Rootkit: mikä se on, miksi sitä on vaikea löytää ja miten siitä pääsee eroon

Nimi yhdistää Unix-järjestelmien pääkäyttäjän, rootin, ja sanan kit (työkalupakki). Rootkit pyrkii saamaan laitteessa laajat oikeudet ja piilottamaan läsnäolonsa, jotta rikollinen voi pitää pääsyn laitteeseen pitkään ja muut haittaohjelmat pysyvät näkymättömissä. Suomalaiset viranomaiset eivät käsittele rootkiteja omana ilmiönään, eikä niistä ole suomalaista tilastoa. Käytännön ohjeet tulevat siksi Kyberturvallisuuskeskuksen haittaohjelmasivuilta ja Microsoftin Windows-ohjeista.

Miksi rootkitiä on vaikea löytää?

Kun Windows on käynnissä, pysyvä haittaohjelma voi piiloutua ja puolustautua tarkistuksia vastaan. Siksi Microsoft tarjoaa offline-tarkistuksen: se käynnistää koneen uudelleen ja tarkistaa sen Windowsin palautusympäristössä ilman Windowsin lataamista, jolloin pysyvien haittaohjelmien on vaikeampi piiloutua tai puolustautua. Kyberturvallisuuskeskuksen mukaan haittaohjelmaa voi muutenkin olla vaikea havaita ennen kuin tartunta on jo tapahtunut, ja rikollisten tekniikat tekevät hyökkäyksistä aiempaa vaikeammin havaittavia ja torjuttavia.

Milloin epäillä piiloutunutta haittaohjelmaa?

Rootkitille ei ole omaa tuntomerkkiä, mutta epäily on aiheellinen, jos oireet jatkuvat, vaikka tavallinen tarkistus ei löydä mitään, tai jos suojausasetuksia on muutettu ilman sinua. Microsoft neuvoo käyttämään offline-tarkistusta aina, kun epäilet, että laitteesi on ollut alttiina haittaohjelmille tai viruksille. Tarkistus toimii myös ilman internetyhteyttä, ja Windowsin suojaus kertoo pikatarkistuksen jälkeen, jos se suosittelee jotain muuta tarkistusta.

Miten rootkit päätyy koneelle?

Samoja reittejä kuin muutkin haittaohjelmat, koska se kulkee niiden mukana: väärennetyt sovellukset ja maksullisten ohjelmien piraattiversiot, väärennetyt päivitykset sähköposteissa ja ponnahdusikkunoissa, drive by -lataukset päivittämättömän selaimen tai käyttöjärjestelmän kautta ja ClickFix-sivut, jotka saavat käyttäjän itse suorittamaan haitallisen komennon. Tammikuun 2026 Kybersää muistuttaa, että laitteiden turvallisuus paranee, kun ne pidetään ajan tasalla ja hankitaan luotettavilta valmistajilta, ja ohjelmistoja asennetaan vain luotettavista lähteistä.

Näin tarkistat koneen: offline-tarkistus

1. Tallenna avoimet tiedostot, koska kone käynnistyy uudelleen.
2. Avaa Windowsin suojaus > Virusten & uhkien torjunta > Tarkistusasetukset.
3. Valitse Microsoft Defenderin virustentorjunta (offline-tarkistus) ja käynnistä tarkistus. Se käyttää uusimpia viruskuvauksia.
4. Tarkistuksen jälkeen kone käynnistyy uudelleen automaattisesti. Tulokset näet Windowsin suojaus -sovelluksen kohdasta Suojaushistoria.

Tarkista samalla kohdasta Hallitse asetuksia, että Reaaliaikainen suojaus ja Peukaloinnin suojaus ovat päällä. Peukaloinnin suojaus estää haittaohjelmia muuttamasta Microsoft Defenderin tärkeitä asetuksia ja poistamasta kriittisiä suojausominaisuuksia käytöstä. Windows 11:ssä Smart App Control estää sovellukset, joilla ei ole kelvollista allekirjoitusta ja joita Microsoftin pilvipalvelu ei pysty ennustamaan turvallisiksi.

Jos epäily ei häviä: puhdas asennus

Microsoftin palautusvaihtoehdoissa on monta tasoa, mutta haittaohjelmaepäilyssä ohje on selvä: asenna Windows uudelleen asennustietovälineen avulla, jos epäilet, että laitteesi on saanut haittaohjelmatartunnan, tai jos mikään muu ei auta. Lataa Windows toisella, toimivalla tietokoneella, luo käynnistettävä USB-asema ja asenna Windows uudelleen sen avulla. Tämä poistaa kaiken laitteesta. Microsoftin mukaan oletusasetusten palauttaminen voi olla paras vaihtoehto myös silloin, kun väärennettyjä virhekoodeja ja viestejä tulee jatkuvasti näkyviin.

• Varmuuskopioi tärkeät tiedostot ensin. Järjestelmän palauttaminen ja Ajankohtaan palautus vievät koneen aiempaan tilaan, mutta ne eivät ole puhdas asennus.
• Jos BitLocker on käytössä, tarvitset BitLocker-palautusavaimen useimpiin palautusvaihtoehtoihin.
• Palauta varmuuskopiosta vain tiedostoja, jotka on tallennettu ennen tartuntaa. Kyberturvallisuuskeskus antaa saman ohjeen puhelimille.
• Puhelimessa vastaava keino on tehdasasetusten palautus: iPhonessa Asetukset > Yleiset > Siirrä tai nollaa [laite] > Poista kaikki sisältö ja asetukset, Androidissa yleensä Asetukset-sovelluksesta.

Asennuksen jälkeen

• Asenna päivitykset heti: aloituspainike > Asetukset > Windows Update > Tarkista päivitykset.
• Vaihda salasanat, jotka olet kirjoittanut koneella, koska piilossa ollut haittaohjelma on voinut tallentaa ne. Ota käyttöön monivaiheinen tunnistautuminen.
• Pidä automaattiset päivitykset päällä. Traficomin mukaan hyökkäyksissä käytetyt haavoittuvuudet ovat usein olleet tiedossa jo kuukausia, vaikka korjaukset ovat olleet saatavilla.
• Kun laite tai käyttöjärjestelmä tulee elinkaarensa päähän, valmistaja ei enää tarjoa siihen päivityksiä, kertoo Traficom. Silloin laite tai ohjelmisto kannattaa vaihtaa.

Näin vähennät riskiä

• Lataa ohjelmat vain valmistajan omilta sivuilta tai Microsoft Storesta. Microsoftin mukaan kolmansien osapuolten sivustoilla ohjelmiin on voitu niputtaa haittaohjelmia.
• Älä liitä koneeseen vieraita USB-tikkuja tai muita muistilaitteita: Traficomin mukaan niistä voi saada haittaohjelmia.
• Älä klikkaa ponnahdusikkunoiden päivitysilmoituksia. Jos päivitysilmoitus vaikuttaa epäilyttävältä, etsi tieto päivityksestä ohjelmistovalmistajan kotisivuilta.
• Pidä Smart App Control, Reaaliaikainen suojaus ja Peukaloinnin suojaus päällä.

Rootkit valehtelee koneen tilasta. Tarkista kone sen ulkopuolelta, ja jos epäily jää, aloita puhtaalta pöydältä.