Rootkit: cos'è, perché è difficile da scoprire e come rimuoverlo

Un rootkit, per il glossario dell'ACN, è una collezione di software, per lo più malevoli, che permette a un attore ostile di accedere abusivamente a un sistema informatico o a una sua parte, eludendo le protezioni di sicurezza e celando la propria presenza per restare nel tempo. Il nome viene da "root", l'utente con i diritti di amministratore, che ha il massimo controllo sul sistema.

Perché è così difficile da scoprire

Microsoft spiega che i rootkit usano le stesse autorizzazioni del sistema operativo e si avviano prima di lui: per questo possono nascondersi completamente. Spesso fanno parte di un'intera famiglia di malware capace di aggirare gli accessi locali, registrare password e tasti premuti, trasferire file privati e acquisire dati crittografici. Non esistono statistiche ufficiali italiane sui rootkit che colpiscono i privati.

Come arriva

Un rootkit non viaggia da solo: accompagna altri malware, quindi le porte d'ingresso sono le stesse. Microsoft cita allegati in e-mail inattese, programmi scaricati da siti di terze parti, generatori di chiavi per il software craccato, chiavette USB sconosciute e pagine web che sfruttano un browser non aggiornato.

Come Windows lo blocca all'avvio

• Avvio protetto (Secure Boot) impedisce il caricamento di un rootkit all'avvio del dispositivo, perché durante l'avvio lascia eseguire solo software attendibile con firma digitale. Per controllare che sia attivo premi Windows + R, digita msinfo32 e cerca Stato di avvio protetto: deve risultare Attivato.
• Se è disattivato, le impostazioni sono nel firmware UEFI: Impostazioni > Sistema > Ripristino > Avvio avanzato > Riavvia ora, poi Risoluzione dei problemi > Opzioni avanzate > Impostazioni firmware UEFI. Nel dubbio segui le istruzioni del produttore del PC; se l'hai disattivato per installare un hardware o un sistema particolare, riattivalo appena puoi.
• I certificati di Avvio protetto emessi nel 2011 scadono a partire da giugno 2026: Microsoft li sostituisce con quelli del 2023 tramite Windows Update. Tieni attivi gli aggiornamenti e usa una versione di Windows supportata.
• Isolamento core e Integrità della memoria (Sicurezza di Windows > Sicurezza dispositivi > Dettagli isolamento core) rendono difficile ai programmi dannosi usare driver di basso livello per dirottare il PC. Se Integrità della memoria non si attiva, può dipendere da un driver incompatibile: chiedi al produttore del dispositivo se ne esiste uno aggiornato.
• Windows 11 include un elenco di blocco dei driver con vulnerabilità note o firmati con certificati usati per firmare malware; è attivo quando lo sono Integrità della memoria, Smart App Control o la modalità S di Windows.
• In fondo alla pagina Sicurezza dispositivi, Windows indica se il PC soddisfa i requisiti di sicurezza hardware standard: integrità della memoria e isolamento core supportati, TPM 2.0 e Avvio protetto abilitato.

Come cercarlo: l'analisi offline di Microsoft Defender

1. Salva il lavoro aperto: il PC si riavvierà.
2. Apri Sicurezza di Windows > Protezione da virus e minacce > Opzioni di analisi.
3. Scegli Antivirus Microsoft Defender (analisi offline) e avvia l'analisi. Dopo il riavvio l'analisi gira nell'Ambiente ripristino Windows, senza caricare Windows: un malware persistente ha più difficoltà a nascondersi o a difendersi.
4. Al termine il PC si riavvia da solo. Per vedere i risultati apri Sicurezza di Windows e seleziona Cronologia protezione.

Microsoft consiglia lo stesso strumento quando un malware rimosso continua a ripresentarsi dopo ogni riavvio: spesso un componente nascosto lo reinstalla, e Defender Offline lavora all'esterno di Windows, così rileva le infezioni che si nascondono mentre Windows è in esecuzione.

Se il rootkit resiste

Se il malware ha causato modifiche irreversibili, Microsoft indica di reimpostare il PC (Impostazioni > Sistema > Ripristino > Reimposta PC, scegliendo Rimuovi tutto) o di reinstallare Windows, e di recuperare i file da backup creati prima dell'infezione e conservati fuori dal computer, per esempio su OneDrive: quelli rimasti sul PC potrebbero essere stati modificati dal malware. Tra le opzioni, Mantieni i miei file reinstalla Windows conservando documenti e foto, mentre Rimuovi tutto cancella anche file, app e impostazioni. Se il disco è cifrato, tieni a portata di mano la chiave di ripristino di BitLocker; durante il ripristino lo schermo può restare nero anche per 15 minuti, e riavviare il PC a mano può far fallire l'operazione. Dopo il ripristino aggiorna subito Windows e i programmi, e cambia le password usate sul computer, visto che un rootkit può averle registrate.

Un rootkit mente sullo stato del computer. Controllalo dall'esterno, con l'analisi offline, e se il dubbio resta riparti da un sistema pulito.