Rootkit : ce que c'est, pourquoi il est si difficile à détecter et comment l'éliminer

Le mot rootkit renvoie à l'accès « racine », c'est-à-dire administrateur, que l'outil procure à un pirate. Le Centre canadien pour la cybersécurité emploie le terme dissimulateur d'activité et le décrit comme un ensemble de programmes furtifs qui procure un accès privilégié à des réseaux, à des systèmes ou à des appareils en se faisant passer pour un composant légitime du système d'exploitation. Un bulletin conjoint de 2020 publié par le Centre parle aussi de trousse administrateur pirate.

Pourquoi il est si difficile à trouver

Un dissimulateur d'activité s'intègre souvent profondément au système d'exploitation ou au micrologiciel pour échapper à la détection, explique le Centre canadien pour la cybersécurité. Il fournit un accès complet à l'appareil, y compris la capacité de modifier les logiciels qui servent à détecter les maliciels. C'est pourquoi une analyse lancée depuis le système infecté peut ne rien voir, et pourquoi la solution passe souvent par une analyse faite de l'extérieur. Nous n'avons trouvé aucune statistique officielle canadienne sur les rootkits qui visent les particuliers.

Comment il arrive

Par les mêmes portes que les autres maliciels, selon le Centre canadien pour la cybersécurité : pièces jointes malveillantes; logiciels, applications ou mises à jour téléchargés de sources non fiables; plateformes pair à pair; clés USB non vérifiées; fausses alertes et fenêtres contextuelles; sites compromis; et logiciels ou appareils désuets, non corrigés ou plus pris en charge. Les mots de passe faibles, par défaut ou recyclés ouvrent aussi la porte.

Les signes possibles

• Un antivirus ou une protection contre les maliciels désactivés, des paramètres de sécurité verrouillés ou modifiés sans votre accord.
• Des programmes inconnus qui s'exécutent sur l'appareil.
• Une activité inhabituelle du disque dur, ou une hausse du trafic réseau, quand l'appareil est inactif.
• Des modifications non autorisées de mots de passe ou des tentatives de connexion inhabituelles à vos comptes.
• Un appareil qui ralentit ou plante sans raison évidente.

Comment le chercher sur Windows : l'analyse hors ligne

1. Enregistrez votre travail : l'ordinateur va redémarrer.
2. Ouvrez Sécurité Windows > Protection contre les virus et les menaces > Options d'analyse.
3. Choisissez Antivirus Microsoft Defender (analyse hors ligne) et lancez l'analyse. Elle utilise les définitions les plus récentes et s'exécute après un redémarrage, sans charger Windows, de sorte qu'un programme malveillant persistant a plus de mal à se cacher ou à se défendre. Microsoft la conseille quand vous pensez que l'appareil a été exposé à des programmes malveillants.
4. Une fois l'ordinateur redémarré, ouvrez Sécurité Windows et sélectionnez Historique de protection pour voir les résultats.

Gardez aussi la protection contre les falsifications activée : elle empêche les applications malveillantes de modifier des paramètres importants de l'antivirus Microsoft Defender, comme la protection en temps réel et la protection fournie par le cloud. Et si un fichier précis vous inquiète, faites un clic droit dessus dans l'Explorateur de fichiers et choisissez Analyser avec Microsoft Defender.

S'il résiste : repartir d'un système propre

Le Centre canadien pour la cybersécurité recommande, après une infection, de restaurer les données seulement à partir de sauvegardes fiables, créées avant l'infection et analysées, et de ne reconnecter l'appareil au réseau qu'après avoir réinstallé le système d'exploitation et confirmé par des analyses qu'il n'est plus infecté. Google donne la même piste pour un ordinateur lié à un compte piraté : rétablir la configuration d'usine et réinstaller le système, après avoir sauvegardé les fichiers dont vous avez besoin. Ensuite, réinitialisez tous les mots de passe associés à l'appareil, révoquez les sessions actives et réactivez l'authentification multifacteur : un dissimulateur d'activité donnait un accès complet à l'appareil, mots de passe compris.

Pour le tenir à l'écart

• Installez aussitôt que possible les mises à jour du système, des logiciels et du micrologiciel. Sur Windows 11 : Démarrer > Paramètres > Windows Update > Rechercher des mises à jour Windows. Depuis le 14 octobre 2025, Windows 10 ne reçoit plus de correctifs de sécurité gratuits par Windows Update, et Microsoft recommande de passer à Windows 11.
• Activez les mises à jour automatiques chaque fois que c'est possible, conseille Pensez cybersécurité.
• Gardez la protection en temps réel et la protection fournie par le cloud activées.
• Téléchargez vos logiciels de sources fiables et analysez-les avant de les installer.
• N'accordez les droits d'administrateur qu'au besoin, et retirez régulièrement les autorisations qui ne servent plus.
• Sauvegardez selon la règle 3-2-1 : trois copies, deux types de support, une copie hors site.

Un rootkit ment sur l'état de l'ordinateur. Vérifiez-le de l'extérieur, avec l'analyse hors ligne, et au moindre doute repartez d'un système propre.