Rootkit: wat het is, waarom je hem moeilijk vindt en hoe je hem verwijdert

De politie noemt de rootkit in haar overzicht van soorten malware, met een korte omschrijving: een rootkit geeft een computerkraker toegang tot de computer. Veel meer staat er op de Nederlandse voorlichtingssites niet over; een aparte pagina over rootkits vonden we niet bij de politie, Veiliginternetten.nl, de Fraudehelpdesk of het NCSC. Wat wel vaststaat: malware valt vaak niet op. Je hebt vaak niet eens door dat je bent geïnfecteerd, zegt de politie, en ook ACM ConsuWijzer schrijft dat je er vaak niets van merkt als criminelen je computer hebben besmet.

Waarom een gewone scan hem kan missen

Microsoft legt uit waarom sommige malware lastig te vinden is. Soms wordt dezelfde malware steeds opnieuw gevonden, omdat een niet-gedetecteerd onderdeel de gevonden malware stilletjes opnieuw installeert; dat merk je meestal na het opstarten van je pc. Andere infecties verbergen zich terwijl Windows draait. Daarvoor bestaat Microsoft Defender Offline: een scanprogramma dat buiten Windows werkt, zodat het infecties kan onderscheppen en opschonen die zich verbergen als Windows actief is. Ook andere malware wist zijn sporen: een infostealer is volgens Veiliginternetten.nl moeilijk te vinden omdat hij zijn eigen sporen wist.

Hoe een rootkit binnenkomt

Voor een rootkit gelden dezelfde ingangen als voor andere malware. De politie noemt e-mails met een link of bijlage, websites, gratis software en illegale downloads, en een gevonden USB-stick die je zonder voorzorg in je computer steekt. Veiliginternetten.nl noemt ook links in sms'jes en advertenties op websites.

De signalen

• Malware die je hebt verwijderd en die na een herstart terugkomt.
• Een firewall of virusscanner die soms vanzelf wordt uitgeschakeld.
• Een computer die merkbaar trager is en vaker vastloopt, of bestanden en iconen die je niet kent.
• Een melding van je internetaanbieder dat je computer besmet is. Hij mag je verbinding dan tijdelijk afsluiten als dat in zijn algemene voorwaarden staat, en moet je vertellen waarom, schrijft ACM ConsuWijzer.

Zo draai je de offline scan van Microsoft Defender

1. Log uit op je openstaande accounts en sessies op internet, zoals de politie bij malware adviseert, en sla je werk op: de pc start zo opnieuw op.
2. Open Windows-beveiliging via het menu Start en kies Virus- & bedreigingsbeveiliging.
3. Kies onder Updates van virus- en bedreigingsbeveiliging eerst Controleren op updates, zodat je met de nieuwste definities scant.
4. Kies onder Huidige bedreigingen de optie Scanopties, selecteer Microsoft Defender Antivirus (offline scannen) en start de scan. De pc start opnieuw op en scant zonder Windows te laden, zodat hardnekkige malware het moeilijker heeft zich te verbergen of te verdedigen.
5. Bekijk daarna de resultaten: open Windows-beveiliging en kies Beveiligingsgeschiedenis.

Microsoft raadt de offline scan ook aan als je bang bent dat je apparaat aan malware is blootgesteld, of als je je apparaat veilig wilt scannen zonder verbinding met internet.

Zorg dat de bescherming aan blijft

• Realtime-beveiliging controleert je apparaat voortdurend op bedreigingen, door bestanden en programma's te scannen als ze worden geopend of uitgevoerd. Laat die aan staan.
• Manipulatiebeveiliging voorkomt dat schadelijke apps belangrijke instellingen van Microsoft Defender Antivirus wijzigen, zoals de realtime-beveiliging en de cloudbescherming.
• Cloudbeveiliging en Automatische verzending van voorbeelden staan standaard aan. Volgens Microsoft vergroten ze de kans aanzienlijk dat nooit eerder opgemerkte malware wordt gedetecteerd. Je controleert ze via Virus- & bedreigingsbeveiliging > Instellingen beheren.

Als de rootkit niet weggaat

Heeft de malware blijvende wijzigingen in je pc aangebracht, dan kun je volgens Microsoft je pc opnieuw instellen of Windows opnieuw installeren. Maak eerst een back-up van de bestanden en instellingen die je wilt houden. Zet je bestanden bij voorkeur terug vanaf back-ups van vóór de besmetting die op een externe locatie stonden, zoals OneDrive met versiegeschiedenis: back-ups die tijdens de besmetting op je pc stonden, kunnen al door de malware zijn gewijzigd. Ook de politie noemt terugzetten naar de fabrieksinstellingen als manier om malware te verwijderen.

Daarna

• Verander pas als de malware weg is al je wachtwoorden, zodat nog actieve malware je nieuwe wachtwoorden niet ziet.
• Wil je aangifte doen, bijvoorbeeld omdat er geld van je rekening is verdwenen, overleg dan met de politie (0900-8844) voordat je de pc opnieuw instelt: de politie vraagt soms toestemming om een kopie van je besmette systeem te maken om de malware te onderzoeken.
• Houd je virusscanner up-to-date, installeer geen illegale software en klik niet op links in e-mails die je niet vertrouwt.

Verborgen malware controleer je van buitenaf, met de offline scan. Blijft de twijfel, begin dan opnieuw met een schoon systeem.