puedes intentar activarlo con:
reagentc /enable
Después, vuelve a intentar el análisis sin conexión.
Precaución: si el comando devuelve un error o WinRE no puede activarse, no modifiques manualmente las particiones de recuperación. Es preferible revisar el estado de la instalación o recurrir al soporte técnico.
¿Y si aparece una pantalla azul?
Si el equipo muestra un error de detención durante el análisis, reinícialo e intenta ejecutar Defender Offline una segunda vez.
Si el error vuelve a producirse, no insistas repetidamente. Puede existir un problema de compatibilidad, controladores o recuperación del sistema. Consulta el código de error y la documentación de Microsoft o solicita asistencia técnica.
Ejecutar Defender Offline mediante PowerShell
Los usuarios que prefieran utilizar comandos también pueden iniciar el análisis desde PowerShell.
- Haz clic derecho en el botón Inicio.
- Abre Terminal (Administrador).
- Ejecuta este comando:
Start-MpWDOScan
El comando inicia el análisis sin conexión y reinicia el equipo.
Importante: guarda previamente todos los documentos y cierra las aplicaciones. El reinicio se produce como parte del procedimiento.
Si el comando no se reconoce o no está disponible, comprueba que Microsoft Defender Antivirus está activo y que tu edición y configuración de Windows permiten utilizar esta función.
¿Microsoft Defender Offline elimina todos los rootkits?
No. Es una herramienta muy útil para detectar y eliminar determinadas amenazas persistentes, pero no debe considerarse una solución universal.
Puede ayudar frente a malware que se oculta durante el funcionamiento normal de Windows, incluidos determinados rootkits y amenazas relacionadas con el arranque.
Sin embargo, no garantiza detectar todas las infecciones de kernel ni las que puedan afectar al firmware UEFI de la placa base.
Si existe una sospecha fundada de infección muy persistente, el siguiente paso puede ser realizar una instalación limpia de Windows desde un medio oficial preparado en otro equipo seguro, después de proteger los archivos personales.
En situaciones excepcionales en las que se sospeche una infección del firmware, será necesario un diagnóstico especializado y seguir las instrucciones del fabricante.
Preguntas frecuentes sobre Microsoft Defender Offline
¿Microsoft Defender Offline es gratuito?
Sí. Está integrado en Microsoft Defender Antivirus y se puede utilizar sin pagar una licencia adicional en las instalaciones compatibles de Windows 10 y Windows 11.
¿Necesito descargar Microsoft Defender Offline?
No. En Windows 10 y Windows 11 compatibles, la herramienta está integrada en Seguridad de Windows. Solo tienes que seleccionar el examen sin conexión.
¿Cuánto tarda el análisis?
Microsoft indica que suele durar aproximadamente 15 minutos, aunque puede tardar más dependiendo del equipo y de las condiciones del análisis.
¿Puedo utilizar el ordenador mientras se realiza?
No. El equipo se reinicia y ejecuta el examen fuera de la sesión habitual de Windows. Tendrás que esperar a que termine y vuelva a iniciarse el sistema.
¿Necesito conexión a Internet?
No necesitas permanecer conectado a Internet durante el examen. Sin embargo, es recomendable actualizar previamente las definiciones de seguridad para disponer de la protección más reciente.
¿Funciona con otros antivirus?
La disponibilidad de Defender Offline depende de la configuración del antivirus. Si otro producto de seguridad es el proveedor principal, Microsoft Defender puede estar desactivado o en modo pasivo y algunas funciones pueden no estar disponibles.
¿Funciona en Windows 11 ARM?
No. Según la documentación de Microsoft, el análisis Microsoft Defender Offline no es compatible actualmente con Windows 11 ARM ni Windows 10 ARM.
¿El análisis sin conexión garantiza que el equipo está limpio?
No. Que el análisis termine sin detectar amenazas es una buena señal, pero no demuestra que el equipo esté libre de cualquier tipo de malware. Si persisten los síntomas, conviene investigar otras causas o recurrir a una revisión especializada.
Conclusión
Microsoft Defender Offline es una herramienta especialmente útil cuando sospechamos que un malware está interfiriendo en el funcionamiento normal de Windows o consigue mantenerse activo después de reiniciar el ordenador.
Su principal ventaja es que realiza el análisis desde el Entorno de recuperación, sin cargar la sesión habitual de Windows. Esto dificulta que determinadas amenazas puedan ocultarse o interferir en el proceso.
Si tienes sospechas de una infección persistente, es una de las primeras herramientas que merece la pena utilizar antes de plantearte medidas más drásticas, como reinstalar Windows.