Rootkit : ce que c'est, pourquoi il est si difficile à détecter et comment s'en débarrasser

Pour l'ANSSI, un rootkit – « outil de dissimulation d'activité » – permet à un attaquant de maintenir un contrôle illégitime d'un système informatique en y dissimulant ses activités. Il suppose que le système a déjà été compromis. Son danger tient à une chose, résume Microsoft : une fois l'appareil infecté, vous ne pouvez plus vous fier à ce qu'il signale sur lui-même.

Les différents types

Microsoft distingue les rootkits de microprogramme (le firmware de l'ordinateur), les bootkits (qui s'installent dans le processus de démarrage), les rootkits de noyau et les rootkits pilotes. Certaines suites de rootkits peuvent enregistrer les mots de passe et les frappes au clavier.

Comment Windows s'en défend

• Le démarrage sécurisé (Secure Boot) permet d'empêcher le chargement de logiciels malveillants au démarrage d'un PC Windows. Pour vérifier les réglages du microprogramme : Paramètres › Système › Récupération, puis, sous Démarrage avancé, « Redémarrer maintenant » › Résoudre les problèmes › Options avancées › Paramètres du microprogramme UEFI.
• Les certificats de démarrage sécurisé de 2011 expirent depuis juin 2026 ; Microsoft les met à jour automatiquement. Gardez Windows à jour.
• Windows ajoute le démarrage approuvé, l'ELAM (Early Launch Anti-Malware) et le démarrage mesuré.

Lancer l'analyse hors ligne de Microsoft Defender

1. Si BitLocker chiffre votre disque, suspendez-le d'abord – sinon la clé de récupération pourrait vous être demandée.
2. Ouvrez Sécurité Windows › Protection contre les virus et les menaces › Options d'analyse.
3. Choisissez « Antivirus Microsoft Defender (analyse hors ligne) » et lancez l'analyse. Le PC redémarre et l'analyse s'exécute sans charger Windows, depuis l'extérieur du noyau habituel.
4. Les résultats s'affichent ensuite dans l'Historique de protection.

Si le rootkit résiste

Quand la suppression échoue, Microsoft recommande de réinstaller le système d'exploitation et de restaurer vos données depuis une sauvegarde saine. Changez ensuite tous les mots de passe utilisés sur l'appareil, comme le conseille Cybermalveillance.gouv.fr après une réinstallation complète.

Un rootkit ment sur l'état de l'appareil. Analysez-le depuis l'extérieur – et si le doute persiste, repartez d'un système propre.