Rootkit: hva det er, hvorfor det er så vanskelig å finne, og slik blir du kvitt det

Navnet viser til «root», administratorkontoen med full kontroll over systemet, og «kit», et sett med verktøy. Microsofts norske hjelpesider bruker ordet rotsett om trusler som skjules fra Windows-operativsystemet. Det finnes ingen egen norsk offisiell veiledning om rootkit og ingen offisiell statistikk over hvor ofte privatpersoner rammes. Rådene under bygger derfor på Microsofts norske sider og de generelle rådene om skadevare fra NorSIS og Kripos.

Hvorfor det er så vanskelig å oppdage

Et rootkit er laget for å skjule seg – og ofte for å skjule annen skadevare. Mens Windows kjører, kan slike trusler gjemme seg for skannerne. Derfor har Microsoft laget en skanning som kjører i et lite, separat driftsmiljø utenfor Windows, der truslene ikke kan skjule seg på samme måte. Kripos beskriver i Cyberkriminalitet 2026 hvordan kriminelle bruker droppere som er laget for å unngå sikkerhetsmekanismer som antivirus, og som deretter installerer annen skadevare.

Tegn på at noe ligger dypere

Det finnes ingen enkel metode som alltid avslører om en PC er infisert, og noen typer skadevare jobber i det stille uten å påvirke den daglige bruken, skriver NorSIS. Vær likevel på vakt hvis skadevare som er fjernet, dukker opp igjen, eller hvis sikkerhetsinnstillinger blir slått av uten at du har gjort det. Microsoft har laget manipulasjonsbeskyttelse nettopp fordi skadelige apper prøver å deaktivere kritiske sikkerhetsfunksjoner. Sjekk også listen Tillatte trusler i Windows Sikkerhet: Har du ved et uhell latt en trussel kjøre, velger du den og trykker på Ikke tillat.

Slik kommer det inn

Et rootkit reiser sjelden alene, så inngangene er de samme som for annen skadevare. Microsoft nevner e-postvedlegg du ikke ventet, programmer fra tredjeparts nettsteder og fildelingsnettverk, nøkkelgeneratorer for piratkopiert programvare, infiserte USB-enheter og hackede nettsider som utnytter sikkerhetshull i en utdatert nettleser. Når skadevaren først er inne, kan den laste ned flere trusler.

Slik leter du etter det: frakoblet skanning

1. Lagre det du har åpent. PC-en starter på nytt underveis.
2. Åpne Windows Sikkerhet > Virus- og trusselbeskyttelse > Skannealternativer.
3. Velg Microsoft Defender Antivirus (frakoblet skanning) og start skanningen. Den bruker de nyeste definisjonene og kjører etter en omstart i Windows Recovery Environment, uten å laste inn Windows. Den fungerer også uten internettforbindelse.
4. Når skanningen er ferdig, starter PC-en på nytt av seg selv. Resultatene finner du i Windows Sikkerhet under Beskyttelseslogg.

Microsoft anbefaler frakoblet skanning når du er bekymret for at enheten er utsatt for skadevare eller virus. I Windows 10 og 11 er den bygd inn i operativsystemet og startes fra Windows Sikkerhet.

Beskyttelsen Windows allerede har

• Sanntidsbeskyttelse overvåker enheten hele tiden og skanner filer og programmer når de åpnes eller kjøres.
• Manipulasjonsbeskyttelse hindrer skadelige apper i å endre viktige innstillinger i Microsoft Defender Antivirus, som sanntidsbeskyttelse og skybasert beskyttelse, og dermed i å slå av sikkerhetsfunksjonene.
• Skybasert beskyttelse gir Defender kontinuerlig oppdaterte forbedringer fra Microsoft og mer nøyaktig gjenkjenning.
• Windows-brannmuren er innebygd og slått på automatisk.
• Windows 10 får ikke lenger sikkerhetsoppdateringer etter 14. oktober 2025. Microsoft anbefaler å oppgradere til Windows 11 eller melde seg på ESU-programmet for forbrukere, som kan beskytte en Windows 10-maskin til 12. oktober 2027.

Hvis rootkitet ikke gir seg

Klarer ikke antivirusprogrammet å fjerne skadevaren, kan du bli nødt til å installere operativsystemet på nytt, skriver NorSIS. Da mister du filer og tilleggsprogrammer på maskinen. Noter derfor innstillingene og programmene dine, og kopier filer og bilder til en minnepinne, en ekstern harddisk eller en skytjeneste først – og skann kopiene før du legger dem tilbake, siden også de kan være infisert. Microsoft viser til gjenopprettingsalternativene i Windows for å tilbakestille PC-en, og Google beskriver samme steg når en hacket konto kan skyldes skadevare: tilbakestill datamaskinen til fabrikkstandard og installer operativsystemet på nytt. På en Mac kan du installere macOS på nytt fra macOS-gjenoppretting.

Bytt deretter passordene du har brukt på maskinen, og installer alle sikkerhetsoppdateringer: Start > Innstillinger > Windows Update > Se etter oppdateringer.

Slik holder du rootkit ute

• Last ned programvare bare fra leverandørens offisielle nettsted, og unngå piratkopiert materiale, som kan inneholde skadevare.
• Ikke koble til USB-enheter du ikke eier, med mindre de kommer fra en pålitelig kilde.
• Bruk en vanlig konto til daglig bruk; NorSIS anbefaler laveste nødvendige tilgangsnivå i stedet for administratorrettigheter.
• Hold Windows, nettleseren og programmene oppdatert, og fjern programvare og nettleserutvidelser du ikke bruker.

Et rootkit lyver om tilstanden til datamaskinen. Sjekk den utenfra med frakoblet skanning, og start med et rent system hvis tvilen består.