Una scansione offline è un controllo antimalware che viene eseguito dopo un riavvio, al di fuori della normale sessione di Windows. Invece di eseguire la scansione di un sistema attivo e in esecuzione, l'endpoint si avvia in un ambiente minimale e quindi esamina i file di Windows installati, le posizioni di avvio e altri artefatti presenti su disco. Questo riduce la possibilità che il malware attivo possa nascondersi, manomettere gli strumenti o bloccare il rilevamento.
Le scansioni offline sono importanti perché minacce persistenti come bootkit, rootkit e malware profondamente integrati spesso sopravvivono alle scansioni ordinarie interferendo con il sistema operativo. I team di sicurezza le utilizzano quando sospettano che una macchina sia compromessa o quando rilevamenti ripetuti indicano qualcosa che continua a riapparire dopo la bonifica. In difesa, la tecnica è utile per verificare la remediation; negli attacchi, è spesso l'ultimo ostacolo che il malware cerca di eludere. È uno strumento di ripristino potente, ma non garantisce il successo: dipende comunque dalle firme aggiornate, da un motore di scansione integro e dall'accesso al disco interessato.