Análisis sin conexión de Microsoft Defender: qué es, requisitos y cómo lanzarlo en Windows 11 y Windows 10

Cuando un malware se ha instalado en el equipo, es posible que se cargue junto a Windows y que el antivirus normal no consiga verlo, porque está en marcha al mismo tiempo. El análisis sin conexión de Microsoft Defender es una herramienta que reinicia el PC en un entorno de recuperación limpio (WinRE), fuera del sistema normal, y desde ahí busca rootkits y virus, incluidos los que tocan el arranque (MBR). Está pensado para cuando se sospecha una infección persistente o se quiere confirmar la limpieza tras un brote. Sirve en Windows 11, Windows 10, Windows 8.1 y Windows 7 SP1, en equipos x64 y, en Windows 10/8.1/7, también x86. No funciona en ARM ni en Windows Server, y solo se ejecuta si Defender es el antivirus principal, WinRE está activo y BitLocker está suspendido en la unidad del sistema. Datos comprobados en octubre de 2026.

Qué es el análisis sin conexión de Microsoft Defender y cuándo usarlo

El análisis sin conexión de Microsoft Defender es un examen antimalware especial que arranca en un entorno de recuperación (WinRE), separado del kernel de Windows, y desde ahí rastrea amenazas que se ocultan en el arranque o que eluden a Defender en el sistema normal, como rootkits o malware que sobrescribe el MBR. Se usa cuando se sospecha una infección profunda, cuando un virus sigue reapareciendo tras un análisis normal o cuando se quiere confirmar la limpieza tras un brote. El proceso dura unos 15 minutos, reinicia el equipo y deja el resultado en el Historial de protección. Solo se lanza con Defender como antivirus principal, con WinRE habilitado y con BitLocker suspendido.

Por qué el análisis sin conexión puede no iniciarse o quedarse a medias

Antes de tocar nada, conviene saber por qué falla. Esta tabla va de lo más habitual a lo menos, y cada fila lleva a la parte donde se arregla.

Comprueba que tu equipo cumple los requisitos antes de lanzarlo

Antes de lanzar nada, confirma cuatro cosas: la versión y arquitectura de Windows, que el entorno de recuperación esté activo, que BitLocker no esté protegiendo la unidad del sistema y que Defender sea el antivirus principal. Si algo falla, anótalo: eso es la causa que te toca arreglar.

Averigua la versión de Windows y la arquitectura con winver

winver te dice de un vistazo qué Windows tienes y, en el mismo cuadro, si es de 64 bits (x64) o de 32 bits (x86). Es la forma más rápida de saber si el sin conexión es compatible con tu equipo.

1. Pulsa Win+R para abrir Ejecutar.
2. Escribe winver y pulsa Intro.
3. Fíjate en la parte de arriba: si dice "Windows 11" o "Windows 10" y, en la línea de tipo de sistema, aparece "x64" (basado en x64), el equipo es apto. "ARM" o "basado en ARM" no es compatible.

Confirma que WinRE está activo con reagentc /info

WinRE es el entorno donde arranca el análisis sin conexión. Si está deshabilitado, el equipo se reinicia y vuelve a Windows como si no hubieras hecho nada. reagentc /info te lo dice en una línea.

1. Abre Terminal como administrador: clic derecho en el botón Inicio y elige Terminal (Administrador) en Windows 11, o Windows PowerShell (Administrador) en Windows 10.
2. Escribe reagentc /info y pulsa Intro.
3. Busca la línea "Estado de WinRE".

Estado de WinRE: Habilitado

Si dice "Habilitado", listo. Si dice "Deshabilitado", esa es la causa 3 de la tabla: ve a "Habilita el entorno de recuperación con reagentc /enable".

Revisa si Defender es el antivirus principal

Si hay otro antivirus instalado, Defender pasa a modo pasivo y el análisis sin conexión no se muestra. Esta es la causa más frecuente cuando el botón "Examen sin conexión" no aparece.

1. Abre Seguridad de Windows (busca "Seguridad de Windows" en Inicio, o pulsa Win+R, escribe windowsdefender: y pulsa Intro).
2. Ve a Protección contra virus y amenazas.
3. Entra en Administrar la configuración (bajo "Configuración de protección contra virus y amenazas").
4. Mira el apartado Tu proveedor de antivirus.

Activa WinRE, suspende BitLocker y actualiza las definiciones antes del análisis

Estos tres arreglos corresponden a tres causas de la tabla y van de lo que no rompe nada (suspender BitLocker) a lo más invasivo (activar WinRE). Hazlos en el orden en que aparecieron en la tabla de causas.

Habilita el entorno de recuperación con reagentc /enable

Si reagentc /info decía "Deshabilitado", el análisis no puede arrancar porque no hay dónde cargar Defender fuera del sistema. reagentc /enable vuelve a registrar WinRE en la partición de recuperación.

1. Abre Terminal como administrador.
2. Escribe reagentc /enable y pulsa Intro.
3. Vuelve a escribir reagentc /info para confirmarlo.

Operación completada correctamente.

Estado de WinRE: Habilitado

Suspende BitLocker en la unidad del sistema

Con BitLocker activo, el equipo no puede arrancar en WinRE para lanzar el examen sin conexión y muestra un aviso pidiéndote la clave. Suspender la protección deja la unidad accesible para el siguiente arranque sin quitar el cifrado.

1. Abre el Panel de control (búscalo en Inicio o pulsa Win+R, escribe control y pulsa Intro).
2. Entra en Sistema y seguridad y después en Cifrado de unidad BitLocker.
3. Junto a la unidad del sistema (C:), elige Suspender protección y confirma con Sí.
4. Reinicia el equipo.

Actualiza las definiciones y el motor desde Seguridad de Windows

Si el motor o las definiciones de inteligencia están desfasados, el examen sin conexión puede cerrar al poco de arrancar. Lo más rápido es forzar la actualización desde Seguridad de Windows antes de intentarlo.

1. En Seguridad de Windows, entra en Protección contra virus y amenazas.
2. Baja hasta Actualizaciones de protección contra virus y amenazas y pulsa Buscar actualizaciones.
3. Espera a que termine y reinicia el equipo.

Lanza el análisis sin conexión desde Seguridad de Windows o PowerShell

Una vez cumplidos los requisitos, lanzar el examen es lo más sencillo. Empieza por la app de Seguridad de Windows, que es la ruta recomendada, y deja PowerShell o WMI para cuando esa opción no esté disponible.

Inicia el examen desde la app Windows Security

Es la forma estándar. El equipo se reinicia, carga WinRE, ejecuta el análisis y vuelve a Windows mostrando el resultado en el Historial de protección.

1. Abre Seguridad de Windows y entra en Protección contra virus y amenazas.
2. Pulsa Opciones de examen.
3. Elige Microsoft Defender Examen sin conexión.
4. Pulsa Examinar ahora y, en el aviso, confirma con Examinar sin conexión.
5. El equipo se reinicia: no toques nada hasta volver a Windows.

1. Al volver al escritorio, entra en Protección contra virus y amenazas > Historial de protección y revisa la entrada "Examen sin conexión".

Lánzalo desde PowerShell con Start-MpWDOScan

Si la opción no aparece en la app o la directiva la oculta, el cmdlet Start-MpWDOScan lanza el mismo examen y deja el rastro en el Visor de eventos.

1. Abre PowerShell como administrador.
2. Escribe Start-MpWDOScan y pulsa Intro.
3. Confirma el reinicio en el cuadro.

Confirmación: ¿Desea realmente iniciar el examen sin conexión de Windows Defender?
[S] Sí  [N] No  [?] Ayuda (el valor predeterminado es "S"): S

Si el antivirus no es Defender, prepara el equipo antes de analizar

Con otro antivirus activo, Defender queda en modo pasivo y el botón "Examen sin conexión" desaparece de la app. Para recuperarlo hay que quitar el otro por completo, incluyendo los restos que dejan sus desinstaladores.

Desinstala el otro antivirus desde Configuración

El primer paso es la desinstalación normal, que en Windows 11 está en Configuración y en Windows 10 en el Panel de control.

1. En Windows 11: abre Configuración > Aplicaciones > Aplicaciones instaladas, selecciona el antivirus y pulsa Desinstalar.
2. En Windows 10: abre el Panel de control, entra en Programas y características, selecciona el antivirus y pulsa Desinstalar.
3. Confirma y reinicia el equipo.

Elimina restos con la herramienta oficial del fabricante

Los antivirus de terceros suelen dejar servicios, claves y carpetas que la desinstalación normal no borra. Si quedan, Defender no vuelve a activarse. La herramienta oficial del fabricante (Avast Clear, Norton Remove and Reinstall, McAfee Consumer Product Removal Tool, Kaspersky Removal Tool, etc.) limpia esos restos.

1. Entra en la web del fabricante del antivirus que desinstalaste y busca su herramienta de eliminación (suele llamarse "Removal Tool" o "Clean Install Tool").
2. Ejecuta el archivo descargado como administrador.
3. Sigue los pasos hasta que termine y reinicia el equipo.
4. Vuelve a Seguridad de Windows y comprueba Tu proveedor de antivirus.

Si el análisis no termina o el equipo no se reinicia en WinRE

Si después de los pasos anteriores el examen sigue sin arrancar o se queda colgado en la pantalla de progreso, queda por comprobar que el comando sí se lanza y que los archivos del sistema están sanos.

Reintenta desde un símbolo del sistema elevado como administrador

A veces la app no muestra el botón por un fallo de la interfaz, pero el comando sí funciona. Probar PowerShell y WMI descarta que el problema sea solo visual.

1. Abre Terminal como administrador.
2. Para PowerShell, escribe Start-MpWDOScan y pulsa Intro.
3. Si prefieres Símbolo del sistema (escribe cmd dentro de Terminal), usa wmic path MSFT_MpWDOScan call Start y pulsa Intro.
4. Confirma el reinicio cuando se pida y, al volver, abre el Visor de eventos.

Repara Windows con SFC y DISM y vuelve a probar

Cuando los archivos de Windows están dañados, WinRE no consigue cargar el motor de Defender y el examen se cierra al poco de arrancar. SFC repara los archivos del sistema y DISM repara la imagen desde la que SFC obtiene las copias.

1. Abre Terminal como administrador.
2. Escribe sfc /scannow y pulsa Intro. Espera a que termine (puede tardar más de 15 minutos).
3. Si SFC encontró errores que no pudo arreglar, escribe DISM /Online /Cleanup-Image /RestoreHealth y pulsa Intro. Necesitas conexión a Internet.
4. Cuando termine, reinicia y vuelve a lanzar el examen sin conexión desde la app o desde PowerShell.

sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth

Lo que ya has descartado sobre el análisis sin conexión de Defender

• Windows en x64 (Windows 11, 10, 8.1 o 7 SP1), confirmado con winver.
• WinRE habilitado, comprobado y, si hacía falta, activado con reagentc /enable y reagentc /info.
• BitLocker suspendido en la unidad del sistema desde el Panel de control.
• Microsoft Defender como antivirus principal, verificado en Seguridad de Windows y, si no, con desinstalación del otro antivirus y su herramienta de limpieza.
• Definiciones y motor al día desde Protección contra virus y amenazas > Buscar actualizaciones.
• Análisis lanzado desde la app, con Start-MpWDOScan o con wmic path MSFT_MpWDOScan call Start, y confirmado con el Id. de evento 2030.
• Archivos del sistema reparados con sfc /scannow y DISM /Online /Cleanup-Image /RestoreHealth.

Si al repasar los puntos anteriores el examen sigue sin funcionar, descarga de nuevo la herramienta desde la web de soporte de Microsoft y, si el PC lo permite, valor una reinstalación limpia de Windows desde un medio oficial.

Dudas sobre el análisis sin conexión de Microsoft Defender