Desinstalar Sophos Endpoint con Tamper Protection activado
Si un dispositivo Windows se ha borrado de Sophos Fusion (antes Sophos Central) antes de eliminar localmente Endpoint Agent, no se necesita un hack general de Registry. Las versiones actuales de Sophos Core Agent disponen de un procedimiento definido para dispositivos borrados o licencias caducadas.
El método correcto depende de si el dispositivo solo se borró, si la licencia ha caducado y si debe volver a gestionarse o desinstalarse definitivamente.
⚠️ No empezar con antiguas guías de Registry: Sophos documenta la recuperación manual solo como último recurso cuando no sea viable ningún método normal para desactivar Tamper Protection. Utilice primero las vías estándar de Fusion y local que se indican a continuación. Safe Mode, la eliminación manual y los scripts de Registry de terceros no forman parte de este proceso.
Determinar primero el caso
| Estado | Objetivo | Procedimiento |
|---|---|---|
| dispositivo borrado hace menos de 30 días | continuar la gestión | recuperar el dispositivo en Fusion |
| dispositivo borrado, agente debe desaparecer | eliminación definitiva | esperar la sincronización, comprobar la protección local y ejecutar SophosUninstall.exe |
| licencia caducada, gestión debe continuar | volver a conectar | resolver licencia y registrar con –registeronly |
| sistema antiguo solicita contraseña | mantenimiento o desinstalación | recuperar contraseña del dispositivo borrado |
Los periodos y el comportamiento pueden cambiar con las versiones del agente. Antes de intervenir se documentan sistema operativo, versión de Core Agent, fecha del borrado y tenant.
Requisitos y límites de seguridad
- acceso de administrador local y ventana de mantenimiento anunciada;
- copia de seguridad actual o plan de recuperación probado;
- versión de Windows, arquitectura, versión de Core Agent y componentes Sophos instalados documentados;
- acceso al tenant de Fusion correcto o un administrador del tenant identificado;
- estado final definido: retirada definitiva o nueva protección en el mismo tenant;
- Server Lockdown desactivado en servidores y proceso de retirada de Fusion específico para ZTNA, Device Encryption o MDR.
Mantenga el dispositivo en Fusion hasta superar la validación local, para conservar contraseña, estado, alertas y diagnóstico. No repita en bucle una desinstalación fallida; conserve primero el código devuelto, el log y el estado.
Comportamiento de dispositivos Windows actuales
A partir de Core Agent 2023.2, en Windows 10 o posterior y Windows Server 2016 o posterior se aplica en principio:
- Tras el borrado en Fusion, Tamper Protection se desactiva localmente.
- Los componentes de protección activos se eliminan o desactivan.
- Core Agent permanece para permitir una desinstalación compatible o un nuevo registro.
- Normalmente no es necesaria la recuperación manual de contraseña.
El dispositivo puede necesitar tiempo para procesar el borrado o el cambio de licencia. Un dispositivo offline solo recibe esta información al contactar correctamente.
En los dispositivos que alojan Update Cache o Message Relay también se eliminan ambas funciones. Si siguen siendo necesarias, deben reinstalarse y comprobarse después de restaurar el dispositivo.
Desactivar Tamper Protection de forma controlada
- Identifique el dispositivo por nombre, sistema operativo y última actividad.
- Si sigue activo en Fusion, desplácese hasta Tamper Protection en sus detalles y desactívelo o elija View password details.
- Para mantenimiento local breve, use Admin sign-in > Settings > Override Sophos Central Policy for up to 4 hours en Sophos Endpoint.
- Si se borró, use más abajo la recuperación o la contraseña dentro del periodo de conservación.
- Confirme localmente que Tamper Protection está desactivado antes del desinstalador o de
--registeronly.
El proceso estándar completo está en Desactivar Sophos Fusion Tamper Protection de forma segura. Si ninguna vía está disponible, detenga el trabajo local y transfiera el caso a Support; no deduzca cambios de arranque, controladores o Registry por su cuenta.
Opción 1: Recuperar el dispositivo borrado
Sophos Fusion conserva actualmente los dispositivos borrados durante 30 días.
- Abrir Reports > Reports > Endpoint Protection o Server Protection en Sophos Fusion.
- Seleccionar Restore deleted devices and recover Tamper Protection passwords.
- Validar de forma inequívoca nombre del equipo, sistema operativo y fecha de borrado.
- Seleccionar el dispositivo correcto y hacer clic en Restore.
- Esperar hasta que contacte de nuevo con Fusion.
- Comprobar Agent Mode, políticas, Health State y última actividad.
La recuperación es adecuada si el equipo debe seguir protegido y gestionado. Para un offboarding definitivo solo es necesaria cuando la contraseña o el estado de gestión no pueden restaurarse limpiamente de otra forma.
Opción 2: Desinstalar el agente definitivamente
Si Tamper Protection ya está desactivado, ejecute el desinstalador oficial desde un símbolo del sistema abierto como administrador:
"C:\Program Files\Sophos\Sophos Endpoint Agent\SophosUninstall.exe" --quiet
En un servidor, desbloquee primero Server Lockdown en Fusion. Sophos exige reiniciar después de la retirada; a continuación, compruebe aplicaciones instaladas, servicios Sophos y proveedor de protección registrado. El proceso completo está en Desinstalar Sophos Endpoint en Windows.
Este ejecutable corresponde a Windows 10 (x64) o posterior y Windows Server 2016 o posterior con un Core Agent compatible. Las plataformas antiguas usan uninstallgui.exe para la retirada interactiva o uninstallcli.exe --quiet desde el mismo directorio. No sustituye el proceso de Fusion para software protegido como ZTNA, Device Encryption o MDR.
Para distribuirlo por lotes, guarde el comando completo entre comillas anterior con extensión .bat, conservando la comilla inicial, y ejecute el script en los dispositivos previstos.
Opción 3: Registrar de nuevo el agente en el tenant
Si el dispositivo debe seguir gestionado, un instalador actual del tenant correcto puede renovar el registro:
SophosSetup.exe --registeronly
Para usar --registeronly, Tamper Protection debe estar desactivado. Core Agent 2023.2 o posterior lo hace automáticamente tras una eliminación o la caducidad de la licencia; en otras migraciones debe desactivarse de forma controlada antes de ejecutar el comando.
El instalador está vinculado al tenant y se descarga de nuevo en My Environment > Installers. Después se comprueba en Fusion:
- tenant y nombre de equipo correctos
- Agent Mode y productos con licencia
- grupo de equipos previsto
- políticas asignadas
- estado saludable y componentes actuales
- ningún alert abierto de registro o licencia
--registeronly no sustituye la reparación de una instalación dañada. Si Core Agent o sus componentes de comunicación están dañados, primero se conservan logs y estado.
Recuperar la contraseña de un dispositivo borrado
Sophos Fusion conserva en este informe los dispositivos borrados y sus contraseñas de Tamper Protection durante 120 días, pero el objeto del dispositivo solo se puede recuperar durante los primeros 30 días. La contraseña es importante sobre todo para plataformas o versiones antiguas.
Si el registro de auditoría debe conservarse más de 120 días, exporte el informe antes de vencer el plazo y proteja adecuadamente los datos de contraseña exportados.
- Abrir Reports > Reports > Endpoint Protection o Server Protection.
- Seleccionar Restore deleted devices and recover Tamper Protection passwords.
- Identificar el dispositivo inequívocamente mediante varios atributos.
- En la columna Tamper Protection password, hacer clic en Password details. Fusion muestra primero la contraseña actual, es decir, la utilizada más recientemente, y a continuación las anteriores.
- Utilizar la contraseña actual solo durante la ventana de mantenimiento y eliminar después las copias temporales.
La contraseña de otro dispositivo no funciona. Si el objeto supera el periodo de conservación, no se experimenta con Registry; se utiliza el proceso actual de Sophos Support.
Licencia caducada
Después de activar una nueva licencia, los dispositivos Windows actuales pueden recuperarse si no han transcurrido más de 90 días desde que caducó la licencia. Después de 90 días, ejecute un instalador actual vinculado al tenant con --registeronly para reinstalar y registrar el agente. Antes deben aclararse el tenant y la licencia válida.
Si el dispositivo se retira definitivamente, se realiza la desinstalación local. Si sigue utilizándose, después del registro hay que comprobar que todos los productos de protección y políticas esperados vuelven a estar activos.
Troubleshooting
El dispositivo se recuperó, pero permanece offline
Comprobar red, proxy, DNS, hora del sistema y servicios de gestión Sophos. Verificar además que el instalador y el objeto pertenecen al tenant correcto.
Tamper Protection permanece activo
Espere a la sincronización y compruebe una sola vez las vías de Fusion, contraseña, anulación de cuatro horas y recuperación descritas arriba. Si la protección continúa activa, no fuerce el desinstalador ni inicie SophosZap.
SophosUninstall.exe falta o se interrumpe
Esto indica una instalación dañada o incompleta. Conserve los logs de instalación y desinstalación, el código devuelto y el estado del dispositivo. Si ya hay un reinicio pendiente, complételo antes de volver a comprobar el estado. No elimine al azar paquetes MSI, servicios o claves de Registry, porque puede dificultar una reparación posterior.
SophosZap solo tras fallar la desinstalación estándar
SophosZap es una herramienta Windows de último recurso solo si Tamper Protection está desactivado de forma demostrable y la desinstalación estándar aun así falló o quedó incompleta; su detección heurística añade riesgo. No evita una contraseña desconocida, Server Lockdown ni un proceso protegido de Fusion. Admite HitmanPro Alert, HitmanPro, Sophos Central Endpoint/Server, Message Relay, Update Cache, endpoints gestionados por Enterprise Console, Sophos Home, Sophos Anti-Virus, Sophos Clean y otros productos independientes. Se detiene ante Active Directory Sync Tool, Invincea, PureMessage for Exchange, RMS Server/Relay, Sophos Enterprise Console, SafeGuard Enterprise, Server Lockdown, SAV for NetApp, SAVDI, STAS, Sophos IPsec Client, Sophos Connect, Sophos Connect Admin o Sophos Update Manager; desinstale antes normalmente el producto incompatible.
Comprobar la descarga y la firma
Confirme Windows 7 o posterior, acceso de administrador, Tamper Protection desactivado y copias de seguridad. ARM64 requiere SophosZap 1.2.3.0 o posterior. Descargue una copia actual justo antes del mantenimiento. Compruebe File version en Properties > Details y una firma Sophos válida en Properties > Digital Signatures; alternativamente use PowerShell:
$zap = (Resolve-Path .\SophosZap.exe).Path
$sig = Get-AuthenticodeSignature -FilePath $zap
$sig | Select-Object Status, StatusMessage, @{Name='Signer'; Expression={$_.SignerCertificate.Subject}}
if ($sig.Status -ne 'Valid' -or $null -eq $sig.SignerCertificate) {
throw 'SophosZap signature validation failed'
}
PowerShell comprueba deliberadamente de forma cerrada ante fallos solo que el estado de Authenticode sea Valid y que exista un certificado; no autoriza por subcadena el Subject completo mostrado. Un administrador debe comparar ese valor de forma exacta con la identidad de editor esperada, verificada por separado mediante documentación oficial actual de Sophos o Sophos Support. Sin coincidencia exacta, con una firma ausente o no válida, o con una versión demasiado antigua para ARM64, no ejecute el archivo: elimínelo y vuelva a descargarlo. Un hash local sin un valor esperado publicado independientemente no sustituye la firma.
Ejecutar y tratar la salida
Ejecute la herramienta verificada desde su directorio en un símbolo del sistema elevado:
SophosZap --confirm
Siga exactamente la salida. Ante Reboot and re-execute, reinicie, ejecute el mismo comando exactamente una vez más como administrador y reinicie de nuevo. Pueden requerirse reinicios adicionales. El log ampliable está en %TEMP%. Si aparece INFO : Reboot will be required. An update remains in progress., complete el reinicio solicitado en lugar de forzar la limpieza en paralelo. SophosZap solo funciona en Windows. En algunos Windows 8.1 puede ser necesario iniciar Windows Defender manualmente después.
Validar el resultado y transferir a Support
Tras el reinicio final, compruebe aplicaciones instaladas, servicios Sophos activos, interfaz Sophos y proveedor registrado en Windows Security. Una carpeta residual no demuestra un fallo. Para una retirada definitiva, confirme la protección sucesora; si el dispositivo seguirá protegido, reinstale o registre Sophos y compruebe tenant, Agent Mode, productos, políticas y estado. Borre el objeto de Fusion solo después de la validación local.
Si Tamper Protection sigue activo o no existe un método compatible para desactivarlo, abra directamente un caso de Sophos Support. Haga lo mismo si la desinstalación estándar y la repetición exactamente una vez de SophosZap quedan incompletas. La recuperación manual de último recurso de Sophos tiene tres ramas separadas y no intercambiables: Windows de escritorio/servidor actual, Server Core 2012 o posterior y Windows 7 o Windows Server 2008 R2. Como puede implicar Windows Recovery y el controlador Endpoint Defense, los cambios de arranque, controladores y Registry dependientes de plataforma y versión no se reproducen aquí y solo deben realizarse bajo instrucciones actuales de Sophos.
Entregue identificadores de tenant y dispositivo, Windows y arquitectura, versiones de Core Agent y SophosZap, componentes instalados, estados de Tamper Protection y Server Lockdown, objetivo, comandos exactos con horas y códigos devueltos, SophosZap log.txt, archivos Sophos de %TEMP% y C:\Windows\Temp, logs de desinstalación y un SDU nuevo. Suba archivos confidenciales solo mediante la carga designada del caso.
Faltan productos después de –registeronly
El nuevo registro no restaura automáticamente todos los componentes deseados. En My Environment > Computers & Servers se comprueban Agent Mode y Manage device software. Después, el dispositivo debe recibir toda la configuración y las actualizaciones.