Rootkit: hvad det er, hvorfor det er svært at finde, og sådan fjerner du det

Et rootkit er ifølge Microsoft en avanceret og farlig type malware, der bruger de samme tilladelser som operativsystemet og starter før det. Derfor kan det skjule sig fuldstændigt. Rootkits er ofte en del af en hel serie skadelig software, som kan omgå lokalt logon, registrere adgangskoder og tastetryk, overføre private filer og opsnappe kryptografiske data. Der findes ingen dansk myndighedsvejledning om rootkits; denne guide bygger på Microsofts danske hjælpesider og de generelle danske råd om malware.

Hvorfor er et rootkit så svært at finde?

Et antivirusprogram arbejder inde i Windows. Starter et rootkit før Windows, kan det skjule sig for de værktøjer, der skal finde det. Det samme gælder angreb på computerens firmware, den software på en chip på systemkortet, der blandt andet indlæser styresystemet: Fordi firmwaren indlæses først og kører under operativsystemet, har sikkerhedsværktøjer i operativsystemet svært ved at opdage eller forsvare sig mod angreb på den, skriver Microsoft.

Sådan kommer det ind

Et rootkit følger med anden malware og kommer ind ad de samme veje: inficerede mails og vedhæftede filer, falske softwareopdateringer, kompromitterede hjemmesider og programmer fra tredjepartswebsteder, der kan være ændret, så de indeholder malware. Manglende opdateringer gør det lettere, fordi de efterlader sikkerhedshuller, som svindlere kan bruge til at komme ind ad bagvejen.

Sådan beskytter Windows dig

• Sikker bootstart forhindrer, at et rootkit indlæses, når enheden starter. Du ser status i Windows Sikkerhed under Enhedssikkerhed. Nogle grafikkort, noget hardware og nogle styresystemer, fx Linux, kræver, at det er slået fra – og så mister du også den beskyttelse.
• Hukommelsesintegritet under Enhedssikkerhed > Kerneisolering gør det svært for skadelige programmer at bruge drivere på lavt niveau til at kapre pc'en. Kan den ikke slås til, kan det skyldes en inkompatibel driver; kontakt producenten af enheden for at høre, om der findes en opdateret.
• Windows 11 har en blokeringsliste over drivere med kendte sikkerhedssårbarheder og drivere, der er signeret med certifikater, som bruges til at signere malware. Den er slået til, når hukommelsesintegritet, Smart App Control eller Windows S-tilstand er slået til.
• LSA-beskyttelse skal forhindre tyveri af de legitimationsoplysninger, du logger på Windows med. Den er som standard slået til.
• Nederst på siden Enhedssikkerhed kan du se, om enheden opfylder kravene til standardsikkerhed for hardware: blandt andet TPM 2.0, aktiveret Sikker bootstart og understøttelse af hukommelsesintegritet og kerneisolering.
• Manipulationsbeskyttelse under Virus- & trusselsbeskyttelse forhindrer skadelige apps i at ændre vigtige indstillinger i Microsoft Defender Antivirus, fx beskyttelse i realtid.

Flere lag under Enhedssikkerhed

Siden Enhedssikkerhed rummer flere beskyttelser mod angreb, der går dybere end almindelig malware. Hardwaregennemtvunget stakbeskyttelse gør det svært for skadelige programmer at bruge drivere på lavt niveau til at kapre pc'en; den kræver, at hukommelsesintegritet er slået til, og at processoren understøtter funktionen. Beskyttelse af adgang til hukommelse, også kaldet Kernel DMA-beskyttelse, nægter en ondsindet enhed sat i fx en Thunderbolt-port direkte adgang til hukommelsen, især når pc'en er låst. Og firmwarebeskyttelsen System Guard skal sikre, at hackere ikke kan få enheden til at starte med upålidelig eller skadelig firmware. Hvilke funktioner du ser, afhænger af Windows-version og hardware; kontakt producenten, hvis du vil vide, hvad din pc understøtter.

Sådan leder du efter et rootkit

1. Gem dine åbne filer. Pc'en genstarter under scanningen.
2. Åbn Windows Sikkerhed > Virus- & trusselsbeskyttelse > Scanningsindstillinger.
3. Vælg Microsoft Defender Antivirus (offlinescanning), og start scanningen. Den bruger de nyeste definitioner og kører efter en genstart i Windows Genoprettelsesmiljø uden at indlæse Windows, så permanent malware har sværere ved at skjule eller forsvare sig.
4. Når scanningen er færdig, genstarter pc'en automatisk. Resultaterne finder du i Windows Sikkerhed under Beskyttelsesoversigt.

Microsoft anbefaler offlinescanningen, når du er usikker på, om enheden har været udsat for malware eller virus, eller hvis du vil scanne den uden forbindelse til internettet.

Hvis rootkittet bliver ved

Bliver problemet ved, kan det være nødvendigt at nulstille enheden, skriver Microsoft, selv om det tager tid. Google nævner også muligheden for at gendanne computerens fabriksindstillinger og geninstallere operativsystemet; tag først en kopi af de filer, du har brug for. Installér derefter alle sikkerhedsopdateringer, så snart de er tilgængelige, via Start > Indstillinger > Windows Update > Søg efter opdateringer. Skift så adgangskoderne til dine konti, da et rootkit kan have registreret dem, og slå to-trins-login til. Rækkefølgen følger politiets råd efter infostealer-sagen i 2025: først rens og opdatér, så skift kodeord.

Et rootkit lyver om computerens tilstand. Tjek den udefra med offlinescanningen, og start forfra fra et rent system, hvis tvivlen består.