Rootkit: co to je, proč se špatně hledá a jak ho odstranit

Rootkit je druh škodlivého softwaru, jehož hlavním úkolem je skrývat se. Usadí se hluboko v operačním systému, většinou s nejvyššími oprávněními, a maskuje svou přítomnost i přítomnost dalšího malwaru, který s ním přišel, třeba zadních vrátek pro útočníka nebo programu na krádež hesel. Název vychází z anglického root, označení správce s plnými právy v unixových systémech. České úřady rootkity v materiálech pro veřejnost samostatně nepopisují; Policie ČR mezi nejčastějšími formami malwaru uvádí například backdoory a botnetový malware.

Proč se rootkit špatně hledá

Běžná antivirová kontrola běží uvnitř spuštěného systému a rootkit může ovlivnit, co systém o sobě hlásí. Proto pomáhá kontrola zvenčí. Microsoft u offline kontroly programem Microsoft Defender vysvětluje, že proběhne po restartu bez načtení Windows, takže je pro jakýkoli přetrvávající malware obtížnější se skrýt nebo bránit. Některý malware se také snaží vypnout ochranu: Ochrana před falšováním v Zabezpečení Windows brání škodlivým aplikacím měnit důležitá nastavení Defenderu, například ochranu v reálném čase a ochranu poskytovanou cloudem.

Jak se rootkit dostane do počítače

Stejnými cestami jako jiný malware, se kterým obvykle přichází. Microsoft uvádí přílohy e-mailů, makra v dokumentech Office, neznámé USB disky, programy z webů třetích stran a sítí peer-to-peer, nástroje keygen a chyby zabezpečení v neaktualizovaném prohlížeči. Upozorňuje také, že některé typy malwaru po instalaci stahují další hrozby. Policie mezi vstupními branami uvádí i zneužití nezáplatované zranitelnosti a jako prevenci účty bez zbytečných administrátorských oprávnění.

Kdy na rootkit myslet

Spolehlivé příznaky nemá. Zpozorněte, když antivirus opakovaně hlásí stejnou hrozbu, když máte podezření na malware, ale běžná kontrola nic nenajde, nebo když se vám někdo dál přihlašuje do účtů, ačkoli jste hesla změnili. Microsoft offline kontrolu doporučuje právě tehdy, když máte obavy, že zařízení bylo vystaveno malwaru nebo viru, případně když chcete zařízení zkontrolovat bez připojení k internetu.

Offline kontrola krok za krokem

1. Uložte otevřené soubory: počítač se během kontroly restartuje.
2. V Zabezpečení Windows otevřete Ochrana před viry a hrozbami a v části Aktualizace ochrany před viry a hrozbami vyhledejte aktualizace; offline kontrola používá nejnovější definiční soubory.
3. V Možnostech kontroly zvolte Antivirová ochrana v programu Microsoft Defender (offline kontrola) a kontrolu spusťte.
4. Microsoft Defender Offline se načte v prostředí Windows Recovery Environment a počítač zkontroluje. Po dokončení se počítač sám restartuje.
5. Výsledky najdete v aplikaci Zabezpečení Windows v Historii ochrany.

Když rootkit nezmizí

Nejjistější je začít s čistým systémem. Google v nápovědě k napadenému účtu zmiňuje možnost resetovat počítač do továrního nastavení a přeinstalovat operační systém, ale nejdřív zálohovat potřebné soubory. Ve Windows zvolte Nastavení > Obnovení systému > Obnovit počítač do továrního nastavení, případně totéž z prostředí Windows RE přes Poradce při potížích. Volba Zachovat moje soubory přeinstaluje Windows, odebere aplikace a nastavení a ponechá osobní soubory; Odebrat všechno odstraní i soubory. Stažení z cloudu přinese novou kopii Windows s aktualizacemi. Pokud je disk zašifrovaný, připravte si obnovovací klíč nástroje BitLocker, a počítejte s tím, že obrazovka může zčernat i na víc než 15 minut: počítač během obnovy sami nerestartujte.

A co telefon?

I u telefonu je čistý start poslední a nejspolehlivější krok. Google upozorňuje, že resetování do továrního nastavení smaže z telefonu Android všechna data; obnoví se jen to, co máte uložené v účtu Google, a všechny aplikace se odinstalují. Předem si data zazálohujte, ověřte, že znáte heslo k účtu Google a kód zámku obrazovky, a telefon připojte k Wi-Fi nebo mobilní síti. Reset může trvat až hodinu. Pokud jste nedávno resetovali heslo k účtu Google, počkejte s resetem 24 hodin.

Po vyčištění

• Z čistého zařízení změňte hesla, která jste na napadeném počítači používali, a zapněte dvoufázové ověření.
• Neznámé USB disky do počítače nepřipojujte; pokud už jste nějaký připojili, Microsoft radí okamžitě spustit bezpečnostní kontrolu.
• Programy instalujte znovu jen z oficiálních zdrojů, ne z původních instalačních souborů neznámého původu.
• Mějte systém aktualizovaný. Windows 10 bezplatné aktualizace a bezpečnostní opravy od Microsoftu nedostávají od 14. října 2025; NÚKIB doporučuje přejít na Windows 11 nebo jiný podporovaný systém. Podmínky rozšířených bezpečnostních aktualizací (ESU) ověřte přímo u Microsoftu.
• Na každodenní práci používejte standardní účet bez administrátorských oprávnění a nechte zapnutou Ochranu v reálném čase i Ochranu před falšováním.
• Telefon s podezřením na hluboké napadení obnovte do továrního nastavení; Apple radí po vymazání kvůli škodlivému softwaru neobnovovat iPhone ze zálohy.

Rootkit lže o stavu počítače. Kontrolujte ho zvenčí, offline kontrolou, a když pochybnosti trvají, začněte s čistým systémem.